ChatGPT Ads und DSGVO: Was Werbetreibende in DACH wirklich beachten müssen

Wenn ab 24. August 2026 die ersten gesponserten Karten unter ChatGPT-Antworten in Deutschland, Österreich und der Schweiz auftauchen, wird die erste Frage in vielen Geschäftsführungen nicht "Was kostet das?" sein, sondern "Dürfen wir das überhaupt?". Die kurze Antwort: ja. Die längere Antwort ist interessanter – weil sich die Pflichten sehr ungleich verteilen. Ein großer Teil liegt bei OpenAI. Ein kleinerer, aber unangenehmerer Teil liegt bei dir.

Wichtig vorweg: Dieser Artikel ist eine Orientierung, keine Rechtsberatung. Er sortiert die Rechtslage nach dem Stand vom 6. August 2026 und benennt, was noch offen ist. Bevor du Budget freigibst, lass die konkrete Umsetzung – vor allem das Tracking – anwaltlich prüfen.

Auf welcher Rechtsgrundlage laufen ChatGPT Ads in Europa?

OpenAI fährt im EWR und in der Schweiz ein zweistufiges Modell. Stufe eins startet am 24. August: rein kontextuelle Werbung. Fünf Signale steuern die Ausspielung – aktuelles Gesprächsthema, ungefährer Standort auf Stadtebene, Gerätetyp, Tageszeit, Sprache. Frühere Chats und Memories sind laut OpenAI ausgeschlossen. Als Rechtsgrundlage werden nach Sekundärberichten berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) und Vertragserfüllung genannt.

Stufe zwei – personalisierte Werbung, die den Gesprächsverlauf auswertet – ist in Europa zum Start gar nicht verfügbar und würde ein ausdrückliches Opt-in erfordern, mit getrennten Schaltern für Personalisierung und für die Nutzung vergangener Chats. In den USA gilt dagegen ein Opt-out-Modell.

Das ist juristisch klug: OpenAI umgeht damit vorerst die schärfste Frage – ob sich aus Chatverläufen zulässig Profile bilden lassen. Umgangen heißt aber nicht gelöst, sondern verschoben. Für dich als Werbetreibenden bedeutet Stufe eins vor allem: Deine Zielgruppenansprache läuft über Kontext, nicht über Personendaten. Das ist ein Datenschutzvorteil – und gleichzeitig der Grund, warum das Targeting gröber ist, als du es von Meta kennst. Wie sich das praktisch auswirkt, steht im Überblick zu ChatGPT Ads.

Der eigentliche Streitpunkt: das "Consent or Pay"-Modell

OpenAI stellt Nutzern drei Optionen: gratis mit Werbung und vollem Funktionsumfang, gratis ohne Werbung aber mit reduzierten Nachrichtenlimits und weggefallenen Funktionen, oder ein kostenpflichtiges Abo. Werbefrei sind Plus, Pro, Business, Enterprise und Edu – ausgerechnet der bezahlte Go-Tarif für 7,99 Euro im Monat enthält Werbung.

Der Maßstab dafür ist die Stellungnahme 08/2024 des Europäischen Datenschutzausschusses vom 17. April 2024. Der EDSA kam zu dem Schluss, dass große Online-Plattformen die Anforderungen an eine wirksame Einwilligung in den meisten Fällen nicht erfüllen können, wenn sie Nutzer nur vor die Wahl zwischen Einwilligung und Gebühr stellen. Eine echte gleichwertige Alternative ohne Gebühr sei anzubieten.

Ob eine funktionsreduzierte Gratisvariante diesen Maßstab erfüllt, ist die entscheidende ungeklärte Frage. Federführende Aufsichtsbehörde ist die irische Data Protection Commission (Verantwortlicher im EWR ist OpenAI Ireland Limited, Dublin). Sie hat sich dazu bis Redaktionsschluss nicht öffentlich geäußert. Auch von der deutschen Datenschutzkonferenz oder der österreichischen DSB war keine Stellungnahme speziell zu ChatGPT Ads auffindbar. Das ist ein Negativbefund – kein Freibrief.

Praktische Konsequenz für dich: Dieses Risiko liegt bei OpenAI, nicht bei dir. Aber wenn eine Aufsichtsbehörde das Modell kippt, kippt möglicherweise auch dein Kanal. Plane ChatGPT Ads deshalb nicht als tragende Säule, sondern als Testposten neben bestehenden Kanälen.

