ChatGPT Ads und DSGVO
Du willst den OpenAI-Pixel einbauen und vorher wissen, was er mit den Daten deiner Besucher macht. Growsta hat den ausgelieferten Code gelesen: Er setzt nicht notwendige Cookies und sendet, bis du ihn stoppst.
Der wichtigste Unterschied zum US-Markt steht in einem Satz der OpenAI-Hilfe: „Personalisierte Anzeigen sind zunächst im Europäischen Wirtschaftsraum (EWR) und in der Schweiz nicht verfügbar“ (OpenAI Help Center, Artikel 20001047, abgerufen 04.09.2026). In den USA darf ChatGPT bei aktivierter Personalisierung auf Memory, frühere Chats und bisherige Anzeigen-Interaktionen zurückgreifen, um eine Anzeige auszuwählen. Im EWR fällt diese Ebene weg.
Praktisch heißt das: Ob deine Anzeige erscheint, entscheidet der Kontext der aktuellen Unterhaltung, abgeglichen mit deinen Context Hints, Anzeigentitel, Copy und Landingpage. Ein Nutzerprofil, aus dem die Kampagne „passende Personen“ zieht, beschreibt OpenAI für den EWR nicht. Als Steuerung bleiben Land, Plattform und selbst hochgeladene Custom Audiences; Demografie, Interessen und Lookalikes existieren im Kanal ohnehin nicht. Wie du mit diesen Hebeln arbeitest, steht auf unserer Seite zum Targeting in ChatGPT Ads.
Für die Auswahl der Anzeige nutzt OpenAI im EWR nach eigener Angabe keine Personalisierung; ob und wie OpenAI darüber hinaus Nutzerdaten verarbeitet, sagt der Hilfeartikel nicht. Was nach dem Klick auf deiner Website passiert, liegt dagegen komplett bei dir.
Der zweite Punkt ist der heikelste für deutsche Werbetreibende. Seit etwa dem 17.08.2026 ist Automatic Advanced Matching bei Pixeln standardmäßig aktiv (ppc.land). Der Schalter steckt nicht in deinem Snippet, sondern in einer Konfiguration, die das SDK pro Pixel-ID von OpenAI lädt (bzrcdn.openai.com/pixel-config/v1/<pixelId>.json, Flag automatic_advanced_matching_enabled). Ob es bei dir läuft, siehst du also nicht im Quelltext deiner Seite.
Ist es aktiv, hängt das SDK Listener auf submit, change, click und keydown, durchsucht Eingabefelder per Muster nach E-Mail-Adressen, Telefonnummern, Namen und Adressbestandteilen, normalisiert die Treffer und hasht sie im Browser mit SHA-256, bevor sie an OpenAI gehen. Das betrifft jedes Formular auf der Seite, auf der der Pixel liegt, und auch Besucher, die nie über ChatGPT gekommen sind.
Ein SHA-256-Hash einer E-Mail-Adresse ist ein Pseudonym, kein anonymer Wert: Wer dieselbe Adresse hasht, erhält denselben Hash, und genau darauf beruht das Matching gegen ChatGPT-Konten. Land, Stadt, Region und Postleitzahl gehen zudem ungehasht raus, wenn du sie beim init als Nutzerdaten übergibst. Ob Advanced Matching an oder aus ist, gehört deshalb bewusst entschieden und dokumentiert, nicht dem Default überlassen.
Viele suchen als Erstes nach einem AV-Vertrag, wie man es von Hosting-Anbietern kennt. Die Vertragsunterlagen sind aber anders gebaut. Es gibt ein Ad Tools Data Processing Addendum, Advertising Terms, Conversion Terms, Ad Tools Terms und eine eigene Subprozessoren-Liste. In den Conversion Terms beschreibt OpenAI die Rollen so: Für die Conversion-Daten sind Werbetreibender und OpenAI grundsätzlich unabhängige Verantwortliche. Nur für einen abgegrenzten Teil, den OpenAI „Restricted Processing“ nennt, darunter das Matching hochgeladener Kundenlisten und Daten mit gesetztem opt_out-Flag aus EWR, Schweiz und Großbritannien, handelt OpenAI als Auftragsverarbeiter. Für Daten aus dem EWR und der Schweiz ist laut Unterlagen OpenAI Ireland Limited die Vertragspartei.
Praktisch heißt das: Ein unterschriebener DPA deckt die Übermittlung der Pixel-Daten an sich nicht ab. Für den Teil, in dem OpenAI selbst Verantwortlicher ist, brauchst du eine eigene Grundlage für die Weitergabe; die Einwilligung über das Consent-Banner ist der Weg, den die meisten Werbetreibenden bei Meta und Google dafür längst gehen. Und weil die Policy-Seiten von OpenAI automatisierte Abrufe blocken: Lies Conversion Terms und DPA vor einer Vertragsentscheidung selbst im Browser, nicht über Zusammenfassungen, unsere eingeschlossen.
