Meta-Pixel und Datenschutz: Marketing-Tracking, das ohne Zustimmung nicht laufen darf
Das Meta-Pixel ist eines der schwersten Datenschutz-Werkzeuge, das du auf deiner Website einbauen kannst. Es schickt beim Seitenaufruf Besucherdaten direkt an Meta in den USA – ohne dass jemand auf etwas klicken muss. Wer das Pixel auf seiner Website hat, trägt eine klare Pflichtenliste: Cookie-Banner, Vertrag mit Meta und Datenschutzerklärung. Was genau anfällt und wie du das erledigst, steht hier.
Überblick
Was ist das Meta-Pixel?
Das Meta-Pixel ist ein kurzer JavaScript-Code, den du auf deiner Website einbindest, um das Verhalten deiner Besucher zu messen. Es erkennt, wer deine Website besucht hat, welche Seiten er aufgerufen hat und ob er danach auf Facebook oder Instagram eine Aktion ausgeführt hat – zum Beispiel auf eine Anzeige geklickt oder etwas gekauft. Diese Daten nutzt Meta, um Werbeanzeigen zu optimieren und Zielgruppen für Retargeting-Kampagnen zu erstellen.
| Meta Pixel – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🔴 | Setzt Marketing-Cookies für Retargeting – Zustimmung im Cookie-Banner nötig. |
| Externe Verbindungen | 🔴 | Lädt beim Seitenaufruf ein Skript von Meta und überträgt Besucherdaten in die USA. |
| Datenschutzerklärung | 🔴 | Pflichtangaben zu Cookies, Datenübertragung und Meta als Verantwortlichem erforderlich. |
| Drittlandtransfer | 🔴 | Daten werden an Meta in den USA übertragen. |
| Auftragsverarbeitung | 🔴 | Vereinbarung zur gemeinsamen Verantwortlichkeit mit Meta im Meta Business Manager erforderlich. |
| Benutzereingaben | 🟢 | Das Pixel selbst verarbeitet keine Formulareingaben. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Welche Daten überträgt das Meta-Pixel?
Sobald jemand eine Seite mit aktivem Meta-Pixel aufruft, passiert im Hintergrund Folgendes: Ein JavaScript-Skript wird von Metas Servern geladen, zwei Marketing-Cookies werden im Browser des Besuchers gesetzt, und eine Verbindung zu Meta überträgt automatisch die IP-Adresse des Besuchers, den verwendeten Browser und das Gerät sowie die aufgerufene Seite. Das passiert ohne Klick, ohne Formular, ohne dass der Besucher etwas merkt – allein durch das Öffnen der Seite.
Vergleichbar ist das mit einem unsichtbaren Kassierer, der notiert, wer deinen Laden betreten hat, was er angeschaut hat und wie er aussieht – und diese Notiz direkt an Meta weitergibt. Meta nutzt diese Daten, um deinen Besuchern auf Facebook und Instagram gezielt passende Anzeigen auszuspielen oder dir zu helfen, Werbekampagnen auf ähnliche Personen auszurichten.
Weil das alles beim ersten Seitenaufruf passiert, ohne dass der Besucher zugestimmt hat, darf das Pixel nicht einfach aktiv sein. Dein Cookie-Banner muss es blockieren, bis eine Zustimmung vorliegt.
Cookies
Welche Cookies setzt das Meta-Pixel?
Das Meta-Pixel setzt zwei Marketing-Cookies, die in die Kategorie „zustimmungspflichtig“ fallen:
- _fbp – Ein eindeutiger Browser-Identifier, der beim ersten Seitenaufruf gesetzt wird und 90 Tage aktiv bleibt. Meta nutzt ihn, um denselben Besucher über mehrere Seitenaufrufe und Websites hinweg wiederzuerkennen – die Grundlage für Retargeting.
- _fbc – Wird gesetzt, wenn jemand über einen Facebook-Anzeigen-Link auf deine Website kommt. Speichert die sogenannte Click-ID und bleibt ebenfalls 90 Tage aktiv. Er verbindet den Websitebesuch mit dem konkreten Werbeklick.
Beide Cookies sind Marketing-Cookies – sie dienen nicht dem Betrieb deiner Website, sondern der Werbemessung und dem Retargeting. Dein Cookie-Banner muss diese Cookies blockieren, bis der Besucher zustimmt. Wenn das Pixel geladen wird, bevor jemand auf „Zustimmen“ geklickt hat, verstößt du gegen die Datenschutzregeln.
Externe Verbindungen
Baut das Meta-Pixel Verbindungen zu externen Servern auf?
Das Meta-Pixel baut beim Seitenaufruf zwei externe Verbindungen auf: Der Cookie-Banner muss beide blockieren, bis der Besucher zustimmt.