Was liegt bei OpenAI, was liegt bei dir?

Die Faustregel: Alles, was im ChatGPT-Interface passiert, ist OpenAIs Baustelle. Alles, was dein Creative, deine Landingpage und dein Tracking betrifft, ist deine.

Conversion-Tracking: Hier wirst du selbst zum Verantwortlichen

Das ist der Punkt, den die meisten Beiträge zum Thema überspringen. OpenAI stellt einen JavaScript-Pixel (First-Party-Cookie mit dem Identifier __oppref) und eine serverseitige Conversions API bereit. Automatic Advanced Matching ist für neue Web-Pixel bereits Standard; für bestehende Pixel soll es laut Ankündigung am 17. August 2026 automatisch aktiviert werden, sofern Werbetreibende nicht vorher widersprechen.

Drei Konsequenzen:

1. Einwilligung ist im EWR der sichere Weg. Über die DSGVO hinaus greift die ePrivacy-Richtlinie – in Deutschland § 25 TDDDG, in Österreich das TKG. Setz den Pixel in deine Consent-Kategorie "Marketing" und lade ihn erst nach aktiver Zustimmung.
2. Gehashte Daten sind keine anonymen Daten. SHA-256-gehashte E-Mail-Adressen gelten als pseudonymisiert, nicht anonymisiert – und damit weiter als personenbezogen.
3. Die Vertragslage ist unbequem. Ob das Verhältnis zwischen dir und OpenAI beim Tracking eine Auftragsverarbeitung (Art. 28) oder gemeinsame Verantwortlichkeit (Art. 26) ist, ist ungeklärt. Einen Auftragsverarbeitungsvertrag stellt OpenAI nach Recherchestand nur für Team, API und Enterprise bereit; einen Joint-Controller-Vertrag bietet das Unternehmen derzeit nicht an. Prüf das vor dem Start – und dokumentier, wie du zu deinem Ergebnis kommst.

Dazu kommt: Verarbeitung findet auch auf Servern außerhalb des EWR statt, gestützt auf Angemessenheitsbeschluss (Art. 45 Abs. 1 DSGVO) und Standardvertragsklauseln. Das gehört in dein Verarbeitungsverzeichnis und in deine Datenschutzerklärung.

DSA: Werbetransparenz und ein Verbot, das im Chat besonders zählt

Art. 26 Abs. 1 DSA verlangt für jede Anzeige vier Dinge: klare Kennzeichnung als Werbung, Nennung des Auftraggebers, Nennung des Zahlenden (falls abweichend) und leicht zugängliche Informationen zu den wichtigsten Targeting-Parametern. Art. 26 Abs. 3 verbietet Werbung auf Basis von Profiling mit besonderen Datenkategorien nach Art. 9 DSGVO – gegenüber allen Nutzern, nicht nur Minderjährigen.

Im KI-Chat ist das besonders brisant, weil Gespräche typischerweise Gesundheit, Sexualleben, Religion oder politische Meinung offenbaren. OpenAI schließt Anzeigen bei körperlicher und mentaler Gesundheit, Selbstverletzung, Politik, Waffen und Betrug kategorisch aus; politische Werbung ist generell untersagt.

Ob ChatGPT förmlich als sehr große Online-Suchmaschine eingestuft wird, prüfte die EU-Kommission zum Recherchezeitpunkt noch. Käme die Einstufung, gälten zusätzlich systemische Risikobewertung (Art. 34/35), ein öffentliches Werbearchiv (Art. 39), Forscherzugang (Art. 40) und ein jährliches Audit. Ob OpenAI heute bereits ein DSA-konformes Werbearchiv betreibt, ließ sich nicht verifizieren.

Kennzeichnungspflicht: UWG gilt unabhängig vom AI Act

Der schärfste nationale Hebel ist das Lauterkeitsrecht – und der ist abmahnfähig.

• Deutschland: § 5a Abs. 4 UWG. Sobald eine Gegenleistung geflossen ist oder ein werblicher Überschuss vorliegt, muss der kommerzielle Zweck klar und deutlich erkennbar sein.
• Österreich: Z 11 des Anhangs zum UWG (schwarze Liste) sowie § 26 Mediengesetz. Der OGH hat entschieden, dass beide im Wesentlichen dieselben Ge- und Verbote enthalten. Ergänzend § 6 Abs. 1 Z 1 ECG.

