ChatGPT Ads & DSGVO 2026: Einwilligung, Pixel, Pflichten

Die kurze Antwort: Im EWR laufen ChatGPT Ads zum Start zunächst nur kontextuell, also ohne Personalisierung anhand persönlicher Nutzerdaten. Personalisierte Werbung soll später folgen, dann ausdrücklich nur mit Einwilligung der Nutzer. Auf der Ausspielseite entlastet Sie das als Werbetreibenden bereits: Sie erhalten von OpenAI nur aggregierte Leistungsdaten — keinen Zugriff auf Chats, Chatverlauf oder gespeicherte Memories einzelner Nutzer.

Die eigentliche datenschutzrechtliche Arbeit liegt trotzdem bei Ihnen, und zwar auf Ihrer eigenen Seite. Sobald Sie das OpenAI Pixel oder die Conversions API einsetzen, verarbeiten Sie personenbezogene Daten Ihrer Besucher, und dafür brauchen Sie eine wirksame Einwilligung, bevor der Code überhaupt lädt. Dieser Artikel ordnet die Pflichten ein, die dabei entstehen — sachlich und ohne Anspruch auf Rechtsberatung. Für die konkrete Umsetzung in Ihrem Fall sollten Sie eine spezialisierte Kanzlei einbeziehen, gerade weil sich die Rechtslage rund um KI-gestützte Werbung derzeit noch entwickelt.

Inhalt

• Was auf der Ausspielseite gilt: kontextuell statt personalisiert
• Was OpenAI Ihnen zeigt — und was nicht
• Ihre Pflichten auf der eigenen Seite
• Advanced Matching: gehashte Daten sind trotzdem Daten
• Nutzerrechte auf der ChatGPT-Seite
• Rechenbeispiel: Zwei Umsetzungsvarianten (hypothetisch)
• In 7 Schritten die Umsetzung absichern
• Was Sie jetzt tun können
• FAQ
• Über den Autor

Was auf der Ausspielseite gilt: kontextuell statt personalisiert

ChatGPT Ads sind seit dem 24.08.2026 in Deutschland und rund 30 weiteren europäischen Ländern live, seit dem 31.08.2026 zusätzlich mit einem eigenen Self-Serve Ads Manager für die DACH-Region. Für den europäischen Wirtschaftsraum hat OpenAI dabei einen wichtigen Unterschied zum US-Start gesetzt: Zum Start laufen hier nur kontextuelle Anzeigen, also Werbung, die sich am aktuellen Gesprächsthema orientiert, nicht an einem individuellen Nutzerprofil.

Personalisierte Anzeigen — also Werbung, die auf Basis von Nutzerverhalten, Interessen oder gespeicherten Daten einzelner Personen ausgesteuert wird — sollen laut Ankündigung später folgen, dann aber ausdrücklich nur mit ausdrücklicher Einwilligung der jeweiligen Nutzer. Zum Redaktionsschluss dieses Artikels am 1. September 2026 ist nicht bekannt, ob und wann dieser Schritt im EWR tatsächlich erfolgt.

Für Sie als Werbetreibenden bedeutet das zunächst: Ihr Targeting im Ads Manager basiert auf Kontextsignalen — dem Gesprächsthema, Ihrer Landingpage, Ihrem Anzeigentext und den von Ihnen hinterlegten Context Hints —, nicht auf personenbezogenen Profilen einzelner ChatGPT-Nutzer, die Sie selbst auswählen könnten. Das schränkt die Zielgenauigkeit gegenüber klassischem Profil-Targeting ein, reduziert aber auch Ihr eigenes datenschutzrechtliches Risiko auf der Auslieferungsseite, weil Sie keine sensiblen Nutzerprofile einkaufen oder verarbeiten.

Wichtig ist die Unterscheidung zwischen zwei Ebenen, die in der Praxis häufig vermischt werden: Wie OpenAI die Anzeige ausspielt, ist die eine Ebene — dafür trägt OpenAI die Verantwortung. Was Sie mit den Besuchern tun, die über die Anzeige auf Ihre eigene Seite kommen, ist eine zweite, komplett getrennte Ebene — und dafür sind Sie verantwortlich, sobald der Klick bei Ihnen ankommt.

Was OpenAI Ihnen zeigt — und was nicht

Ein häufiges Missverständnis unter Werbetreibenden lohnt sich, hier explizit auszuräumen: Sie bekommen als Werbetreibender keinen Zugriff auf einzelne Konversationen, Chatverläufe oder die von ChatGPT gespeicherten Memories der Nutzer, die Ihre Anzeige gesehen haben. Was Sie erhalten, sind aggregierte Leistungskennzahlen — Impressionen, Klicks, Conversions, zusammengefasst über eine Zielgruppe oder Kampagne, nicht auf Einzelpersonen heruntergebrochen.

