Facebook Social Plugins: Schon der Seitenaufruf schickt Daten an Facebook – ganz ohne Klick
Facebook Social Plugins wie die Kommentar-Box gehören zu den ältesten Klassikern unter den Datenschutz-Fallen auf Websites – und sie sind bis heute im Einsatz. Wer sie einbindet, bekommt eine bequeme Kommentarfunktion, holt sich aber auch eine automatische Datenverbindung zu Facebook mit ins Haus. Das bringt mehrere Pflichten gleichzeitig mit sich: Cookie-Banner, Datenschutzerklärung und ein Blick auf die Datenübertragung in die USA.
Überblick
Was ist Facebook Social Plugins?
Facebook Social Plugins sind fertige Bausteine von Facebook, die sich per Code-Schnipsel in eine Website einbauen lassen – am bekanntesten ist die Kommentar-Box, über die Besucher mit ihrem Facebook-Konto Kommentare hinterlassen. Technisch handelt es sich um einen eingebetteten Rahmen, der Inhalte direkt von Facebooks Servern lädt.
| Facebook Social Plugins – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🔴 | Setzt ein Cookie, das Besucher für Facebook wiedererkennbar macht. |
| Externe Verbindungen | 🔴 | Lädt schon beim Seitenaufruf automatisch Inhalte von Facebook-Servern. |
| Datenschutzerklärung | 🔴 | Facebook muss namentlich genannt werden. |
| Drittlandtransfer | 🔴 | Daten gehen an die US-Konzernmutter Meta Platforms, Inc. |
| Auftragsverarbeitung | 🟢 | Kein Vertrag nötig – hier gilt ein anderes rechtliches Konstrukt. |
| Benutzereingaben | 🔴 | Kommentare gehen direkt an Facebook. |
| KI-Verarbeitung | 🟢 | Keine KI-Funktion mit Besucherbezug. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Besucher bei Facebook Social Plugins?
Sobald eine Seite mit einer Facebook-Kommentar-Box aufgerufen wird, baut der Browser automatisch eine Verbindung zu Facebooks Servern auf – noch bevor irgendjemand kommentiert, klickt oder sonst irgendwie interagiert. Dabei gehen Informationen wie die IP-Adresse und Angaben zum Browser direkt an Facebook, und ein Cookie sorgt zusätzlich dafür, dass Facebook den Besucher bei einem späteren Aufruf wiedererkennt.
Diese Übertragung ist genau der Punkt, wegen dem der Europäische Gerichtshof 2019 entschieden hat, dass Website-Betreiber und Facebook sich die Verantwortung für diesen ersten Schritt der Datenerhebung teilen – und dass der Betreiber dafür die Zustimmung seiner Besucher einholen muss.
Schreibt jemand tatsächlich einen Kommentar, geht dieser Text beim Absenden ebenfalls direkt an Facebook, nicht an die eigene Website. Und weil Facebooks Mutterkonzern Meta Platforms, Inc. in den USA sitzt, landen all diese Daten außerhalb der EU. Kein einziger dieser Schritte lässt sich technisch trennen – wer die Kommentar-Box einbindet, bekommt das komplette Paket.
Cookies
Welche Cookies setzt Facebook Social Plugins?
Facebook setzt beim Laden der Kommentar-Box unter anderem das Cookie _fbp, das für rund drei Monate gespeichert bleibt und Besucher über mehrere Seitenaufrufe hinweg für Facebook wiedererkennbar macht. Das ist ein zustimmungspflichtiges Cookie – es dient nicht dem Betrieb deiner Website, sondern der Wiedererkennung durch Facebook. Dein Cookie-Banner muss diesen Cookie blockieren, bis der Besucher zustimmt.
Externe Verbindungen
Welche externe Verbindung baut Facebook Social Plugins auf?
Die Kommentar-Box lädt einen Rahmen direkt von Facebooks Servern, sobald die Seite aufgerufen wird – unabhängig davon, ob jemand mit ihr interagiert. e-recht24.de bestätigt: Wer Facebook Social Plugins einbindet, erhebt darüber personenbezogene Daten seiner Besucher und braucht dafür eine wirksame Einwilligung, zum Beispiel über einen Cookie-Banner. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt.
