Was steckt hinter dem ChatGPT-Tracking auf Websites?

ChatGPT weiß über seinen Werbe-Collector, was Nutzer auf anderen Websites tun

Michael Dobler

Autor Dr. Web

21. September 2026

2 Min. Lesezeit

Das ChatGPT-Tracking reicht seit Kurzem weit über das Chatfenster hinaus: Ein Werbe-Collector von OpenAI verknüpft das Surfverhalten auf fremden Shops mit dem ChatGPT-Konto. Eine technische Analyse von 932 entschlüsselten Sync-Token zeigt, wie ein einziger Cookie namens __obi denselben Nutzer über 1.029 Hostnamen hinweg wiedererkennt.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Für Entscheider ist der Vorgang mehr als eine Datenschutz-Randnotiz. Firmen, die Werbung über OpenAI schalten oder dessen Conversion-Pixel einbinden, geben womöglich Kundendaten weiter und haften mit.

Das Wichtigste in Kürze

Der Collector setzt einen Cookie namens __obi und meldet OpenAI, welche Produkte ein Nutzer sucht und liest.
Auch ohne Login bleibt die Kennung mindestens 27 Tage stabil; von 932 Token liefen 196 rein anonym.
Standort-Daten wie Land, Region und Postleitzahl gehen im Klartext an OpenAI, E-Mail und Name dagegen gehasht.
Websites, die das Pixel einbinden, werden nach EuGH-Rechtsprechung zu gemeinsam Verantwortlichen.

Was sammelt der Ad-Collector genau?

Ein Glas gefüllt mit Markenetiketten und Preisschildern auf weißem Hintergrund — OpenAIs Conversion-Pixel sammelt Nutzerdaten wie Seitenbesuche, Produktsuchen und Kaufverhalten und sendet diese an das Unternehmen zurück

Der Collector arbeitet wie ein klassisches Werbe-Pixel, sitzt aber an der Kasse fremder Shops. Beim Laden einer Seite mit OpenAIs Conversion-Pixel wandert die Kennung __obi zurück an das Unternehmen, zusammen mit der besuchten Seite, den gesuchten Produkten und dem Kaufverhalten.^[1] Auf einem einzigen Gerät dokumentierte die Analyse 936 Werbe-Pixel über 1.029 Hostnamen, darunter Chewy, Wayfair und HelloFresh.

Brisant ist die Herkunft der Identität. Das Pixel liest Name, E-Mail und Telefonnummer nicht nur aus dem aus, was Händler bewusst übergeben, sondern schürft die Angaben aus Formularen und Seitentext: 685 geschürfte gegen 255 gelieferte Ereignisse. E-Mail und Name hasht OpenAI, die Postleitzahl aber überträgt der Collector im Klartext, an 100 Stellen über 28 Seiten hinweg.

Warum ist das mehr als normales Werbetracking?

Der Mechanismus selbst bricht keine Rekorde. Meta-Pixel und Googles Conversion-Tracking verknüpfen Käufe seit über einem Jahrzehnt mit Werbekonten. Neu ist der Ort: Erstmals läuft dieses Instrument in einem KI-Assistenten, der Seiten im Auftrag des Nutzers liest und dabei ein Vielfaches dessen erfasst, was ein Mensch selbst öffnen würde.

Eine zweite Bruchstelle betrifft die Einwilligung. OpenAI führt __obi als Analyse-Cookie und beantwortete die Nachfrage vom 14. September nicht, warum eine Kennung für Marketing-Tracking als Analyse gilt.^[1] Ein Analyse-Ja im Consent-Banner erlaubt aber kein seitenübergreifendes Werbeprofil.

ChatGPT-Tracking: Was der Ad-Collector erfasst

Befunde einer technischen Analyse von 932 entschlüsselten Sync-Token

936

Werbe-Pixel über 1.029 Hostnamen, gemessen auf einem einzigen Gerät

27 Tage

stabile Wiedererkennung des Geräts, auch ganz ohne Login

685 : 255

aus Formularen geschürfte gegen bewusst gelieferte Identitätsdaten

100

Postleitzahlen im Klartext, erfasst über 28 Websites hinweg

Ein Chatbot, der Seiten in meinem Auftrag liest, wird zum bequemsten Datensammler, den die Werbebranche je hatte. Das eigentliche Risiko trägt am Ende die Firma, die das Pixel arglos einbaut.
— Markus Seyfferth, Chefredakteur Dr. Web

Was bedeutet das für Website-Betreiber in der EU?

Für europäische Anbieter verschiebt sich die Haftung. Sobald eine Website das Conversion-Pixel eines Werbepartners einbindet, wird der Betreiber nach dem Fashion-ID-Urteil des EuGH zum gemeinsam Verantwortlichen für die Daten, die an den Dritten fließen (Rechtssache C-40/17).^[2] Die Regel betrifft den Meta-Pixel genauso wie ein künftiges OpenAI-Pixel.

Drei Schritte helfen sofort:

Prüfen Sie über den Tag-Manager, ob ein Werbe- oder OpenAI-Pixel auf der Seite läuft.
Laden Sie solche Skripte erst nach echter Marketing-Einwilligung, nie unter dem Label Analyse (§ 25 TDDDG).
Dokumentieren Sie, welche Formularfelder eine fremde Seite auslesen kann, bevor Kunden sie ausfüllen.

Die Werbemaschine der KI-Anbieter läuft an, bevor die Consent-Praxis nachzieht. Ein kurzer Blick in den eigenen Tag-Manager kostet zehn Minuten und schützt vor einer Haftung, die sich später schwer zurückholen lässt.