Das ist aus zwei Gründen relevant. Erstens, weil es Ihr eigenes Risiko begrenzt: Sie verarbeiten auf der OpenAI-Seite keine sensiblen Chatinhalte Dritter, für die Sie sonst eine eigene Rechtsgrundlage bräuchten. Zweitens, weil es die Erwartungshaltung korrigiert, die manche Werbetreibende aus anderen Kanälen mitbringen — ein detailliertes Nutzerprofil oder gar Einblick in Gesprächsinhalte gibt es hier nicht, und sollte es auch nicht geben.

Diese Trennung ändert aber nichts an Ihren eigenen Pflichten, sobald ein Nutzer über die Anzeige auf Ihre Seite gelangt. Ab diesem Moment sind es Ihre Systeme, Ihr Pixel-Code und Ihre Datenverarbeitung, die datenschutzrechtlich relevant werden — unabhängig davon, was OpenAI auf seiner Seite an Daten zurückhält.

Ihre Pflichten auf der eigenen Seite

Sobald Sie das OpenAI Pixel, den Image Tag oder die Conversions API einsetzen, verarbeiten Sie personenbezogene Daten Ihrer Website-Besucher — mindestens Geräte- und Verhaltensdaten, in vielen Fällen zusätzlich Kontaktdaten über Advanced Matching. Fünf Punkte gehören dabei zwingend auf Ihre Liste.

Erstens: Einwilligung vor dem Laden, nicht danach. Das Pixel darf technisch erst laden, nachdem der Nutzer aktiv zugestimmt hat. Ein Cookie-Banner, der zwar erscheint, den Code aber unabhängig von der Auswahl bereits im Hintergrund lädt, erfüllt diese Anforderung nicht.

Zweitens: Der Cookie-Banner muss das Laden technisch blockieren können. Das ist kein Design-, sondern ein Umsetzungsproblem — Ihre Consent-Management-Lösung muss das Pixel als eigene, blockierbare Kategorie führen, nicht als pauschal mitgeladenes Analyse-Tool.

Drittens: Die Datenschutzerklärung muss ergänzt werden. Nennen Sie den Einsatz des OpenAI Pixels beziehungsweise der Conversions API explizit, mit Zweck, Rechtsgrundlage und den verarbeiteten Datenkategorien.

Viertens: Auftragsverarbeitung und Drittlandtransfer prüfen. Wenn Daten an OpenAI übermittelt werden, brauchen Sie eine geeignete vertragliche Grundlage und müssen klären, wohin die Daten tatsächlich fließen und auf welcher Basis das zulässig ist. Das ist ein Punkt, den Sie im Einzelfall mit rechtlicher Unterstützung klären sollten, nicht auf Zuruf entscheiden.

Fünftens: Advanced Matching separat einordnen. Auch wenn Kundendaten vor der Übertragung gehasht werden, handelt es sich weiterhin um eine Verarbeitung personenbezogener Daten — dazu mehr im nächsten Abschnitt. Bei AMZ+ Consulting sehen wir diese fünf Punkte regelmäßig als die Stellen, an denen Projekte ins Stocken geraten, wenn sie nicht von Anfang an mitgedacht werden.

Advanced Matching: gehashte Daten sind trotzdem Daten

OpenAI bietet mit Automatic Advanced Matching eine Funktion, bei der vorhandene Kundendaten — etwa eine E-Mail-Adresse aus Ihrem Checkout — im Browser des Nutzers per SHA-256 gehasht werden, bevor sie überhaupt an OpenAI übertragen werden. Rohdaten verlassen den Browser also nicht, nur der Hash-Wert.

Das ist eine sinnvolle technische Schutzmaßnahme, ändert aber nichts an der grundsätzlichen datenschutzrechtlichen Einordnung: Ein Hash-Wert, der aus einer identifizierbaren Person berechnet wurde und für einen Abgleich verwendet werden kann, gilt weiterhin als Verarbeitung personenbezogener Daten. Hashing ist eine Sicherheitsmaßnahme, keine Anonymisierung im rechtlichen Sinn.

Praktisch bedeutet das: Wenn Sie Advanced Matching aktivieren, muss diese Verarbeitung ebenfalls von Ihrer Einwilligungsgrundlage gedeckt und in Ihrer Datenschutzerklärung benannt sein. Ein pauschaler Verweis auf „Tracking-Cookies" reicht dafür in der Regel nicht aus — die Funktion sollte namentlich und mit ihrem konkreten Zweck beschrieben werden.