Benutzereingaben
Was passiert mit Kommentaren, die Besucher in die Facebook-Box schreiben?
Sobald jemand einen Kommentar abschickt, geht der Text direkt an Facebook – nicht an deine eigene Website und nicht über deinen Server. Diese Angabe verlässt die Seite in dem Moment, in dem der Besucher auf „Absenden“ klickt. Ein Cookie-Banner allein blockiert das nicht automatisch mit: Erst wenn die Kommentar-Box selbst als externe Verbindung geblockt wird, bis der Besucher zustimmt, verhindert das auch, dass unbemerkt Kommentare eingegeben werden können. Zusätzlich gehört direkt bei der Kommentar-Box ein Hinweis auf deine Datenschutzerklärung.
Drittlandtransfer
Gehen Daten aus Facebook Social Plugins in die USA?
Facebook Social Plugins übertragen Daten deiner Besucher an Meta Platforms Ireland Limited in Dublin, die diese an die US-amerikanische Konzernmutter Meta Platforms, Inc. mit Sitz in Kalifornien weiterleiten kann. Meta Platforms, Inc. hat sich nach eigenen Angaben bei der US-Regierung registrieren lassen und sich verpflichtet, bestimmte europäische Datenschutz-Standards einzuhalten – dieses Verfahren nennt sich Data Privacy Framework und gilt derzeit als anerkannte Grundlage für solche Datenübertragungen in die USA.
Auftragsverarbeitung
Brauchst du für Facebook Social Plugins einen Vertrag mit Facebook?
Nein – und das überrascht viele, weil man bei anderen Tools genau das gewohnt ist. Bei Facebook Social Plugins gilt ein anderes rechtliches Konstrukt: Für die Erhebung und Weiterleitung der Daten beim Laden der Kommentar-Box tragen du und Meta Platforms Ireland Limited die Verantwortung gemeinsam, statt dass Facebook in deinem Auftrag handelt. Einen klassischen Auftragsverarbeitungsvertrag gibt es dafür nicht und du musst auch keinen abschließen.
Datenschutzerklärung
Muss Facebook Social Plugins in die Datenschutzerklärung?
Ja. Weil die Kommentar-Box schon beim Seitenaufruf automatisch Daten an Facebook überträgt und diese Daten in die USA weitergehen können, muss Facebook namentlich in deiner Datenschutzerklärung stehen. e-recht24.de nennt das ausdrücklich als Pflicht für Website-Betreiber, die Facebook Social Plugins einsetzen.
Wir nutzen Facebook Social Plugins für Social Media Widgets.
Facebook Social Plugins setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von Meta Platforms, Inc. auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Wenn du über ein Formular von Facebook Social Plugins deine Daten eingibst, werden diese ausschließlich auf unserem eigenen Server verarbeitet und nicht an Dritte weitergegeben.
Bei der Nutzung von Facebook Social Plugins kann eine Übermittlung personenbezogener Daten in die USA stattfinden. Grundlage der Übermittlung ist das EU-US Data Privacy Framework.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Facebook Social Plugins?
Hier siehst du, wo Facebook Social Plugins im DSGVO-Vergleich zu anderen Social Media Widgets steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Facebook Social Plugins in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Facebook Social Plugins in unseren DSGVO-Checks am häufigsten vor?
Facebook Social Plugins taucht bei 1 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Facebook Social Plugins gefunden wurde.
DSGVO-Check
Was bringt dir ein DSGVO-Check für deine Website?
Ob und wo genau Facebook Social Plugins auf deiner Website aktiv sind, siehst du oft nicht auf den ersten Blick – gerade wenn sie über ein Theme, einen Page-Builder oder ein älteres Plugin eingebunden wurden. Ein Scan zeigt dir direkt, welche Verbindungen und Cookies tatsächlich beim Aufruf deiner Seite entstehen, statt dass du das selbst mühsam im Quellcode suchen musst.
Jeder DSGVO-Scan liefert uns außerdem echte Signale aus der Praxis, die wir bekannten Tools zuordnen oder als neue Fälle für weitere Recherchen aufnehmen – dadurch erkennt datenrein.de mit der Zeit immer mehr Tools zuverlässig, wovon am Ende jeder profitiert, der seine Website prüft.
