# Meta Pixel und Cookie-Einwilligung: ein Setup, das die Entscheidung respektiert

> So betreiben Sie Meta Pixel und Conversions API mit Cookie-Einwilligung: Blockieren vor der Einwilligung, fbq-Consent-Aufrufe, die Cookies _fbp und _fbc, Limited Data Use und GPC.

Source: https://www.cookiesh.eu/de/blog/meta-pixel-and-consent  
Published: 2026-10-29

## Key takeaways

- Das Meta Pixel setzt das First-Party-Cookie _fbp, kann bei Anzeigenklicks _fbc setzen und sendet Browsing-Events an Meta. In der EU und im Vereinigten Königreich braucht es daher eine Einwilligung, bevor es lädt.
- Die Consent-API von Meta, fbq('consent', 'revoke') und fbq('consent', 'grant'), hält Pixel-Events zurück. Am sichersten ist es aber, zusätzlich das Pixel-Skript selbst bis zur Einwilligung zu blockieren.
- Google Consent Mode steuert das Meta Pixel nicht; Sie brauchen eine separate Consent-Prüfung in Ihrem Tag-Manager oder Code.
- Die Conversions API sendet Events von Ihrem Server, aber auch diese Events brauchen eine Rechtsgrundlage. Knüpfen Sie sie daher an dieselbe Einwilligung wie das Browser-Pixel.
- Für die Datenschutzgesetze der US-Bundesstaaten nutzen Sie die Option Limited Data Use von Meta und beachten Opt-out-Signale wie Global Privacy Control.

Das Meta Pixel setzt First-Party-Cookies und sendet Browsing-Events an Meta, daher müssen Besucher aus der EU und dem Vereinigten Königreich einwilligen, bevor es ausgeführt wird. Das sicherste Setup blockiert das Pixel-Skript, bis der Besucher Marketing-Cookies akzeptiert, nutzt die Consent-API von Meta als zweite Absicherung und knüpft die Conversions API an dieselbe Entscheidung. In den USA ergänzen Sie Limited Data Use und beachten Global Privacy Control.

## Was macht das Meta Pixel mit Besucherdaten?

Das Pixel ist eine JavaScript-Bibliothek, `fbevents.js`, die von Metas Servern geladen wird. Nach der Initialisierung sendet es Events wie `PageView`, `AddToCart` und `Purchase` an Meta, zusammen mit der Seiten-URL, Browserdaten und Kennungen, mit denen Meta den Besucher einem Konto zuordnen kann.

Es nutzt zwei First-Party-Cookies auf Ihrer Domain:

- **`_fbp`** identifiziert den Browser über mehrere Besuche hinweg, sodass Meta Events desselben Besuchers miteinander verknüpfen kann.
- **`_fbc`** speichert die Klick-ID, wenn ein Besucher über eine Meta-Anzeige mit einem `fbclid`-Parameter in der URL kommt, damit Conversions der Anzeige zugeordnet werden können.

Wenn Sie den automatischen erweiterten Abgleich aktivieren, hasht das Pixel außerdem Informationen, die Besucher in Formulare eingeben, etwa E-Mail-Adressen, und sendet sie zum Abgleich an Meta. All das ist Werbe-Tracking und erfordert nach den Regeln der EU und des Vereinigten Königreichs eine Einwilligung. Warum die Website die Verantwortung mitträgt, zeigt das *Fashion ID*-Urteil des EuGH, das eine Website, die ein Facebook-Plugin einbindet, als gemeinsam Verantwortliche eingestuft hat.

## Wie blockiere ich das Pixel bis zur Einwilligung?

Lassen Sie den Browser `fbevents.js` erst herunterladen, wenn der Besucher Marketing-Cookies akzeptiert hat. Kennzeichnen Sie das Pixel-Snippet als inaktiv und aktivieren Sie es erst nach der Einwilligung:

```html
<!-- Inaktiv, bis die Kategorie Marketing erteilt ist -->
<script type="text/plain" data-consent="marketing">
  !function(f,b,e,v,n,t,s){/* Standard-Basiscode von Meta */}(window, document,
    'script', 'https://connect.facebook.net/en_US/fbevents.js');
  fbq('consent', 'grant');
  fbq('init', 'YOUR_PIXEL_ID');
  fbq('track', 'PageView');
</script>
```

Ihr Consent-Layer ersetzt `type="text/plain"` durch ein echtes Skript, sobald die Einwilligung erteilt ist, wie unter [Drittanbieter-Skripte bis zur Einwilligung blockieren](/de/blog/block-scripts-until-consent) beschrieben. Wenn Sie Google Tag Manager nutzen, stellen Sie in den Consent-Einstellungen des Meta-Tags ein, dass zusätzlich eine Einwilligung für `ad_storage` erforderlich ist, oder lösen Sie es nur über ein Consent-Event aus; das Tag von Meta liest Google Consent Mode nicht von sich aus.