Nutzerrechte auf der ChatGPT-Seite

Für die Gesamteinordnung gehört auch dazu, was Nutzer selbst auf ChatGPT-Seite tun können — unabhängig von Ihren eigenen Pflichten als Werbetreibender. OpenAI stellt Nutzern mehrere Kontrollen zur Verfügung: Sie können Anzeigen ausblenden, Feedback zu einzelnen Anzeigen geben, ihre Anzeigendaten löschen, den bisherigen Anzeigenverlauf einsehen und die Personalisierungseinstellungen selbst verwalten.

Diese Kontrollen betreffen die Beziehung zwischen Nutzer und OpenAI, nicht Ihre eigene Verantwortung als Werbetreibender. Für Ihre eigenen Website-Besucher bleiben die üblichen Betroffenenrechte relevant — Auskunft, Löschung, Widerruf der Einwilligung —, und die müssen Sie über Ihre eigenen Prozesse abbilden, unabhängig davon, was OpenAI auf seiner Plattform anbietet.

Rechenbeispiel: Zwei Umsetzungsvarianten (hypothetisch)

Rechenbeispiel: Angenommen, ein Marktplatz-Händler mit eigenem Online-Shop startet eine ChatGPT-Ads-Kampagne und muss entscheiden, wie er die Consent-Verwaltung technisch aufsetzt.

Variante A — Consent-Banner ohne technische Blockade. Der Banner erscheint, das Pixel lädt aber unabhängig von der Nutzerauswahl bereits beim Seitenaufruf im Hintergrund. Angenommen, die Seite hat 10.000 Besucher im Monat: Bei dieser Umsetzung werden potenziell alle 10.000 Besuche erfasst, unabhängig von der tatsächlichen Einwilligung — ein Zustand, der einer rechtlichen Prüfung in aller Regel nicht standhält und im Streitfall empfindliche Konsequenzen haben kann.

Variante B — Consent-Management mit echter Blockade. Das Pixel ist als eigene, blockierbare Kategorie im Consent-Tool hinterlegt und lädt ausschließlich nach aktiver Zustimmung. Angenommen, 40 Prozent der Besucher stimmen zu: Sie erfassen dann zwar nur rund 4.000 der 10.000 Besuche, aber jede davon auf rechtssicherer Grundlage — und mit einer Datenbasis, die einer Prüfung standhält.

Die geringere Reichweite in Variante B fühlt sich zunächst nach einem Nachteil an. Sie ist aber der einzige Weg, der die Messung überhaupt verwertbar macht, ohne ein rechtliches Risiko einzugehen, das im Zweifel deutlich teurer wird als der Verzicht auf einen Teil der Klick-Daten.

Kostenloses Erstgespräch buchen

In 7 Schritten die Umsetzung absichern

1. Consent-Management-Tool prüfen oder einrichten, das einzelne Tracking-Kategorien technisch blockieren kann, nicht nur optisch abfragt.
2. OpenAI Pixel als eigene Kategorie im Consent-Tool hinterlegen, getrennt von bestehenden Analyse- oder Marketing-Tools.
3. Datenschutzerklärung um den konkreten Einsatz von Pixel, Image Tag oder Conversions API ergänzen, inklusive Zweck und verarbeiteter Datenkategorien.
4. Advanced Matching gesondert dokumentieren, wenn Sie es aktivieren — auch gehashte Daten sind Daten im Sinne der DSGVO.
5. Auftragsverarbeitung und Drittlandtransfer mit rechtlicher Unterstützung prüfen, bevor Sie live gehen. Dies ist der Punkt, an dem eine spezialisierte Kanzlei den größten Unterschied macht.
6. Betroffenenrechte-Prozess auf Ihrer eigenen Seite sicherstellen, unabhängig von den Nutzerkontrollen, die OpenAI auf ChatGPT-Seite anbietet.
7. Vor dem ersten Kampagnenstart testen, ob das Pixel tatsächlich erst nach Einwilligung feuert — mit einem Browser ohne gespeicherte Zustimmung, nicht nur im eigenen, bereits eingewilligten Testbrowser.

Was Sie jetzt tun können

• Prüfen Sie Ihr bestehendes Consent-Management-Tool auf technische Blockierfähigkeit, bevor Sie das erste Pixel einbinden.
• Sprechen Sie mit einer auf Datenschutz spezialisierten Kanzlei, bevor Sie Advanced Matching oder die Conversions API produktiv schalten — dieser Artikel ersetzt keine rechtliche Prüfung im Einzelfall.
• Dokumentieren Sie schon jetzt, welche Datenkategorien Sie über ChatGPT Ads verarbeiten wollen, damit die Ergänzung der Datenschutzerklärung nicht zum Flaschenhals wird.
• Behalten Sie die EWR-Ankündigung zu personalisierten Anzeigen im Blick — sobald sich daran etwas ändert, ändern sich auch Ihre Einwilligungsanforderungen. Die technischen Grundlagen von Pixel und Conversions API sind im Artikel ChatGPT Ads Tracking 2026 erklärt.
• Lassen Sie sich zeigen, wie sich Werbedaten mehrerer Kanäle datenschutzkonform an einer Stelle auswerten lassen. Unsere KI-Plattform MarketplAIce bündelt genau diese Auswertung für Marktplatz-Händler.

