Meta Pixel und Cookie-Einwilligung: ein Setup, das die Entscheidung respektiert

Das Meta Pixel setzt First-Party-Cookies und sendet Browsing-Events an Meta, daher müssen Besucher aus der EU und dem Vereinigten Königreich einwilligen, bevor es ausgeführt wird. Das sicherste Setup blockiert das Pixel-Skript, bis der Besucher Marketing-Cookies akzeptiert, nutzt die Consent-API von Meta als zweite Absicherung und knüpft die Conversions API an dieselbe Entscheidung. In den USA ergänzen Sie Limited Data Use und beachten Global Privacy Control.

Was macht das Meta Pixel mit Besucherdaten?

Das Pixel ist eine JavaScript-Bibliothek, fbevents.js, die von Metas Servern geladen wird. Nach der Initialisierung sendet es Events wie PageView, AddToCart und Purchase an Meta, zusammen mit der Seiten-URL, Browserdaten und Kennungen, mit denen Meta den Besucher einem Konto zuordnen kann.

Es nutzt zwei First-Party-Cookies auf Ihrer Domain:

• _fbp identifiziert den Browser über mehrere Besuche hinweg, sodass Meta Events desselben Besuchers miteinander verknüpfen kann.
• _fbc speichert die Klick-ID, wenn ein Besucher über eine Meta-Anzeige mit einem fbclid-Parameter in der URL kommt, damit Conversions der Anzeige zugeordnet werden können.

Wenn Sie den automatischen erweiterten Abgleich aktivieren, hasht das Pixel außerdem Informationen, die Besucher in Formulare eingeben, etwa E-Mail-Adressen, und sendet sie zum Abgleich an Meta. All das ist Werbe-Tracking und erfordert nach den Regeln der EU und des Vereinigten Königreichs eine Einwilligung. Warum die Website die Verantwortung mitträgt, zeigt das Fashion ID-Urteil des EuGH, das eine Website, die ein Facebook-Plugin einbindet, als gemeinsam Verantwortliche eingestuft hat.

Wie blockiere ich das Pixel bis zur Einwilligung?

Lassen Sie den Browser fbevents.js erst herunterladen, wenn der Besucher Marketing-Cookies akzeptiert hat. Kennzeichnen Sie das Pixel-Snippet als inaktiv und aktivieren Sie es erst nach der Einwilligung:

<!-- Inaktiv, bis die Kategorie Marketing erteilt ist -->
<script type="text/plain" data-consent="marketing">
  !function(f,b,e,v,n,t,s){/* Standard-Basiscode von Meta */}(window, document,
    'script', 'https://connect.facebook.net/en_US/fbevents.js');
  fbq('consent', 'grant');
  fbq('init', 'YOUR_PIXEL_ID');
  fbq('track', 'PageView');
</script>

Ihr Consent-Layer ersetzt type="text/plain" durch ein echtes Skript, sobald die Einwilligung erteilt ist, wie unter Drittanbieter-Skripte bis zur Einwilligung blockieren beschrieben. Wenn Sie Google Tag Manager nutzen, stellen Sie in den Consent-Einstellungen des Meta-Tags ein, dass zusätzlich eine Einwilligung für ad_storage erforderlich ist, oder lösen Sie es nur über ein Consent-Event aus; das Tag von Meta liest Google Consent Mode nicht von sich aus.

Wie funktioniert die Consent-API von Meta?

Meta stellt zwei Aufrufe für Websites bereit, die das Pixel laden, bevor eine Entscheidung getroffen wurde. Rufen Sie auf jeder Seite fbq('consent', 'revoke') vor fbq('init') auf, dann sendet das Pixel keine Events an Meta. Wenn der Besucher einwilligt, rufen Sie fbq('consent', 'grant') auf, und die Events werden gesendet.

fbq('consent', 'revoke'); // auf jeder Seite, vor init
fbq('init', 'YOUR_PIXEL_ID');
fbq('track', 'PageView');

// Später, aus dem Accept-Handler Ihres Banners:
onConsent('marketing', () => fbq('consent', 'grant'));

Das ist als Absicherung nützlich, aber schwächer als Blockieren. Mit revoke lädt der Browser fbevents.js trotzdem von Meta herunter, wodurch IP-Adresse und Browserdaten des Besuchers an Meta gehen, bevor eine Entscheidung gefallen ist. Blockieren Sie für Traffic aus der EU und dem Vereinigten Königreich das Skript und behalten Sie die Consent-Aufrufe als zweite Verteidigungslinie, etwa für den Fall, dass ein Besucher seine Einwilligung später auf einer Seite widerruft, auf der das Pixel bereits geladen ist.

Was ist mit der Conversions API?