Erstens lädt das Pixel ein JavaScript-Skript von connect.facebook.net. Dieses Skript ist der eigentliche Tracking-Code – ohne es passiert nichts. Zweitens schickt das Pixel mit jedem Seitenaufruf eine Anfrage an www.facebook.com/tr/. Diese Anfrage enthält die Cookie-IDs, die IP-Adresse des Besuchers, den verwendeten Browser sowie den Namen der aufgerufenen Seite.
Beide Verbindungen entstehen automatisch beim Laden der Seite. Es gibt keine Einstellung im Pixel, die das deaktiviert – das Pixel muss vollständig blockiert werden, bis eine Zustimmung vorliegt. Dein Cookie-Banner muss das sicherstellen.
Benutzereingaben
Verarbeitet das Meta-Pixel Formulareingaben?
Das Meta-Pixel selbst verarbeitet keine Formulareingaben von Website-Besuchern. Es zeichnet Seitenaufrufe und Klicks auf, liest aber keine ausgefüllten Felder aus und schickt keine Formularinhalte an Meta.
Drittlandtransfer
Werden Daten der Website-Besucher in die USA übertragen?
Das Meta-Pixel überträgt Besucherdaten – IP-Adresse, Browserdaten und Cookie-IDs – an Server von Meta Platforms, Inc. in den USA.
Meta hat mit der EU eine Vereinbarung getroffen, die solche Datentransfers in die USA erlaubt. Diese Vereinbarung ist derzeit gültig. Der Transfer muss trotzdem in deiner Datenschutzerklärung erwähnt werden, und dein Cookie-Banner muss das Pixel bis zur Zustimmung blockieren.
Auftragsverarbeitung
Brauche ich einen Vertrag mit Meta?
Wer das Meta-Pixel einsetzt, muss eine Vereinbarung mit Meta abschließen – konkret den sogenannten Zusatz zur gemeinsamen Verantwortlichkeit. Meta und du tragt gemeinsam Verantwortung dafür, wie Besucherdaten erhoben und genutzt werden. Dieser Vertrag ist im Meta Business Manager hinterlegt und muss aktiv akzeptiert werden.
Den Zusatz findest du im Meta Business Manager unter Einstellungen → Datenfreigaben → Zusatz für gemeinsame Verantwortlichkeit. Dort einfach akzeptieren – fertig. Ohne diese Vereinbarung fehlt die datenschutzrechtliche Grundlage für den Pixel-Einsatz.
Datenschutzerklärung
Muss das Meta-Pixel in die Datenschutzerklärung?
Das Meta-Pixel muss in die Datenschutzerklärung, weil es Marketing-Cookies setzt und Besucherdaten in die USA überträgt. Die folgenden Punkte gehören in den Eintrag:
- Zweck: Messung von Werbekampagnen, Erstellung von Zielgruppen für Retargeting auf Facebook und Instagram.
- Rechtsgrundlage: Einwilligung des Besuchers.
- Empfänger: Meta Platforms Ireland Limited (für Nutzer aus der EU) bzw. Meta Platforms, Inc. (USA).
- Drittlandtransfer: Daten werden in die USA übertragen.
- Speicherdauer: Die Cookies
_fbpund_fbcwerden 90 Tage gespeichert.
Wir nutzen Meta-Pixel für Werbe-Tracking.
Meta-Pixel setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von Meta Platforms, Inc. auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Im Rahmen der Nutzung von Meta-Pixel werden Daten an Meta Platforms, Inc. übermittelt. Soweit Meta Platforms, Inc. diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Meta-Pixel?
Hier siehst du, wo Meta-Pixel im DSGVO-Vergleich zu anderen Werbe-Tracking steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Meta-Pixel in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Meta-Pixel in unseren DSGVO-Checks am häufigsten vor?
Meta-Pixel taucht bei 4 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Meta-Pixel gefunden wurde.
DSGVO-Check
So erkennst du, ob das Meta-Pixel auf deiner Website aktiv ist
Das Meta-Pixel hinterlässt gut erkennbare Spuren. Du kannst in deinem Browser oder mit einem Datenschutz-Scan prüfen, ob deine Website folgende Cookies setzt oder Verbindungen aufbaut:
Cookies: Suche in den Browser-Einstellungen oder im Datenschutz-Scan nach den Cookie-Namen _fbp und _fbc. Wenn einer davon auftaucht – besonders vor einer Zustimmung im Cookie-Banner –, ist das Pixel aktiv und blockiert es nicht korrekt.
Externe Verbindungen: Prüfe, ob deine Website Verbindungen zu connect.facebook.net oder www.facebook.com aufbaut. Diese Domains sind das sichere Zeichen dafür, dass das Pixel geladen wird. Tauchen sie auf, bevor jemand dem Cookie-Banner zugestimmt hat, stimmt etwas nicht.