## Wie funktioniert die Consent-API von Meta?

Meta stellt zwei Aufrufe für Websites bereit, die das Pixel laden, bevor eine Entscheidung getroffen wurde. Rufen Sie auf jeder Seite `fbq('consent', 'revoke')` vor `fbq('init')` auf, dann sendet das Pixel keine Events an Meta. Wenn der Besucher einwilligt, rufen Sie `fbq('consent', 'grant')` auf, und die Events werden gesendet.

```js
fbq('consent', 'revoke'); // auf jeder Seite, vor init
fbq('init', 'YOUR_PIXEL_ID');
fbq('track', 'PageView');

// Später, aus dem Accept-Handler Ihres Banners:
onConsent('marketing', () => fbq('consent', 'grant'));
```

Das ist als Absicherung nützlich, aber schwächer als Blockieren. Mit revoke lädt der Browser `fbevents.js` trotzdem von Meta herunter, wodurch IP-Adresse und Browserdaten des Besuchers an Meta gehen, bevor eine Entscheidung gefallen ist. Blockieren Sie für Traffic aus der EU und dem Vereinigten Königreich das Skript und behalten Sie die Consent-Aufrufe als zweite Verteidigungslinie, etwa für den Fall, dass ein Besucher seine Einwilligung später auf einer Seite widerruft, auf der das Pixel bereits geladen ist.

## Was ist mit der Conversions API?

Die Conversions API (CAPI) sendet Events von Ihrem Server an Meta statt aus dem Browser. Sie wird oft als Lösung gegen Werbeblocker und Browser-Einschränkungen dargestellt und manchmal, fälschlicherweise, als Weg, die Einwilligung zu umgehen.

Auch Server-Events enthalten personenbezogene Daten: die Werte von `_fbp` und `_fbc`, IP-Adressen, User Agents und oft gehashte E-Mail-Adressen oder Telefonnummern. Sie zu Werbezwecken an Meta zu senden, erfordert eine Rechtsgrundlage, und für Besucher aus der EU und dem Vereinigten Königreich ist das normalerweise dieselbe Einwilligung, die Sie für das Browser-Pixel brauchen. Die Werte aus `_fbp` und `_fbc` stammen außerdem aus Cookies, in die der Besucher ohnehin erst einwilligen musste.

Knüpfen Sie beide Kanäle an dieselbe Entscheidung:

| Szenario | Browser-Pixel | Conversions API |
| --- | --- | --- |
| Besucher aus der EU oder dem Vereinigten Königreich hat Marketing akzeptiert | Laden und tracken | Senden, mit derselben `event_id` zur Deduplizierung |
| Besucher aus der EU oder dem Vereinigten Königreich hat abgelehnt oder noch nicht entschieden | Nicht laden | Nicht senden |
| US-Besucher, kein Opt-out | Laden und tracken | Senden |
| US-Besucher hat widersprochen oder GPC gesendet | Nicht laden oder mit Limited Data Use laden | Nicht senden oder mit Limited Data Use senden |

Übergeben Sie den Consent-Status bei jedem Request an Ihren Server oder lesen Sie ihn aus dem Consent-Protokoll, und prüfen Sie ihn, bevor Sie die API aufrufen. Das allgemeine Muster beschreibt [Server-Side Tagging und Einwilligung](/de/blog/server-side-tagging-and-consent).

## Wie gehe ich mit US-Datenschutzgesetzen um?

Gesetze von US-Bundesstaaten wie das kalifornische sind überwiegend Opt-out-Regelungen: Sie dürfen das Pixel standardmäßig ausführen, müssen den „Verkauf“ oder die „Weitergabe“ von Daten aber einstellen, wenn ein Besucher widerspricht. Die Option Limited Data Use (LDU) von Meta weist Meta an, die Verarbeitung von Events dieser Besucher einzuschränken.

```js
// Meta Limited Data Use anhand des Standorts des Besuchers anwenden lassen
fbq('dataProcessingOptions', ['LDU'], 0, 0);
fbq('init', 'YOUR_PIXEL_ID');
```

Rufen Sie das vor `init` auf. Die Conversions API akzeptiert dieselben Datenverarbeitungsoptionen pro Event. Sendet ein Besucher [Global Privacy Control](/de/blog/global-privacy-control) oder widerspricht er über Ihren Banner, laden Sie das Pixel für ihn entweder nicht mehr oder wenden LDU an, und tun Sie dasselbe auf dem Server.

