ChatGPT Ads und DSGVO: Consent, TDDDG und der EWR-Sonderfall

Der EWR-Sonderfall bei der Auswahl

OpenAI schreibt, dass personalisierte Anzeigen im Europäischen Wirtschaftsraum und in der Schweiz zunächst nicht verfügbar sind. Das ist mehr als eine Fußnote, denn es legt fest, woraus die Auswahl einer Anzeige überhaupt entsteht.

Für die Beurteilung deines Setups ist wichtig, wo dieser Sonderfall gilt und wo nicht. Er betrifft die Auswahlseite, also das, was OpenAI mit den Daten der Nutzer macht. Auf die Messseite wirkt er nicht: Was dein Shop an OpenAI zurückmeldet, bleibt davon unberührt, und genau dort liegt der Teil, für den du verantwortlich bist.

Zurück zum Überblick: ChatGPT Ads, der Leitfaden zum DACH-Start.

Das Pixel steht auf Einwilligung liegt vor

Das OAIQ-Pixel von OpenAI startet mit einem Einwilligungs-Status, der auf wahr steht. Wer den Versand bis zur Entscheidung des Besuchers anhalten will, muss das aktiv tun, und die Reihenfolge entscheidet: Der Aufruf mit dem Wert falsch gehört vor den init-Aufruf. Danach gesetzt wirkt er nicht mehr auf den ersten Versand.

Die drei mittleren Zeilen sind der Grund, warum dieser Kanal beim Einrichten mehr Arbeit macht als andere. Bei Anbietern, die im Google Consent Mode oder als TCF-Vendor geführt sind, übernimmt die Consent-Management-Plattform die Kopplung. Hier gibt es weder das eine noch das andere, also musst du das Signal deines Banners selbst an den consent-Aufruf des Pixels weiterreichen. Solange das nicht gebaut ist, läuft das Pixel in seiner Voreinstellung.

Automatic Advanced Matching läuft ohne Zutun

Seit dem 17.08.2026 ist Automatic Advanced Matching die Voreinstellung für alle Web-Pixel von OpenAI. Dabei liest das Pixel Kundendaten aus Formularen auf deiner Seite und hasht sie im Browser mit SHA-256, bevor sie übertragen werden.

Der Hash ändert nichts an der Frage, ob du die Daten übermitteln darfst. Er verändert nur die Form, in der sie reisen. Wichtig ist deshalb vor allem, dass diese Verarbeitung beginnt, ohne dass jemand sie eingeschaltet hat. Wer den Umfang der Übertragung beschreiben muss, etwa gegenüber der eigenen Datenschutzberatung oder im Verzeichnis von Verarbeitungstätigkeiten, sollte das wissen, bevor das Pixel auf der Seite liegt.

Auf der Hashing-Seite gibt es eine Besonderheit, die beim Aufbau leicht übersehen wird. OpenAI erwartet Telefonnummern als reine Ziffernfolge, ohne führendes Plus und ohne Null-Null-Präfix. Google und Microsoft verlangen dagegen das internationale Format mit Plus. Aus einem Hash lässt sich nicht zurückrechnen, ein einmal in der falschen Normalisierung gebildeter Wert trifft also nie, und weder das Protokoll noch die Antwort der Schnittstelle zeigen das an.

Die Normalisierungsregeln im Detail: ChatGPT Ads Conversion Tracking einrichten.

OpenAI ist eigenständig verantwortlich

Wer ein Pixel einbindet, erwartet meist eine Auftragsverarbeitung: Der Anbieter verarbeitet im Auftrag, man schließt einen Vertrag darüber ab, fertig. Bei den Werbe-Werkzeugen von OpenAI ist das ausdrücklich anders geregelt.

Das Ad Tools DPA stellt in Abschnitt 1.1 beide Seiten als unabhängig Verantwortliche und schließt dabei sowohl eine gemeinsame Verantwortlichkeit als auch eine Auftragsverarbeitung füreinander aus. Eine Ausnahme nennt das Dokument selbst, die sogenannte Restricted Processing, und deren Definition in Abschnitt 5 umfasst genau zwei Fälle: den Abgleich von Zielgruppendaten über die Audience Tools und Daten, die mit einem Opt-out-Kennzeichen übergeben werden und Personen in einer Restricted Jurisdiction betreffen.

Conversion-Daten aus einem Shop fallen unter keinen dieser beiden Fälle. Die Conversion-Bedingungen wiederholen das noch einmal. Daraus folgt eine Aussage, die in der Praxis regelmäßig für Rückfragen sorgt: Für diesen Weg gibt es keinen Auftragsverarbeitungsvertrag mit OpenAI, und es kann auch keinen geben. Dein Shop sendet Daten an eine eigenständig verantwortliche Stelle.

