ChatGPT-Werbung: was die Policy wirklich sagt
OpenAI hat die Anzeigen in seine EU-Datenschutzrichtlinie geschrieben. Free und Go bekommen Werbung, bei der personalisierten zählen frühere Chats mit.
Werbung in ChatGPT war bisher ein Experiment mit Ankündigungscharakter. Seit dieser Woche steht sie in der EU-Datenschutzrichtlinie, mit Rechtsgrundlage, Datenkategorien und Zweckbindung. Damit ist zum ersten Mal nachlesbar, was OpenAI eigentlich verarbeiten will, und die Antwort ist differenzierter als die Schlagzeilen.
Drei Modi, nicht zwei
Die Richtlinie unterscheidet nicht einfach zwischen "mit Werbung" und "ohne Werbung". Für Free und Go stehen drei Zustände in der Tabelle in Abschnitt 9:
| Modus | Was verarbeitet wird | Rechtsgrundlage |
|---|---|---|
| Personalisierte Werbung | Kontodaten, Nutzerinhalte, Nutzungsdaten inklusive Werbedaten, Geräteinformationen, dazu ausdrücklich frühere Chats | Einwilligung |
| Generische Werbung | Kontext des aktuellen Chats, Standort, Tageszeit, Gerätetyp | Berechtigtes Interesse |
| Kostenlos und werbefrei | steht als Option in der Richtlinie, mit dem Zusatz "mit zusätzlichen Einschränkungen" | nicht näher beschrieben |
Plus und Pro sind in der Klammer, die diese Fälle abgrenzt, ausdrücklich ausgenommen. Bezahlte Konten bekommen keine Anzeigen.
Der dritte Modus ist der interessanteste und zugleich der am dünnsten beschriebene. Die Richtlinie erwähnt eine kostenlose, werbefreie Option mit zusätzlichen Einschränkungen, sagt aber nicht, welche das sind. Wer das für sein Team bewerten will, muss auf die Umsetzung im Produkt warten.
Der Punkt, den die Kurzfassungen verschlucken
In der Berichterstattung liest man, Chatverläufe und gespeicherte Erinnerungen würden für die Anzeigenauswahl nicht herangezogen. Das stimmt, gilt aber nur für die generische Variante. Für die personalisierte steht in der Richtlinie das Gegenteil, und zwar als Beispiel formuliert: Sofern die Anzeigenpersonalisierung verfügbar und aktiviert ist, nutzt OpenAI frühere Chats, um die angezeigten Anzeigen relevanter zu machen.
Das ist kein Widerspruch, sondern die Trennlinie zwischen den beiden Rechtsgrundlagen. Ohne Einwilligung bleibt es beim aktuellen Chat plus Umgebungssignalen. Mit Einwilligung geht der Verlauf in die Auswahl ein. Wer die Einordnung "Chats werden nicht für Werbung genutzt" ungeprüft weitergibt, sagt für den Opt-in-Fall etwas Falsches.
Zwei weitere Details stehen nur in der Primärquelle:
Für Free und Go erhebt OpenAI zusätzlich Informationen über den Werbeverlauf und die Interessen, also welche Werbeinhalte jemand ansieht und mit welchen er interagiert. Das ist eine eigene Datenkategorie, die für bezahlte Konten nicht anfällt.
Und der Datenfluss geht in beide Richtungen. OpenAI bekommt nach eigener Angabe Informationen von Werbetreibenden und Datenpartnern, als Beispiel genannt werden Informationen über getätigte Käufe. Diese Daten dienen laut Richtlinie unter anderem dazu, Free- und Go-Nutzern relevantere Anzeigen zu zeigen.
Was ohne Einwilligung läuft
Bemerkenswert ist, was OpenAI alles unter berechtigtes Interesse stellt statt unter Einwilligung. Neben der generischen Werbung sind das die Mess- und Berichtsdienste für Werbetreibende und die Auswertung, wie wirksam die eigenen Werbemaßnahmen sind.
