Meta Pixel und DSGVO: Consent, Cookie-Banner, Daten

Das Meta-Pixel dürfen Sie in Deutschland in aller Regel erst laden, wenn der Besucher über Ihr Cookie-Banner aktiv eingewilligt hat. Das folgt aus § 25 TDDDG (früher TTDSG) für das Setzen und Auslesen von Cookies und aus der DSGVO für die anschließende Verarbeitung personenbezogener Daten.

Dieser Beitrag erklärt, was das praktisch für Ihren Shop bedeutet: wie ein Banner aussehen muss, was für die Conversions API und Kundenlisten gilt und wie Sie prüfen, ob Ihr Setup tut, was es verspricht. Er ersetzt keine Rechtsberatung, sondern soll Ihnen helfen, die richtigen Fragen zu stellen.

Warum das Pixel eine Einwilligung braucht

Zwei Regelwerke greifen hier ineinander:

§ 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024 TTDSG): Wer Informationen auf dem Endgerät des Nutzers speichert oder ausliest, etwa Cookies, braucht dafür eine Einwilligung. Ausgenommen ist nur, was für den gewünschten Dienst unbedingt erforderlich ist. Werbe-Tracking gehört nicht dazu.
DSGVO: Für die Verarbeitung der Daten, die das Pixel an Meta sendet (Seitenaufrufe, Käufe, IP-Adresse, Gerätedaten), brauchen Sie eine Rechtsgrundlage. Für Werbe-Tracking ist das in der Praxis die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Hinzu kommt: Der Europäische Gerichtshof hat 2019 im Fall „Fashion ID“ entschieden, dass ein Websitebetreiber, der Daten über ein eingebundenes Facebook-Plugin an Facebook übermittelt, für diese Erhebung und Übermittlung gemeinsam mit Facebook verantwortlich ist. Das gilt sinngemäß auch für das Pixel. Meta stellt für Nutzer seiner Business-Tools Vertragsbedingungen zur gemeinsamen Verantwortlichkeit bereit; prüfen Sie im Business-Portfolio, ob diese akzeptiert sind.

Eine Einwilligung ist nur wirksam, wenn sie freiwillig, informiert, für einen bestimmten Zweck und durch eine eindeutige Handlung erteilt wird. Für Ihr Banner heißt das:

Kein Tracking vor dem Klick. Das Pixel lädt erst nach der Zustimmung, nicht beim Seitenaufruf.
Keine vorausgewählten Häkchen. Der Europäische Gerichtshof hat 2019 („Planet49“) entschieden, dass ein vorab angekreuztes Kästchen keine wirksame Einwilligung ist.
Ablehnen so einfach wie Zustimmen. Deutsche Datenschutzbehörden und Gerichte beanstanden Banner, bei denen „Alle akzeptieren“ ein Klick ist, das Ablehnen aber nur über Untermenüs geht.
Klare Zwecke und Anbieter. Der Besucher muss erkennen können, dass Daten zu Werbezwecken an Meta gehen.
Widerruf jederzeit möglich. Ein Link im Footer, über den sich die Einstellungen wieder öffnen lassen.
Nachweis. Ihr Consent-Tool sollte protokollieren, wer wann wozu eingewilligt hat.

Ein Banner allein reicht nicht, es muss auch technisch wirken. Viele Shops haben ein schönes Banner, aber das Pixel lädt trotzdem sofort.

So prüfen Sie Ihr Setup in zehn Minuten

Öffnen Sie Ihren Shop in einem privaten Browserfenster.
Öffnen Sie die Entwicklerwerkzeuge (Netzwerk-Tab) oder nutzen Sie die Browser-Erweiterung Meta Pixel Helper.
Klicken Sie im Banner noch nichts an. Gehen Sie auf eine Produktseite. Es dürfen keine Anfragen an Meta-Domains (etwa facebook.com oder facebook.net) erscheinen.
Lehnen Sie ab und klicken Sie weiter. Weiterhin keine Anfragen an Meta.
Neues privates Fenster, diesmal zustimmen. Jetzt sollte das Pixel laden und Ereignisse senden.
Widerrufen Sie über den Footer-Link und prüfen Sie, dass das Pixel danach nicht mehr sendet.

Das Meta-Pixel bietet eine eigene Einwilligungsfunktion, mit der sich das Senden zurückhalten und nach der Zustimmung freigeben lässt. Gute Consent-Tools und Shop-Integrationen nutzen sie. Fragen Sie Ihren Anbieter, wie die Verbindung zu Meta konkret umgesetzt ist.