Vergleichbar ist die Lage mit Google Ads und mit Affiliate-Netzwerken: Der Empfänger ist eigenständig verantwortlich, die Rechtsgrundlage liegt beim Shop, und das Signal aus dem Einwilligungs-Banner des Shops entscheidet. Der Unterschied liegt nur darin, dass OpenAI diese Rollenverteilung schriftlich festhält, statt sie offenzulassen.

Was das für deinen Consent-Banner heißt

Aus der Rollenverteilung folgt die Frage, was dein Einwilligungstext abdecken muss. Eine Formulierung, die nur von Conversion-Messung spricht, beschreibt eine Verarbeitung im eigenen Haus. Hier gehen Daten an einen Empfänger, der sie eigenverantwortlich verarbeitet. Ob der vorhandene Text das trägt, prüft am besten die Stelle, die ihn geschrieben hat.

Zur Rechtsgrundlage der Verarbeitung gehen die Einschätzungen in der Fachpresse auseinander, und wir lösen das hier nicht auf. Ein Teil argumentiert, dass bei einer rein kontextuellen Auswahl ohne Profilbildung ein berechtigtes Interesse in Betracht kommt. Ein anderer Teil hält Einwilligung von Anfang an für erforderlich. Für den Zugriff auf das Endgerät, also das Setzen und Auslesen von Informationen im Browser, sieht das TDDDG unabhängig davon eine Einwilligung vor, sofern der Zugriff nicht unbedingt erforderlich ist.

Technisch lässt sich beides gleich vorbereiten, und darin liegt die praktische Antwort: Baue die Kopplung so, dass dein Banner den Zustand des Pixels steuert. Dann ist die rechtliche Entscheidung eine Einstellung und kein Umbau. Weil OpenAI weder im Consent Mode noch im TCF vertreten ist, gehört dieser Schritt ohnehin auf die Liste.

Grundlagen zur Einwilligung im Tracking: DSGVO-konformes Tracking.

Die Conversions API ändert an der Pflicht nichts

Ein verbreitetes Missverständnis lautet, dass der serverseitige Weg die Einwilligungsfrage umgeht, weil im Browser des Besuchers nichts mehr passiert. Das trifft auf den Zugriff auf das Endgerät zu, nicht auf die Übermittlung selbst. Wer Bestelldaten von seinem Server an einen eigenständig verantwortlichen Empfänger sendet, übermittelt personenbezogene Daten und braucht dafür dieselbe Grundlage wie im Browser.

Die Bedingungen von OpenAI halten das auf ihrer Seite ebenfalls fest: Der Werbetreibende verpflichtet sich, alle nötigen Hinweise gegeben und Einwilligungen eingeholt zu haben, bevor gesendet wird, und keine Daten von Personen zu senden, die widerrufen haben. Der zweite Teil ist der aufwendigere, denn er verlangt, dass ein Widerruf bis in den serverseitigen Versand durchschlägt.

Was der serverseitige Weg dagegen tatsächlich verbessert, ist die Vollständigkeit der Messung, wenn Einwilligung vorliegt. Das ist ein Argument für die Datenqualität, kein rechtliches.

Was offen ist

Drei Punkte lassen sich aus den veröffentlichten Dokumenten nicht beantworten. Sie stehen hier, statt mit einer plausiblen Vermutung gefüllt zu werden.

Wo Conversion-Daten europäischer Kunden physisch liegen, sagt keines der Dokumente. Das Ad Tools DPA benennt in Abschnitt 3.2 OpenAI Ireland Limited als verarbeitende Stelle für Daten aus dem EWR und der Schweiz und verweist für Übermittlungen in Drittländer auf einen gültigen Übermittlungsmechanismus. Das ist eine Aussage über die Zuständigkeit, nicht über den Speicherort.

Die europäische Datenschutzerklärung von OpenAI trug am 21.08.2026 den Stand vom 4. Juni 2026 und enthielt keinen Abschnitt zu Werbung. Sie ist damit älter als der Werbestart in Europa. Presseberichte über eine Aktualisierung Mitte August treffen auf dieses Dokument nicht zu.

Wie eine belastbare Kopplung an eine Consent-Management-Plattform aussieht, ist ebenfalls offen, solange weder ein TCF-Eintrag noch eine Consent-Mode-Integration existiert. Jede heutige Lösung ist eine eigene, und sie muss bei einem Wechsel des CMP-Anbieters erneut geprüft werden. Diese Seite wird nachgeführt, sobald OpenAI hier etwas dokumentiert.