Die Conversions API (CAPI) sendet Events von Ihrem Server an Meta statt aus dem Browser. Sie wird oft als Lösung gegen Werbeblocker und Browser-Einschränkungen dargestellt und manchmal, fälschlicherweise, als Weg, die Einwilligung zu umgehen.

Auch Server-Events enthalten personenbezogene Daten: die Werte von _fbp und _fbc, IP-Adressen, User Agents und oft gehashte E-Mail-Adressen oder Telefonnummern. Sie zu Werbezwecken an Meta zu senden, erfordert eine Rechtsgrundlage, und für Besucher aus der EU und dem Vereinigten Königreich ist das normalerweise dieselbe Einwilligung, die Sie für das Browser-Pixel brauchen. Die Werte aus _fbp und _fbc stammen außerdem aus Cookies, in die der Besucher ohnehin erst einwilligen musste.

Knüpfen Sie beide Kanäle an dieselbe Entscheidung:

Szenario	Browser-Pixel	Conversions API
Besucher aus der EU oder dem Vereinigten Königreich hat Marketing akzeptiert	Laden und tracken	Senden, mit derselben event_id zur Deduplizierung
Besucher aus der EU oder dem Vereinigten Königreich hat abgelehnt oder noch nicht entschieden	Nicht laden	Nicht senden
US-Besucher, kein Opt-out	Laden und tracken	Senden
US-Besucher hat widersprochen oder GPC gesendet	Nicht laden oder mit Limited Data Use laden	Nicht senden oder mit Limited Data Use senden

Übergeben Sie den Consent-Status bei jedem Request an Ihren Server oder lesen Sie ihn aus dem Consent-Protokoll, und prüfen Sie ihn, bevor Sie die API aufrufen. Das allgemeine Muster beschreibt Server-Side Tagging und Einwilligung.

Wie gehe ich mit US-Datenschutzgesetzen um?

Gesetze von US-Bundesstaaten wie das kalifornische sind überwiegend Opt-out-Regelungen: Sie dürfen das Pixel standardmäßig ausführen, müssen den „Verkauf“ oder die „Weitergabe“ von Daten aber einstellen, wenn ein Besucher widerspricht. Die Option Limited Data Use (LDU) von Meta weist Meta an, die Verarbeitung von Events dieser Besucher einzuschränken.

// Meta Limited Data Use anhand des Standorts des Besuchers anwenden lassen
fbq('dataProcessingOptions', ['LDU'], 0, 0);
fbq('init', 'YOUR_PIXEL_ID');

Rufen Sie das vor init auf. Die Conversions API akzeptiert dieselben Datenverarbeitungsoptionen pro Event. Sendet ein Besucher Global Privacy Control oder widerspricht er über Ihren Banner, laden Sie das Pixel für ihn entweder nicht mehr oder wenden LDU an, und tun Sie dasselbe auf dem Server.

Wie prüfe ich, ob es funktioniert?

Öffnen Sie Ihre Website in einem privaten Fenster mit einem EU-Standort oder VPN und gehen Sie, bevor Sie irgendetwas anklicken, so vor:

1. Filtern Sie im Network-Panel des Browsers nach facebook. Es sollte keine Requests an connect.facebook.net oder facebook.com/tr geben.
2. Prüfen Sie im Speicherbereich der DevTools, dass kein _fbp- oder _fbc-Cookie existiert.
3. Akzeptieren Sie Marketing-Cookies und vergewissern Sie sich, dass das Pixel lädt, die Cookies erscheinen und Events im Events Manager von Meta angezeigt werden.
4. Widerrufen Sie die Einwilligung und vergewissern Sie sich, dass das Pixel nach dem nächsten Seitenaufruf nicht mehr aktiv ist.

Wiederholen Sie den Test mit einer Ablehnung, um sicherzustellen, dass nichts lädt, und mit einer URL mit ?fbclid=test, um zu bestätigen, dass _fbc erst nach der Einwilligung gesetzt wird. Ein Cookie-Audit sollte diese Prüfungen regelmäßig enthalten, denn Pixel-Snippets tauchen gern wieder in Templates und Plugins auf.

Fazit

Behandeln Sie das Meta Pixel als Werbe-Tracking, denn genau das ist es. Blockieren Sie das Skript bis zur Einwilligung, nutzen Sie fbq('consent') als Absicherung, knüpfen Sie die Conversions API an dieselbe Entscheidung und setzen Sie für Opt-outs in den USA auf Limited Data Use und GPC. Tools wie Cookiesh blockieren bekannte Tracker wie das Pixel, bis Besucher einwilligen, und geplante Scans melden neue Skripte, sodass kein verirrtes Snippet durchrutscht.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.