Kurz gesagt: ChatGPT, Claude oder Gemini liefern dir Werbetexte für Google Ads und Meta Ads in Minuten — rechtlich sauber wird der Prozess erst, wenn Auftragsverarbeitung, Kennzeichnungspflichten und die Werberichtlinien beider Plattformen von Anfang an mitgedacht werden. Dieser Guide zeigt dir kompakt, wie du diese Anforderungen vorbereitest, bevor die erste Anzeige live geht. Der Rahmen gilt für Deutschland und die EU (DSGVO, EU-KI-Verordnung) — außerhalb der EU gelten andere Vorgaben. Hinweis: Dieser Artikel ersetzt keine Rechtsberatung und keine Einzelfallprüfung durch deine Datenschutzbeauftragte oder deinen Datenschutzbeauftragten. Stand: August 2026.
Was du brauchst
- Zugang zu einem KI-Textgenerator (z. B. ChatGPT, Claude, Gemini) mit Team- oder Business-Plan — Preise und Konditionen bitte beim jeweiligen Anbieter prüfen (Stand: August 2026)
- Google-Ads- und/oder Meta-Ads-Konto mit Werbetreibenden- oder Admin-Zugang
- Interne oder externe Datenschutz-Ansprechperson für die Vertragsprüfung
- Kurzes Briefing zu Produkt, Zielgruppe und Alleinstellungsmerkmal
- Grundkenntnisse der Werberichtlinien von Google Ads und Meta Ads
Zeitaufwand: ca. 90–120 Minuten für die einmalige Vorbereitung, danach pro Kampagne deutlich schneller. Schwierigkeitsgrad: Mittel. Benötigte Rechte: Werbetreibenden- bzw. Admin-Zugang zum Ads-Konto, ggf. Freigabe der Datenschutzbeauftragten.
Schritt 1: Kläre, welche Daten überhaupt in den Prompt fließen
Bevor du einen Prompt schreibst, leg fest, welche Informationen wirklich gebraucht werden. Produktbeschreibung, Preis und eine allgemeine Zielgruppenbeschreibung sind unproblematisch. Sobald du echte Kundendaten — Namen, E-Mail-Adressen, Kaufhistorien — aus deinem CRM in den Prompt kopierst, verarbeitest du personenbezogene Daten über einen externen Dienst. Das braucht eine Rechtsgrundlage nach Art. 6 DSGVO und, bei automatisiertem Profiling für personalisierte Anzeigenansprache, unter Umständen eine Datenschutz-Folgenabschätzung (DSFA). Für reine Werbetext-Erstellung reicht in der Praxis meist ein anonymisiertes Briefing mit Platzhaltern statt echter Kundendaten.
Danach weißt du, ob dein Prompt-Material anonymisiert werden muss oder ob du zusätzlich eine DSFA-Kurzprüfung brauchst.
Schritt 2: KI-Anbieter prüfen und Auftragsverarbeitung absichern
Sobald personenbezogene oder auch nur interne Geschäftsdaten über den KI-Dienst laufen, brauchst du einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter — kostenlose Consumer-Tarife bieten diesen oft nicht an. Prüfe außerdem den Verarbeitungsort: Läuft die Verarbeitung in den USA, handelt es sich um eine Drittlandübermittlung, die zusätzlich über eine DPF-Zertifizierung oder Standardvertragsklauseln (SCCs) abgesichert sein muss. Frag konkret nach, ob du KI-Training für deine Eingaben deaktivieren kannst — bei sensiblem Kontext wie Gesundheits- oder Finanzprodukten sollte das vertraglich zugesichert sein, nicht nur eine Einstellung im Nutzerkonto.
Danach liegt entweder ein unterschriebener AVV samt Transfermechanismus vor, oder du weißt, dass der aktuelle Anbieter bzw. Tarif dafür ungeeignet ist.
Schritt 3: Sichere Prompt-Vorlage für Werbetexte bauen
Baue dir eine wiederverwendbare Prompt-Vorlage, die ohne echte Kundendaten auskommt und trotzdem konkrete, konvertierende Anzeigen liefert: Rolle des Texters, Produkt mit 2–3 Kernvorteilen, anonymisierte Zielgruppenbeschreibung, Zielplattform, gewünschte Tonalität, das jeweilige Zeichenlimit sowie eine Liste verbotener Formulierungen wie „garantiert“ oder „100 % sicher“. Lass dir darauf mehrere Varianten mit Headline und Beschreibung ausgeben. Diese Vorlage verhindert zwei Probleme gleichzeitig: den Datenschutzverstoß aus Schritt 1 und wettbewerbsrechtlich riskante Übertreibungen, die dir später eine Ablehnung bei Google oder Meta einbringen.