Genau darauf sind OpenAIs Konstruktionen gemünzt: die Platzierung unterhalb der Antwort, die visuelle Absetzung, das "gesponsert"-Label und der beschriebene "Air Gap" – das Modell weiß beim Formulieren der Antwort nicht, welche Anzeige folgt.

Ein Wermutstropfen aus dem US-Markt, der auch die Wahrnehmung prägt: Eine SE-Ranking-Auswertung von 50.006 kommerziellen Prompts (Erhebung 23. Juli 2026) fand, dass 14,35 % der Anzeigen keinen erkennbaren Bezug zum Prompt hatten – in den Kategorien Relationships und News/Politics über 50 %. Kontextwerbung ist eben nicht automatisch kontextsicher. Für dich heißt das: Dein Creative muss auch dann sauber und nicht irreführend sein, wenn es in einem thematisch schiefen Umfeld landet.

EU AI Act: Art. 50 betrifft dich beim Creative, nicht beim Kanal

Die Transparenzpflichten des Art. 50 EU AI Act gelten seit 2. August 2026. Für Werbetreibende ist die Abgrenzung entscheidend:

• Nicht kennzeichnungspflichtig: reine Werbe- und Produkttexte. Art. 50 Abs. 4 S. 2 greift nur bei Themen von öffentlichem Interesse.
• Kennzeichnungspflichtig: Deepfakes nach Art. 50 Abs. 4 S. 1 – und zwar auch dann, wenn kein real existierender Mensch nachgeahmt wird. Die Erleichterung für künstlerische oder satirische Werke gilt ausdrücklich nicht für kommerzielle Werbung. Ebenso fotorealistische, potenziell täuschende Bilder und synthetische Voice-Overs.
• Aufgeschoben: die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 – per Digital Omnibus bis 2. Dezember 2026, aber nur für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden.

Art. 50 Abs. 5 verlangt, dass Transparenzhinweise "klar und unterscheidbar" sind – nicht im Quellcode oder in Fußnoten. Verstöße gegen Art. 50: bis 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes. Die finalen Kommissionsleitlinien stammen vom 20. Juli 2026, der Transparenz-Code-of-Practice wurde Anfang Juli als angemessen eingestuft.

Die theoretische Obergrenze bleibt Art. 5 AI Act (verbotene manipulative Praktiken, seit 2. Februar 2025, bis 35 Mio. Euro oder 7 %). Die Tatbestandshürden – insbesondere "erheblicher Schaden" – sind aber hoch.

Sieben Punkte, die du vor dem ersten Euro klärst

1. Kategorie prüfen: Glücksspiel, Alkohol, Tabak, Adult/Dating, Krypto, Schuldenregulierung, Politik und Waffen sind bei OpenAI ausgeschlossen; Finanzen, Health und Legal nur nach Einzelfreigabe.
2. Pixel und Conversions API in die Consent-Kategorie "Marketing" einbinden – Auslösung erst nach aktiver Zustimmung.
3. Verarbeitungsverzeichnis und Datenschutzerklärung um OpenAI als Empfänger und um die Drittlandübermittlung ergänzen.
4. Vertragslage mit OpenAI schriftlich klären: Art. 28 oder Art. 26 – und was tatsächlich zur Verfügung steht.
5. Creatives auf KI-Anteile durchgehen: Sind Personen, Stimmen oder fotorealistische Szenen synthetisch? Dann Kennzeichnung.
6. Werbeaussagen so formulieren, dass sie auch außerhalb des gedachten Gesprächskontexts nicht irreführen.
7. Vor dem 24. August die Ausgangswerte deiner bestehenden Kanäle einfrieren, damit du später überhaupt etwas vergleichen kannst. Wie du das aufsetzt, steht in der Anleitung zum Schalten von ChatGPT Ads.

Was wir ehrlicherweise nicht wissen

Ein Punkt zur Quellenlage: openai.com und help.openai.com blockieren automatisierte Abrufe. Sämtliche OpenAI-Aussagen in diesem Artikel stammen aus Sekundärquellen, die OpenAI zitieren – nicht aus einem direkten Abruf der Primärdokumente. Verifizier die für dich kritischen Punkte an der Originalquelle.

Offen sind außerdem: die Bewertung des "Consent or Pay"-Modells durch die Aufsichtsbehörden, die DSA-Einstufung durch die EU-Kommission, die konkreten Attributionsfenster im Reporting, und die Behandlung ausgeloggter Nutzer in Europa – dazu widersprechen sich die deutschen Quellen.