Die Begründung für die generische Werbung steht so in der Tabelle: Sie diene dazu, leistungsstarke und sichere KI für alle zugänglich zu machen, und unterstütze zugleich das Interesse der Werbetreibenden, passende Nutzer zu erreichen. Werbetreibende selbst bekommen laut Richtlinie nur aggregierte Berichte, etwa zu Aufrufen und Klicks.
Ob berechtigtes Interesse für werbefinanzierte Ausspielung trägt, ist genau die Frage, an der sich in Europa in den vergangenen Jahren mehrere Verfahren entzündet haben. Das hier ist OpenAIs Darstellung der eigenen Rechtsgrundlage, kein Bescheid einer Aufsichtsbehörde und kein Urteil. Bewertet ist damit noch gar nichts.
Zuständigkeit und Datentransfer
Für Nutzer im EWR und in der Schweiz ist OpenAI Ireland Limited in Dublin der Verantwortliche. Ein Datenschutzbeauftragter ist unter einer eigenen Adresse benannt.
Beim Transfer in die USA stützt sich OpenAI auf zwei Mechanismen: die Angemessenheitsbeschlüsse nach Artikel 45 Absatz 1 DSGVO und, für Rechtsordnungen ohne solchen Beschluss, die Standardvertragsklauseln nach Artikel 46 Absatz 2 Buchstabe c. Das ist der übliche Aufbau. Es ist zugleich der Aufbau, dessen Tragfähigkeit gerade wieder offen diskutiert wird, und dieses Risiko trägt jede Organisation mit, die ChatGPT im Arbeitsalltag duldet.
Was Teams jetzt konkret tun können
Der praktische Hebel ist klein, aber real. Free- und Go-Nutzer steuern in den Kontoeinstellungen unter den Werbeeinstellungen, welche Daten für die Personalisierung verwendet werden. Eine erteilte Einwilligung lässt sich dort mit Wirkung für die Zukunft widerrufen.
Drei Schritte, die sich lohnen:
- Klären, wer im Team überhaupt auf Free oder Go sitzt. In den meisten Organisationen ist das mehr Leute als gedacht, und genau diese Konten sind die betroffenen. Bezahlte Team-Lizenzen lösen das Problem nebenbei mit.
- Die Einwilligung zur Personalisierung nicht durchrutschen lassen. Sie ist der Schalter, der frühere Chats in die Werbeauswahl holt. Wer beruflich mit ChatGPT arbeitet, sollte ihn aus lassen, unabhängig davon, wie man die Werbung an sich bewertet.
- Die Datenschutzfolgenabschätzung anfassen, falls eine existiert. Wenn dort ChatGPT ohne Werbeverarbeitung beschrieben ist, beschreibt sie den aktuellen Stand nicht mehr.
Die alte Regel gilt weiter und wird durch diese Änderung nur wichtiger: Vertrauliches gehört nicht in ein kostenloses Konto. Das war schon vor der Werbung richtig, mit einer werbefinanzierten Free-Stufe kommt lediglich ein weiteres Verarbeitungsinteresse dazu.
Einordnung
Der Schritt ist wenig überraschend. Der Free-Tier trägt den Großteil der Nutzer und kostet OpenAI viel Geld, und wir haben den Weg dorthin seit dem Frühjahr verfolgt, von den standardmäßig aktivierten Marketing-Cookies im Mai bis zum Start des Werbegeschäfts in Europa im August.
Was jetzt anders ist: Vorher gab es Berichte über Experimente, jetzt gibt es ein Dokument, an dem man OpenAI messen kann. Das ist für die Bewertung ein Fortschritt, auch wenn das Ergebnis der Bewertung offen ist. Eine Datenschutzrichtlinie mit sauber getrennten Rechtsgrundlagen und benannten Datenkategorien ist immer noch besser als eine Funktion, die still ausgerollt wird und über die man aus der Fachpresse erfährt.
Für den Arbeitsalltag ändert sich am wenigsten für die, die ohnehin bezahlte oder selbst gehostete Wege nutzen. Wer Alternativen im EU-Raum sucht, findet die Abwägung in unserem Überblick zu lokaler KI mit Ollama und in KI-Tools sicher nutzen.