Danach hast du eine Prompt-Vorlage, die du für jede weitere Kampagne wiederverwenden kannst, ohne die rechtlichen Leitplanken neu aufzustellen.
Schritt 4: Texte generieren und rechtlich gegenprüfen
Lass dir mehrere Textvarianten ausgeben und prüfe jede gegen drei Kriterien: Wettbewerbsrecht (UWG) — keine unbelegten Spitzenstellungsbehauptungen, keine irreführenden Umweltaussagen wie „klimaneutral“ ohne Zertifizierung; Diskriminierungsfreiheit, besonders bei Stellenanzeigen oder Finanzprodukten; und die plattformspezifischen Werberichtlinien, die gesundheitsbezogene Heilsversprechen, sensible Vorher-Nachher-Bilder oder unbelegte Preisvergleiche ablehnen. KI-Modelle formulieren erfahrungsgemäß gern werblich zugespitzt — genau die Superlative, die Werberichtlinien und UWG problematisch finden.
Danach liegt dir ein geprüfter, freigabefähiger Anzeigentext vor.
Schritt 5: Kennzeichnung richtig setzen (EU-KI-Act, Google Ads, Meta Ads)
Sobald du zusätzlich zu Texten KI-generierte Bilder, Videos oder Voiceovers einsetzt, greifen drei unabhängige Kennzeichnungspflichten gleichzeitig — die Erfüllung der einen ersetzt keine der anderen.
EU-KI-Act (Art. 50 EU-KI-VO)
Seit dem 2. August 2026 müssen fotorealistische, täuschend echt wirkende KI-Inhalte für Nutzer als KI-generiert erkennbar sein. Details zur Abgrenzung zwischen stilisierten Illustrationen und kennzeichnungspflichtigen, deepfake-artigen Inhalten findest du im EU-KI-Verordnung. Bei Verstößen drohen Bußgelder bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.
Google Ads
Seit dem 9. Juli 2026 musst du offenlegen, wenn Anzeigen-Assets mit externer generativer KI (z. B. ChatGPT, Midjourney, Claude) erstellt oder wesentlich bearbeitet wurden. Nutzt du Googles eigene Performance-Max-Creative-Tools, kennzeichnet Google automatisch; bei Fremd-KI-Content musst du die Offenlegung manuell markieren (Menüpfad kann je nach Kontoversion variieren). Fehlt sie, drohen Anzeigenablehnung, Kontowarnungen oder Policy-Strikes.
Meta Ads
Unabhängig davon verlangt Meta ein eigenes Label für realistisch wirkende KI-Inhalte im Werbeanzeigenmanager. Setze es aktiv beim Hochladen, sobald dein Bild- oder Videomaterial mit generativer KI entstanden ist (genaue Menübezeichnung kann je nach Version variieren).
Danach weißt du, welche deiner Creatives kennzeichnungspflichtig sind, und trägst auf beiden Plattformen die korrekte KI-Kennzeichnung.
Schritt 6: Freigabeprozess dokumentieren
Halte für jede Kampagne kurz fest: welcher Prompt verwendet wurde, welches KI-Tool mit welchem AVV zum Einsatz kam, wer die Freigabe erteilt hat und welche Kennzeichnungen gesetzt wurden. Das erfüllt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO — im Streitfall oder bei einer Anfrage der Aufsichtsbehörde musst du den kontrollierten Ablauf nachweisen können. Eine einfache Tabelle mit Datum, Kampagne, Tool und Freigabe-Verantwortlicher reicht dafür meist aus. Lege diese Dokumentation an einem Ort ab, auf den auch deine Datenschutzbeauftragte oder dein Datenschutzbeauftragter jederzeit zugreifen kann — eine Tabelle, die nur auf einem einzelnen Rechner liegt, erfüllt die Rechenschaftspflicht im Zweifel nicht.
Danach hast du eine lückenlose, jederzeit vorzeigbare Dokumentation deines KI-gestützten Anzeigenprozesses.
Ergebnis
Am Ende hast du einen wiederholbaren Workflow für KI-gestützte Google- und Meta-Ads-Texte und -Creatives, ohne bei Datenschutz, Kennzeichnungspflicht oder Plattform-Richtlinien blind ins Risiko zu laufen: ein abgesicherter Vertrag mit dem KI-Anbieter, eine datensparsame Prompt-Vorlage, geprüfte Texte, korrekt gesetzte KI-Labels auf beiden Plattformen und eine Dokumentation, die im Zweifel Auskunft gibt.
