Der Meta Pixel darf auf einer deutschen Website erst Daten senden, nachdem der Nutzer eingewilligt hat. Der Pixel liest und schreibt Informationen auf dem Gerät und schickt Daten an einen Dritten, damit fallen zwei Regeln zusammen: § 25 TDDDG für den Zugriff auf das Gerät und die DSGVO für die Verarbeitung. Verantwortlich für die Einwilligung ist der Websitebetreiber, nicht Meta.

Dieser Artikel zeigt, was die Aufsicht und der Europäische Gerichtshof dazu sagen, was Meta von Betreibern verlangt und wie Sie den Pixel technisch an die Entscheidung im Banner binden. Die Technik entspricht der des Google Consent Mode: Der Dienst sendet nur, wenn der Nutzer es erlaubt hat. Der Text ist keine Rechtsberatung.

Der EuGH hat in der Rechtssache Fashion ID (C-40/17) entschieden, was für das Einbinden eines Drittanbieter-Plugins gilt. Wer es einbindet, entscheidet über Zwecke und Mittel der Erhebung und Übermittlung mit. Die Verantwortung ist allerdings auf die Vorgänge beschränkt, über die der Betreiber tatsächlich mitentscheidet (Rn. 85). Außerdem obliegt es dem Betreiber der Website und nicht dem Anbieter des Plugins, die Einwilligung einzuholen (Rn. 102).

Das Urteil betraf den Like-Button von Facebook, die Logik passt aber auf jeden Drittdienst, der beim Aufruf der Seite Daten an einen Anbieter überträgt. Für den Meta Pixel heißt das: Die Information der Nutzer und die Einwilligung sind Ihre Aufgabe, vor dem ersten Datenfluss.

In der Orientierungshilfe Digitale Dienste der DSK (Version 1.2, November 2024) sind drei Punkte für den Pixel relevant:

• § 25 TDDDG: Die Speicherung und der Zugriff brauchen die Einwilligung des Endnutzers, sofern keine der beiden Ausnahmen greift. Werbepixel fallen darunter nicht.
• Berechtigtes Interesse: Beim Tracking sind die Voraussetzungen von Art. 6 Abs. 1 lit. f DSGVO "nur in wenigen Konstellationen" erfüllt (Rn. 109). Wenn der Drittdienstleister die Daten auch zu eigenen Zwecken nutzt, wird nach der Orientierungshilfe der Rahmen einer Auftragsverarbeitung überschritten (Rn. 111).
• Information: Drittdienste sind einzeln zu benennen, wenn sie für Tracking oder Werbung eingesetzt werden. Ein Hinweis auf "Partner" oder darauf, dass Informationen "möglicherweise mit weiteren Daten zusammengeführt" werden, genügt nicht (Rn. 120).

Eine Aussage speziell zum Meta Pixel haben wir in dem Dokument nicht gefunden. Die Kriterien gelten für ihn wie für jeden anderen Werbedienst. Mehr zur Frage, warum berechtigtes Interesse bei Cookies nicht trägt, im Beitrag berechtigtes Interesse bei Cookies.

Auch Meta selbst delegiert die Pflicht. Nach den Meta Business Tools Terms müssen Sie auf der Website einen klaren und deutlich sichtbaren Hinweis geben, dass Pixel von Dritten Daten erheben. Und dort, wo für das Speichern und Auslesen von Cookies eine informierte Einwilligung nötig ist, wie in der EU, müssen Sie sicherstellen, dass der Nutzer alle erforderlichen Einwilligungen gegeben hat, bevor Sie die Business Tools nutzen.

Die Entwicklerdokumentation von Meta nennt zwei Befehle. Mit fbq('consent', 'revoke') pausiert der Pixel das Senden, mit fbq('consent', 'grant') setzt er es nach einer bestätigenden Einwilligung fort. Der Widerruf muss vor dem Initialisieren stehen. Jedes Unternehmen sei für die eigene Einhaltung der DSGVO verantwortlich.

Zwei Wege führen zum Ziel, und viele Seiten kombinieren sie: Sie blockieren das Skript bis zur Einwilligung, oder Sie nutzen die Einwilligungsbefehle des Pixels.