## Wie prüfe ich, ob es funktioniert?

Öffnen Sie Ihre Website in einem privaten Fenster mit einem EU-Standort oder VPN und gehen Sie, bevor Sie irgendetwas anklicken, so vor:

1. Filtern Sie im Network-Panel des Browsers nach `facebook`. Es sollte keine Requests an `connect.facebook.net` oder `facebook.com/tr` geben.
2. Prüfen Sie im Speicherbereich der DevTools, dass kein `_fbp`- oder `_fbc`-Cookie existiert.
3. Akzeptieren Sie Marketing-Cookies und vergewissern Sie sich, dass das Pixel lädt, die Cookies erscheinen und Events im Events Manager von Meta angezeigt werden.
4. Widerrufen Sie die Einwilligung und vergewissern Sie sich, dass das Pixel nach dem nächsten Seitenaufruf nicht mehr aktiv ist.

Wiederholen Sie den Test mit einer Ablehnung, um sicherzustellen, dass nichts lädt, und mit einer URL mit `?fbclid=test`, um zu bestätigen, dass `_fbc` erst nach der Einwilligung gesetzt wird. Ein [Cookie-Audit](/de/blog/how-to-run-a-cookie-audit) sollte diese Prüfungen regelmäßig enthalten, denn Pixel-Snippets tauchen gern wieder in Templates und Plugins auf.

## Fazit

Behandeln Sie das Meta Pixel als Werbe-Tracking, denn genau das ist es. Blockieren Sie das Skript bis zur Einwilligung, nutzen Sie `fbq('consent')` als Absicherung, knüpfen Sie die Conversions API an dieselbe Entscheidung und setzen Sie für Opt-outs in den USA auf Limited Data Use und GPC. Tools wie Cookiesh blockieren bekannte Tracker wie das Pixel, bis Besucher einwilligen, und geplante Scans melden neue Skripte, sodass kein verirrtes Snippet durchrutscht.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Kann ich das Meta Pixel mit widerrufener Einwilligung laden und die Einwilligung später erteilen?

Meta unterstützt dieses Muster, und es verhindert, dass Events gesendet werden, bis Sie die Einwilligung erteilen. Das Laden der Bibliothek verbindet den Browser des Besuchers aber trotzdem mit Meta. Für Besucher aus der EU und dem Vereinigten Königreich ist es daher sicherer, das Skript bis zur Einwilligung vollständig zu blockieren und die Consent-API als zweite Absicherung zu nutzen.

### Macht die Conversions API die Cookie-Einwilligung überflüssig?

Nein. Server-Events enthalten in der Regel Kennungen aus Cookies wie _fbp und _fbc oder gehashte Kontaktdaten, also personenbezogene Daten. Sie an Meta zu senden, erfordert eine Rechtsgrundlage nach der DSGVO, und das ist bei Werbung normalerweise die Einwilligung.

### Wird das Meta Pixel von Google Consent Mode erfasst?

Nein. Consent Mode passt nur das Verhalten von Google-Tags an. Das Meta Pixel ignoriert ihn, Sie müssen es also über Ihr Consent-Tool, die Consent-Einstellungen Ihres Tag-Managers oder Ihren eigenen Code absichern.

### Bin ich dafür verantwortlich, was Meta mit Pixel-Daten macht?

Teilweise. Im Fall Fashion ID entschied der EuGH, dass eine Website, die ein Facebook-Plugin einbindet, für die Erhebung und Übermittlung von Besucherdaten gemeinsam mit Facebook verantwortlich ist. Diese Begründung wird weithin auf das Pixel übertragen. Sie sind also dafür verantwortlich, die Einwilligung einzuholen und Besucher zu informieren.

## Sources

- [General Data Protection Regulation and the Meta Pixel, Meta for Developers](https://developers.facebook.com/docs/meta-pixel/implementation/gdpr)
- [Data Processing Options for US users, Meta for Developers](https://developers.facebook.com/docs/marketing-apis/data-processing-options)
- [Case C-40/17, Fashion ID, CJEU](https://curia.europa.eu/juris/liste.jsf?num=C-40/17)