Custom Audiences sind der einzige Weg, im EWR über Land und Plattform hinaus zu steuern. Du lädst E-Mail-Adressen, Telefonnummern, fertige SHA-256-Hashes oder Werbe-IDs als CSV oder TXT hoch. Eine Include-Liste braucht mindestens 25.000 zugeordnete Personen, Exclude-Listen haben kein Minimum, und die Quelldateien löscht OpenAI innerhalb von 24 Stunden nach dem Abgleich (OpenAI Help Center, Artikel 20001346).
Das ist der Fall, in dem OpenAI als Auftragsverarbeiter handelt. Es nimmt dir aber nicht die Frage ab, ob du die Daten deiner Kunden überhaupt für den Abgleich mit einer Werbeplattform nutzen darfst. Wer seine Liste aus dem CRM zieht, sollte vor dem Upload wissen, auf welcher Grundlage die Adressen dort liegen und ob sie Werbe-Matching einschließt.
Wir formulieren dir keinen Mustertext, weil der zu deiner Seite passen muss. Die Fakten, die ein solcher Abschnitt abdecken sollte, sind aber klar: der Empfänger OpenAI, für den EWR laut Vertragsunterlagen OpenAI Ireland Limited; die Zwecke Conversion-Messung, Attribution und gegebenenfalls Audience-Matching; die drei Cookies mit Namen und Laufzeiten; die Datenkategorien, also Klick-ID, Browser-Kennung, Event-Daten, Seiten-URL, bei Advanced Matching gehashte E-Mail, Telefon und Name, dazu Geodaten, falls du sie übergibst; und der Weg, die Einwilligung zu widerrufen.
Eine Lücke solltest du kennen: Wie lange OpenAI die übermittelten Event-Daten aufbewahrt, steht nicht in den Hilfeartikeln, die wir gelesen haben. Belegt sind nur die Cookie-Laufzeiten und die 24-Stunden-Löschung der Audience-Quelldateien. Diese Frage gehört an den DPA-Text oder an OpenAI direkt.
Anzeigen werden Nutzern der Free- und Go-Stufe gezeigt, eingeloggten Erwachsenen und seit etwa dem 23.04.2026 auch ausgeloggten Nutzern, dort nur jugendfreie Motive. Nicht ausgespielt werden sie an Plus, Pro, Business, Enterprise und Edu, an Konten, die als unter 18 erkannt werden, in Temporary Chats, im ChatGPT-Atlas-Browser und in sensiblen Gesprächskontexten, konkret Gesundheit, mentale Gesundheit und Politik. Politische Werbung ist als Kategorie grundsätzlich verboten (OpenAI Help Center, Artikel 20001047).
Diese Ausschlüsse setzt OpenAI systemseitig; du konfigurierst sie nicht. Das Placement ist immer dasselbe: unterhalb der ChatGPT-Antwort, als „Sponsored“ gekennzeichnet, ohne die Antwort zu verändern.
Der Messpixel heißt oaiq und wird als Script von bzrcdn.openai.com geladen. Im Code stehen drei Cookies: __oppref speichert die Klick-ID aus der Landing-URL für 30 Tage, __obref ist eine zufällig erzeugte Browser-Kennung mit einer Laufzeit von 365 Tagen, und __oaiq_consent hält den Consent-Zustand 30 Tage, ergänzt um einen Eintrag im localStorage.
Keines dieser Cookies braucht deine Website, um zu funktionieren. Sie dienen der Attribution von Klicks und dem Wiedererkennen des Browsers über ein Jahr. Damit fallen sie in die Kategorie, für die § 25 TDDDG (bis Mai 2024: TTDSG) vor dem Speichern auf dem Endgerät eine Einwilligung verlangt, weil die technische Notwendigkeit fehlt. Der ChatGPT-Pixel ist darin nicht anders als der Meta-Pixel oder ein Google-Ads-Tag; die Grundlagen stehen auf unserer Seite zu Conversion Tracking und DSGVO. Hier geht es um die Eigenheiten, die der ChatGPT-Pixel zusätzlich mitbringt.
Die erste Eigenheit überrascht die meisten: Der Consent-Zustand des Pixels startet mit true. OpenAI schreibt das selbst in der Entwicklerdokumentation: „The Pixel initializes consent to true by default unless you set it to false or the Pixel finds a stored denial.“ Im ausgelieferten Code lautet die Prüfung consent !== false, was auch den unentschiedenen Zustand durchlässt. Solange niemand oaiq("consent", false) aufruft, sendet der Pixel.