Einen Befund sollte man kennen, auch wenn er aus dem US-Markt stammt: Ein akademischer Sock-Puppet-Audit (Lurie et al., arXiv 2608.05008, 91 Accounts, 127.801 Konversationen, Februar bis Mai 2026) fand, dass Accounts mit niedrigerem Einkommen signifikant häufiger Anzeigen erhielten (Odds Ratio 0,98 je 1.000 USD Einkommen, p=0,0438). Das betraf das personalisierte US-Modell, nicht die kontextuelle EU-Variante. Es zeigt aber, wohin die Diskussion läuft, sobald Personalisierung auch in Europa freigeschaltet wird.

Dazu kommt der Reputationsfaktor: Laut vzbv gehen 52 % der deutschen Verbraucher davon aus, dass Firmen KI zur Manipulation von Kaufentscheidungen einsetzen. Das ist keine Rechtspflicht, aber ein Argument dafür, in diesem Kanal betont transparent aufzutreten.

Und wenn du KI lieber im eigenen Haus hättest

Ein Nebeneffekt dieser ganzen Rechtsdebatte: Sie entsteht, weil Daten das Haus verlassen. Wir bei ChangeMy.AI bauen digitale Mitarbeiter für KMU im DACH-Raum bewusst self-hosted – die Daten bleiben im Eigentum des Kunden, gehostet in der EU. Das löst kein einziges Problem der ChatGPT-Werbeplattform, ist aber der Grund, warum wir bei jedem externen Kanal zuerst fragen, welche Daten dabei wohin fließen. Wenn du wissen willst, ob sich der Kanal für dein Unternehmen überhaupt rechnet, hilft die Kostenbetrachtung zu ChatGPT Ads und die Einordnung für KMU.

Stand und Quellen

Stand: 6. August 2026. Der Markt bewegt sich monatlich – prüfe vor dem Start, ob sich die hier genannten Punkte geändert haben. Dieser Beitrag ist eine Orientierung und ersetzt keine anwaltliche Prüfung des Einzelfalls.

• OpenAI zur Europa-Expansion: https://openai.com/index/chatgpt-ads-expands-across-europe/
• OpenAI Help Center, Ads in ChatGPT: https://help.openai.com/de-de/articles/20001047-ads-in-chatgpt
• OpenAI Ad Policies: https://openai.com/policies/ad-policies/
• EDSA, Stellungnahme 08/2024 zu "Consent or Pay": https://www.edpb.europa.eu/news/news/2024/edpb-consent-or-pay-models-should-offer-real-choice_en
• ppc.land zur europäischen Datenschutzkonstruktion: https://ppc.land/chatgpt-free-and-go-users-in-europe-face-ads-from-later-this-month/
• Art. 26 DSA: https://gesetz-digitale-dienste.de/dsa/artikel-26/
• Kommissionsleitlinien zu Art. 50 AI Act (Einordnung): https://www.gleisslutz.com/en/know-how/update-ai-transparency-advertising-european-commissions-guidelines-ai-act
• Digital Omnibus on AI: https://www.kpmg-law.at/digital-omnibus-on-ai/
• Trennungsgebot § 5a Abs. 4 UWG: https://www.ratgeberrecht.eu/aktuell/trennungsgebot-im-werberecht/
• Kennzeichnungspflicht Österreich (Z 11 UWG-Anhang, § 26 MedienG): https://www.muehlfellner.eu/die-pflicht-zur-kennzeichnung-von-werbung/
• Gehashte Conversion-Daten und ePrivacy: https://seresa.io/blog/consent-rates-data-impact/chatgpt-ads-never-see-your-chats-but-hashed-conversions-are-still-regulated
• DSA-Einstufungsprüfung: https://www.techpolicy.press/eu-weighs-regulating-openais-chatgpt-under-the-dsa-what-does-that-mean/
• SE-Ranking-Studie zu Anzeigenrelevanz: https://seranking.com/blog/chatgpt-ads-study/
• Akademischer Audit (Lurie et al.): https://arxiv.org/html/2608.05008v1
• vzbv zur Manipulationswahrnehmung: https://www.vzbv.de/pressemitteilungen/ki-jeder-zweite-befuerchtet-manipulation-bei-kaufentscheidungen