Meta-Pixel (Facebook) DSGVO-konform nutzen

Das Meta-Pixel (connect.facebook.net) verfolgt das Verhalten von Besucher:innen für Werbe-Targeting und Conversion-Messung und überträgt Daten an Meta in den USA.

Das Meta-Pixel ist ein reines Marketing-Werkzeug — es gibt keine Variante, die ohne Einwilligung zulässig wäre. Anders als bei Analyse-Tools hilft hier auch keine Anonymisierung: Zweck ist das Wiedererkennen einzelner Personen über Websites hinweg, und genau das setzt nach § 25 Abs. 1 TDDDG die vorherige, aktive Zustimmung voraus.

Der EuGH hat in der Fashion-ID-Entscheidung (C-40/17) klargestellt, dass Seitenbetreiber und Meta für die Erhebung und Übermittlung der Daten gemeinsam verantwortlich sind. Praktisch bedeutet das: Du brauchst nicht nur die Einwilligung, sondern auch die von Meta bereitgestellte Vereinbarung zur gemeinsamen Verantwortlichkeit (Controller Addendum) und musst deren Kerninhalte in der Datenschutzerklärung offenlegen.

Die Conversions-API (serverseitiges Tracking) ändert an der Rechtslage nichts. Auch serverseitig übermittelte Ereignisse brauchen dieselbe Einwilligung wie das clientseitige Pixel — wer die API ohne Consent-Prüfung betreibt, verlagert das Problem nur auf den Server.

Ist das ein Risiko?

Für Marketing-Tracking gilt § 25 Abs. 1 TDDDG: Zugriff auf das Endgerät nur mit vorheriger Einwilligung. Der EuGH betont die gemeinsame Verantwortlichkeit von Seitenbetreiber und Meta für die Erhebung. Ohne Einwilligung und ohne Vereinbarung zur gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) fehlt die Grundlage.

Was du tun kannst

• Das Pixel ausschließlich nach aktiver Einwilligung laden.
• Die Vereinbarung zur gemeinsamen Verantwortlichkeit mit Meta abschließen und die Kern­inhalte offenlegen.
• In der Datenschutzerklärung Zweck, Meta als Empfänger, USA-Transfer und Widerruf beschreiben.
• Conversions-API nur serverseitig mit denselben Einwilligungs-Signalen betreiben.

Häufige Fragen

Darf das Meta-Pixel im „eingeschränkten Datenverarbeitungsmodus“ ohne Einwilligung laden?

Nein. Der eingeschränkte Modus (Limited Data Use) reduziert, was Meta mit den Daten tun darf, ändert aber nichts daran, dass beim Laden des Pixels auf das Endgerät zugegriffen wird. Das bleibt nach § 25 Abs. 1 TDDDG einwilligungspflichtig.

Reicht ein Hinweis in der Datenschutzerklärung statt einer Einwilligung?

Nein. Ein Informationstext erfüllt die Transparenzpflicht, ersetzt aber nicht die aktive Einwilligung, die für den Zugriff auf das Endgerät und die anschließende Verarbeitung nötig ist.

Was ist die Vereinbarung zur gemeinsamen Verantwortlichkeit?

Meta stellt ein „Controller Addendum“ bereit, das die Rollen von dir und Meta bei der Datenerhebung regelt. Es gilt automatisch bei Nutzung des Pixels; die wesentlichen Inhalte musst du betroffenen Personen zugänglich machen, üblicherweise in der Datenschutzerklärung.

Wie teste ich, ob das Pixel zu früh feuert?

Im privaten Fenster die Entwicklertools öffnen, im Tab „Netzwerk“ nach „facebook“ filtern und die Seite laden, ohne den Banner zu bestätigen. Anfragen an connect.facebook.net oder facebook.com/tr zeigen, dass das Pixel vor der Einwilligung lädt.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.