Ein Consent-Banner, das den oaiq-Pixel nicht kennt, hält ihn also nicht auf. Wer eine Consent-Lösung betreibt, muss den Pixel aktiv daran hängen, und zwar in zwei Schritten: Das Laden des Scripts wird an die Einwilligung gekoppelt, etwa über einen Consent-Trigger im Tag Manager, und zusätzlich wird der Zustand über oaiq("consent", true|false) gepflegt. Der zweite Schritt allein reicht nicht, weil das Script beim Laden bereits eine Remote-Konfiguration zieht und Diagnose-Telemetrie an OpenAI schickt. Bei false löscht der Pixel seine Cookies, verwirft die Warteschlange und sendet einen letzten Beacon mit dem Grund consent_denied.
Was fehlt: Eine Anbindung an den Google Consent Mode gibt es nicht, auch nicht in der offiziellen GTM-Vorlage von OpenAI, und eine TCF-Integration ebenso wenig. Das Flag opt_out, das man einem Event mitgeben kann, ist kein Consent-Ersatz; es nimmt das Event nur aus der Personalisierung heraus, das Senden unterbindet es nicht.
Erstens die Consent-Kopplung: Script-Load und Consent-Signal beide an dein Banner hängen, dann im Netzwerk-Tab prüfen, dass vor der Einwilligung kein Request an bzr.openai.com oder bzrcdn.openai.com rausgeht und keines der drei Cookies gesetzt ist. Die Ablehnung testen, nicht nur die Zustimmung. Zweitens Advanced Matching: die Pixel-Konfiguration aufrufen, nachsehen, ob das Flag aktiv ist, bewusst entscheiden und die Entscheidung festhalten. Wer es abschaltet, kann Nutzerdaten weiterhin gezielt gehasht über den init -Aufruf oder über die Conversions API übergeben, dann aber nur die, die du sel
Das klären wir im Erstgespräch
Erstens die Consent-Kopplung: Script-Load und Consent-Signal beide an dein Banner hängen, dann im Netzwerk-Tab prüfen, dass vor der Einwilligung kein Request an bzr.openai.com oder bzrcdn.openai.com rausgeht und keines der drei Cookies gesetzt ist.
Die Ablehnung testen, nicht nur die Zustimmung.
Zweitens Advanced Matching: die Pixel-Konfiguration aufrufen, nachsehen, ob das Flag aktiv ist, bewusst entscheiden und die Entscheidung festhalten.
Der Pixel setzt mit `__oppref` und `__obref` Cookies, die nicht technisch notwendig sind, und § 25 TDDDG (bis Mai 2024: TTDSG) verlangt für solche Zugriffe auf das Endgerät eine Einwilligung vor dem Speichern. Ob deine konkrete Einbindung passt, klärst du mit deinem Datenschutzbeauftragten.
Ja. Für Kampagnen mit CPM- oder CPC-Abrechnung ist kein Pixel nötig, du verlierst dann aber jede Conversion-Messung im Ads Manager. Die conversion-optimierte Variante oCPC setzt ein Conversion-Ereignis voraus, das über Pixel oder Conversions API gemeldet wird.
Es gibt ein Ad Tools Data Processing Addendum. Es deckt laut Conversion Terms aber nur das „Restricted Processing“ ab, etwa das Matching hochgeladener Kundenlisten. Für die übrigen Conversion-Daten beschreibt OpenAI sich und den Werbetreibenden als unabhängige Verantwortliche.
Der Pixel löscht seine Cookies, verwirft alle wartenden Events und sendet einen letzten Beacon mit dem Grund `consent_denied` an OpenAI. Weil das Script dann schon geladen ist, sollte zusätzlich sein Laden an die Einwilligung gekoppelt sein.
Nein. OpenAI schreibt, dass personalisierte Anzeigen im EWR und in der Schweiz zunächst nicht verfügbar sind. Die Anzeige richtet sich nach dem Kontext der aktuellen Unterhaltung und deinen Kampagnensignalen, nicht nach Memory oder früheren Chats.
Der Schalter liegt in der Pixel-Konfiguration auf OpenAI-Seite, nicht in deinem Snippet. Prüfe das Flag `automatic_advanced_matching_enabled` in der Konfigurationsdatei deiner Pixel-ID. Ist es aus, liest das SDK keine Formularfelder mehr mit; Nutzerdaten kannst du weiterhin gezielt gehasht übergeben.
Im Erstgespräch schauen wir auf dein Werbekonto, den Stand des Pixels, die Consent-Anbindung und ob Advanced Matching bei dir aktiv ist. Danach weißt du, was vor dem ersten Euro noch zu klären ist, und was nicht.
Ohne Verkaufsdruck, ohne Verpflichtung.
Von der Mechanik über Kosten und Targeting bis zu Tracking und Datenschutz.