Beispiel: Ein Fitnessstudio mit drei Standorten nutzt einen KI-Textgenerator für wöchentliche Google- und Meta-Anzeigen zu saisonalen Angeboten. Dank AVV, anonymisierter Prompt-Vorlage und dokumentierter Freigabe sinkt der Aufwand pro Kampagne erfahrungsgemäß von einem halben Tag auf rund 30 Minuten.
Checkliste: Die 9 kritischsten Punkte vor dem Launch
- ☐ AVV mit dem KI-Anbieter unterschrieben
- ☐ Prompt-Vorlage ohne personenbezogene Daten erstellt
- ☐ KI-Training in den Anbieter-Einstellungen deaktiviert
- ☐ Werbetexte gegen UWG und Plattform-Richtlinien geprüft
- ☐ KI-Kennzeichnung im Google-Ads-Anzeigen-Setup gesetzt
- ☐ Meta-eigenes KI-Label im Werbeanzeigenmanager aktiviert
- ☐ Prompt, Tool-Version und AVV-Stand pro Kampagne dokumentiert
- ☐ Dokumentation abgelegt und für Team sowie Datenschutzbeauftragte zugänglich gemacht
- ☐ Freigabe-Prozess mit der Datenschutzbeauftragten bzw. dem Datenschutzbeauftragten abgestimmt
Weiterführend zu Drittlandübermittlung und DSFA-Pflicht: siehe Schritte 1 und 2 sowie die Häufigen Fragen unten.
Häufige Fehler und Stolperfallen
- Kundendaten oder Zielgruppen-Exporte werden ungeprüft in den KI-Prompt kopiert, statt mit anonymisierten Platzhaltern zu arbeiten.
- Ein privater, nicht-geschäftlicher KI-Zugang wird für Firmen-Werbetexte genutzt, obwohl kein Business-AVV existiert.
- Die automatische KI-Kennzeichnung bei Google Performance Max wird fälschlich auf extern erstellte Assets übertragen, die manuell gekennzeichnet werden müssen.
- Das plattformeigene Meta-KI-Label und die gesetzliche EU-KI-Act-Kennzeichnung werden verwechselt, obwohl beide unabhängig voneinander gelten.
- Unbelegte Superlative aus KI-generierten Texten werden ungeprüft übernommen und später wegen UWG- oder Richtlinienverstoß abgelehnt.
- Die Freigabe-Dokumentation wird nur lokal bei einer einzelnen Person abgelegt, statt sie für Team und Datenschutzbeauftragte zugänglich zu machen.
Häufige Fragen
Brauche ich für jede einzelne Anzeige einen neuen AVV mit dem KI-Anbieter? Nein. Der AVV wird einmalig mit dem Anbieter für die gesamte Nutzung deines Unternehmens abgeschlossen. Erneute Prüfung nur bei Anbieterwechsel oder wesentlichen Vertragsänderungen nötig.
Muss ich reine KI-Texte ohne Bilder auch nach EU-KI-Act kennzeichnen? Bei Text gilt die Kennzeichnungspflicht aus Art. 50 EU-KI-Act eingeschränkter als bei Bild, Video oder Audio — eine substanzielle redaktionelle Überarbeitung kann sie entbehrlich machen. Die plattformeigenen Offenlegungspflichten von Google und Meta können davon unabhängig trotzdem greifen.
Was passiert, wenn ich die KI-Kennzeichnung in Google Ads vergesse? Google kann die Anzeige ablehnen, eine Kontowarnung aussprechen oder bei wiederholten Verstößen einen Policy-Strike verhängen, der sich auf das gesamte Konto auswirken kann.
Reicht ein Standard-AVV-Muster für alle KI-Anbieter? Nein. Prüfe im Einzelfall, ob der Anbieter SCCs, eine DPF-Zertifizierung oder ein anderes Transfer-Instrument für die Übermittlung in die USA nutzt, und ob dein Muster dazu passt.
Wenn mein KI-Tool trotz deaktivierter Einstellung trainiert — wer haftet? Du bleibst als Verantwortlicher nach Art. 24 DSGVO verpflichtet, die Zusagen deines Auftragsverarbeiters zu kontrollieren. Bricht der Anbieter nachweislich die im AVV zugesicherte Trainings-Abschaltung, liegt die primäre Haftung für den Vertragsbruch beim Anbieter — du musst den Verstoß dokumentieren, Abhilfe einfordern und im Zweifel die Aufsichtsbehörde informieren.