Beim Laden der Seite beginnt der Pixel mit widerrufener Einwilligung, noch vor der Initialisierung:

fbq('consent', 'revoke');
fbq('init', 'IHRE_PIXEL_ID');

Läuft der Pixel über den Google Tag Manager, braucht das Tag eine zusätzliche Einwilligungsprüfung für den Typ ad_storage, denn eigene HTML-Tags haben keine eingebaute Prüfung. Das beschreibt der Beitrag zum Google Tag Manager.

Stimmt der Nutzer der Kategorie Marketing zu, meldet die CMP das an den Pixel:

fbq('consent', 'grant');

Widerruft der Nutzer später, muss der Status wieder auf revoke springen. Die DSK verlangt für Google Analytics, dass nach dem Widerruf das Skript nicht mehr geladen oder ausgeführt wird. Dieselbe Erwartung ist auch beim Pixel vernünftig.

1. Öffnen Sie die Website in einem sauberen Fenster und löschen Sie alle Websitedaten.
2. Öffnen Sie den Netzwerk-Tab und filtern Sie nach facebook.
3. Lehnen Sie die Kategorie Marketing ab und laden Sie die Seite neu.
4. Es dürfen keine Anfragen des Pixels an Meta erscheinen.
5. Stimmen Sie zu und prüfen Sie, dass die Ereignisse gesendet werden.
6. Widerrufen Sie über das Banner und prüfen Sie, dass das Senden endet.

Halten Sie Datum und Ergebnis fest. Im Consent Log der AdOpt sehen Sie dazu die Entscheidung der Nutzer mit Zeitpunkt. Auch Ereignisse, die ein Server an Meta schickt, setzen die Einwilligung voraus. Dort greift kein Blocker im Browser, deshalb muss der Server den Status selbst prüfen. Dazu mehr im Beitrag Datensicherheit bei der Einwilligung.

Die CMP holt die Entscheidung ein, speichert sie und sperrt oder gibt den Pixel frei. Die AdOpt protokolliert die Entscheidung im Consent Log, mit Datum und Uhrzeit, den akzeptierten oder abgelehnten Tags und Cookies und den Versionen Ihrer Dokumente. Wenn Sie sehen wollen, wie das in Ihrem Setup aussieht, können Sie 30 Tage kostenlos testen.

• Google Analytics 4 und DSGVO: Einwilligung und Consent Mode
• Google Tag Manager und DSGVO: Einwilligung im Container

In aller Regel ja. § 25 TDDDG verlangt die Einwilligung für Speicherung und Zugriff auf dem Gerät, sofern keine der beiden Ausnahmen greift, und Werbepixel fallen nicht darunter. Für die Verarbeitung nach der DSGVO ist berechtigtes Interesse beim Tracking nach der Orientierungshilfe der DSK nur in wenigen Konstellationen tragfähig.

Beide, aber für unterschiedliche Vorgänge. Der EuGH hat in Fashion ID entschieden, dass der Betreiber für das Erheben und die Übermittlung mitverantwortlich ist und die Einwilligung einholen muss. Für spätere Verarbeitungen bei Meta gilt das nicht. Ihre Rolle gehört in die Datenschutzerklärung und gegebenenfalls in eine Vereinbarung nach Art. 26 DSGVO.

Nein. Ein Hinweis informiert, ersetzt aber die Entscheidung nicht. Der Pixel darf erst senden, nachdem der Nutzer die Kategorie Marketing aktiv bestätigt hat, und er muss den Widerruf respektieren. Die Orientierungshilfe verlangt außerdem, Drittdienste einzeln zu benennen und Zwecke konkret zu erläutern.

Ja. Auch dafür ist die Einwilligung Voraussetzung. Ein Server hat keinen Blocker im Browser, also muss er den Einwilligungsstatus vor dem Senden selbst prüfen. Fragen Sie das Team, das die Integration gebaut hat, ob das so umgesetzt ist, und lassen Sie sich die Logik zeigen.

Wollen Sie wissen, ob Ihr Meta Pixel nach der Ablehnung wirklich stumm bleibt? Sprechen Sie mit dem AdOpt-Team und wir prüfen es gemeinsam.