Bei AMZ+ Consulting begleiten wir Marktplatz-Händler bei der technischen Umsetzung neuer Werbekanäle wie ChatGPT Ads — inklusive der Abstimmung mit spezialisierten Kanzleien, wenn es um die rechtliche Absicherung geht. AMZ+ Consulting ist dabei bewusst kein Ersatz für anwaltliche Beratung, sondern der Partner für die operative Umsetzung. Was das konkret umfasst, sehen Sie unter Leistungen und auf unserer Seite zu ChatGPT Ads.

Kostenloses Erstgespräch buchen

FAQ: Häufige Fragen zu ChatGPT Ads und DSGVO

Sind ChatGPT Ads in Deutschland personalisiert oder kontextuell?

Zum Start laufen ChatGPT Ads im EWR, also auch in Deutschland, ausschließlich kontextuell — die Ausspielung orientiert sich am Gesprächsthema, nicht an einem individuellen Nutzerprofil. Personalisierte Anzeigen sollen laut Ankündigung später folgen, dann nur mit ausdrücklicher Einwilligung. Wann genau das erfolgt, ist zum Redaktionsschluss dieses Artikels nicht bekannt.

Sehe ich als Werbetreibender Chatverläufe meiner Zielgruppe?

Nein. Sie erhalten ausschließlich aggregierte Leistungsdaten wie Impressionen, Klicks und Conversions. Auf einzelne Chats, Chatverläufe oder gespeicherte Memories der Nutzer haben Werbetreibende keinen Zugriff.

Brauche ich eine Einwilligung, bevor ich das OpenAI Pixel einbinde?

Ja. Das Pixel darf technisch erst laden, nachdem der Nutzer aktiv zugestimmt hat. Ihr Consent-Management-Tool muss dafür in der Lage sein, das Laden bis zur Einwilligung tatsächlich zu blockieren, nicht nur einen Hinweis anzuzeigen.

Sind gehashte Kundendaten bei Advanced Matching datenschutzrechtlich unbedenklich?

Nein, nicht automatisch. Hashing per SHA-256 ist eine Sicherheitsmaßnahme, keine Anonymisierung im rechtlichen Sinn — ein Hash-Wert, der einer identifizierbaren Person zugeordnet werden kann, bleibt personenbezogene Daten. Die Nutzung sollte entsprechend in Ihrer Einwilligung und Datenschutzerklärung abgedeckt sein.

Muss ich meine Datenschutzerklärung wegen ChatGPT Ads anpassen?

In aller Regel ja, sobald Sie Pixel, Image Tag oder Conversions API einsetzen. Nennen Sie den Einsatz explizit, mit Zweck, Rechtsgrundlage und den verarbeiteten Datenkategorien — ein pauschaler Hinweis auf allgemeines Tracking reicht in der Praxis meist nicht aus.

Wer prüft, ob meine Anzeige und Zielseite datenschutzrechtlich in Ordnung sind?

OpenAI prüft im Rahmen der Anzeigenfreigabe technische und inhaltliche Kriterien wie Erreichbarkeit der Zielseite und Übereinstimmung mit den Werberichtlinien, aber keine umfassende individuelle Datenschutzprüfung für Sie. Die datenschutzrechtliche Verantwortung für Ihre eigene Seite liegt bei Ihnen — im Zweifel gehört das in die Hände einer spezialisierten Kanzlei, nicht in eine Selbsteinschätzung.

Ändert sich etwas an meinen Pflichten, wenn OpenAI später personalisierte Anzeigen im EWR startet?

Sehr wahrscheinlich ja, weil personalisierte Anzeigen laut Ankündigung an eine gesonderte ausdrückliche Einwilligung geknüpft sein sollen. Ob und wann dieser Schritt erfolgt, ist zum Redaktionsschluss offen — behalten Sie diese Entwicklung im Blick, da sie Ihre eigene Consent-Konfiguration direkt betreffen dürfte.

Über den Autor

Jorginho Engelmeyer ist Geschäftsführer der AMZ+ Consulting GmbH und seit über 8 Jahren auf Amazon, Otto und Kaufland für Händler aktiv. → Kostenloses Erstgespräch buchen

Zuletzt aktualisiert: 1. September 2026