Conversions API: kein Schlupfloch

Die Conversions API sendet Ereignisse vom Server statt vom Browser. Das macht das Tracking zuverlässiger, ändert aber nichts an der Rechtslage: Auch serverseitig übermitteln Sie personenbezogene Daten an Meta und brauchen dafür eine Rechtsgrundlage. Gehashte E-Mail-Adressen sind pseudonymisiert, nicht anonym, und bleiben personenbezogene Daten.

Praktisch heißt das: Die Einwilligungsentscheidung aus dem Banner muss auch an den Server weitergegeben werden. Prüfen Sie bei Ihrer Integration, ob Server-Ereignisse nach einer Ablehnung unterbleiben. Wie die Technik selbst funktioniert, steht in Meta Pixel und Conversions API richtig einrichten.

Kundenlisten und Custom Audiences

Wenn Sie E-Mail-Adressen oder Telefonnummern Ihrer Kunden hochladen, um sie auszuschließen oder ähnliche Zielgruppen zu bilden, verarbeiten Sie ebenfalls personenbezogene Daten. Meta hasht die Daten vor dem Abgleich, aber auch hier brauchen Sie eine Rechtsgrundlage, und die Kunden müssen in Ihrer Datenschutzerklärung darüber informiert werden. Viele Datenschutzbehörden sehen dafür eine Einwilligung als erforderlich an. Klären Sie das vor dem ersten Upload.

Wenn eine Agentur die Listen für Sie hochlädt, brauchen Sie mit ihr zusätzlich einen Auftragsverarbeitungsvertrag.

Datenübermittlung in die USA

Meta ist ein US-Unternehmen. Seit Juli 2023 gibt es den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, der Übermittlungen an dort zertifizierte Unternehmen erleichtert. Ob ein Unternehmen aktuell zertifiziert ist, können Sie auf der offiziellen Liste des Frameworks prüfen. Der Beschluss kann gerichtlich angegriffen werden, wie es seinen Vorgängern ergangen ist; behalten Sie die Entwicklung im Blick.

Was in die Datenschutzerklärung gehört

Dass Sie das Meta-Pixel und gegebenenfalls die Conversions API einsetzen, zu welchem Zweck.
Die Rechtsgrundlage (in der Regel Einwilligung) und wie man sie widerruft.
Die gemeinsame Verantwortlichkeit mit Meta und wo man deren Datenrichtlinie findet.
Die Übermittlung in die USA und deren Grundlage.
Gegebenenfalls die Nutzung von Kundenlisten für Custom Audiences.

Was Einwilligung für Ihre Werbung bedeutet

Wer ablehnt, wird nicht getrackt. Meta sieht dadurch weniger Käufe, als tatsächlich passieren, und die Kosten pro Kauf im Werbeanzeigenmanager wirken höher, als sie sind. Das ist kein Grund, an der Einwilligung zu sparen, sondern einer, Ihre Zahlen richtig zu lesen:

Vergleichen Sie die Werbeausgaben mit dem Gesamtumsatz bzw. den Neukunden im Shop, nicht nur mit den Käufen in Meta.
Gestalten Sie das Banner klar und freundlich. Ein verständlicher Text kann die Zustimmung fördern, ohne Tricks.
Akzeptieren Sie, dass Meta, Google Analytics und Ihr Shop unterschiedliche Zahlen zeigen. Warum, erklärt Warum Meta und GA4 unterschiedliche Zahlen zeigen.

Kurze Checkliste

Banner blockiert das Pixel vor der Einwilligung und nach einer Ablehnung.
Ablehnen ist so einfach wie Zustimmen.
Die Einwilligung wird auch an Server-Ereignisse weitergegeben.
Bedingungen zur gemeinsamen Verantwortlichkeit mit Meta sind akzeptiert.
Datenschutzerklärung nennt Pixel, Conversions API, Zwecke, Rechtsgrundlage und USA-Übermittlung.
Für Kundenlisten ist die Rechtsgrundlage geklärt.

Der nächste Schritt

Wenn Sie wissen wollen, ob Ihr Tracking technisch das tut, was Ihr Banner verspricht, prüfen wir das gern im Rahmen einer kostenlosen Anzeigenprüfung. Das Gespräch führen wir auf Englisch: Anzeigenprüfung buchen.

Hinweis: Dieser Beitrag enthält allgemeine Informationen und ist keine Rechtsberatung. Lassen Sie Ihr konkretes Setup von einer Anwältin, einem Anwalt oder Ihrem Datenschutzbeauftragten prüfen.