Zwei deutsche Gerichte haben 2025 und 2026 Urteile zu Meta Pixel gesprochen, die in der Agenturbranche für Unruhe sorgen – und das zu Recht. Das OLG Dresden hat im Februar 2026 klargestellt, dass der Betrieb von Meta Pixel ohne korrekte Einwilligung eine eigenständige Haftungsgrundlage schafft. Für Agenturen, die den Facebook Pixel für Kunden eingebunden haben, stellt sich damit eine konkrete Frage: Wer haftet, wenn der Pixel vor dem Consent feuert – und was ist jetzt zu tun?
Was ist passiert? Die wichtigsten Urteile auf einen Blick
Die rechtliche Entwicklung rund um Meta Pixel DSGVO hat sich in den letzten zwölf Monaten beschleunigt. Mehrere deutsche Gerichte haben sich mit dem Einsatz der Meta Business Tools befasst und dabei zunehmend klarere Entscheidungen getroffen.
LG Leipzig, Juli 2025: Das Landgericht Leipzig hat einen Website-Betreiber verurteilt, der Meta Pixel ohne vorherige Einwilligung eingesetzt hatte. Das Gericht stellte fest, dass die Übertragung von Nutzerdaten an Meta-Server ohne Rechtsgrundlage gegen Art. 6 Abs. 1 DSGVO verstößt. Besonders relevant: Das Gericht erkannte einen immateriellen Schaden im Sinne von Art. 82 DSGVO an – also einen Anspruch auf Schadensersatz allein aufgrund des Kontrollverlusts über die eigenen Daten, ohne dass ein konkreter finanzieller Schaden nachgewiesen werden musste.
OLG Dresden, Februar 2026: Das Oberlandesgericht Dresden hat in einem Berufungsverfahren die erstinstanzliche Entscheidung bestätigt und die Haftungsfrage weiter konkretisiert. Das Gericht stellte klar, dass Website-Betreiber und Meta nach Art. 26 DSGVO als gemeinsam Verantwortliche anzusehen sind – was bedeutet, dass Betroffene ihren Schadensersatzanspruch nach Art. 82 DSGVO gegen beide Parteien geltend machen können. Die in deutschen Gerichten zugesprochenen Schadensersatzbeträge in vergleichbaren Fällen bewegen sich je nach Schwere und Einzelfall zwischen einigen Hundert und mehreren Tausend Euro.
Diese Entwicklung steht nicht im Vakuum. Sie folgt auf die Entscheidungen der österreichischen DSB (Januar 2022), der CNIL (2022) und weiterer europäischer Datenschutzbehörden, die den Einsatz von Meta Business Tools ohne angemessenes Schutzniveau als rechtswidrig eingestuft haben. Die Klagewelle, für die Organisationen wie noyb (Max Schrems) Musterbeschwerden eingereicht haben, erreicht nun deutsche Untergerichte mit zunehmender Schlagzahl.
Warum ist Meta Pixel DSGVO-widrig? Die Rechtslage im Überblick
Meta Pixel – offiziell Meta Business Tools genannt – überträgt beim Laden einer Website automatisch Daten an Meta-Server in den USA: IP-Adresse, Browser-Informationen, aufgerufene URL und Nutzerverhalten. Das passiert bereits beim ersten Seitenaufruf, bevor der Nutzer irgendetwas angeklickt hat. Für die DSGVO-Bewertung sind drei Rechtsgrundlagen entscheidend:
- § 25 TDDDG: Das Speichern von Informationen auf dem Endgerät oder das Auslesen gespeicherter Informationen – also das Setzen von Cookies oder vergleichbare Tracking-Techniken – ist nur mit vorheriger Einwilligung erlaubt, sofern es nicht technisch notwendig ist. Meta Pixel ist nicht technisch notwendig. Ohne Einwilligung: Verstoß gegen § 25 TDDDG.
- Art. 6 Abs. 1 DSGVO: Die Verarbeitung personenbezogener Daten (IP-Adresse, Nutzerverhalten) braucht eine Rechtsgrundlage. Für Tracking-Zwecke kommt in aller Regel nur die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Frage – nicht das berechtigte Interesse, wie der EuGH und zahlreiche Datenschutzbehörden für werbebasiertes Tracking klargestellt haben.
- Art. 26 DSGVO – gemeinsam Verantwortliche: Der EuGH hat im Fashion-ID-Urteil (C-40/17, 2019) festgestellt, dass Website-Betreiber, die Meta-Plugins einbinden, mit Meta als gemeinsam Verantwortliche anzusehen sind – weil beide Parteien an der Entscheidung beteiligt sind, welche Daten erhoben werden. Das hat direkte Konsequenzen: Betroffene können Schadensersatz nach Art. 82 DSGVO gegen den Website-Betreiber geltend machen, nicht nur gegen Meta.
Zur Frage des USA-Datentransfers: Das EU-US Data Privacy Framework (DPF), das seit Juli 2023 gilt und unter dem Meta zertifiziert ist, hat das Schrems-II-Problem formal gelöst. Ob das DPF langfristig gerichtsfest bleibt, ist offen – noyb hat Beschwerden eingereicht und eine erneute EuGH-Prüfung gilt als wahrscheinlich. Entscheidend ist aber: Das DPF löst das Consent-Problem nicht. Auch bei rechtmäßigem Datentransfer in die USA braucht Meta Pixel eine gültige Einwilligung nach DSGVO und TDDDG. Das eine ist die Frage des Transfermechanismus, das andere die Frage der Rechtsgrundlage.
Das Haftungsproblem für Agenturen
Hier liegt der für Agenturen entscheidende Punkt, den die meisten Artikel zu Meta Pixel DSGVO übersehen: Die Haftungsfrage betrifft nicht nur den Website-Betreiber (den Kunden), sondern kann unter bestimmten Umständen auch die Agentur treffen.
Primärhaftung des Kunden: Als Website-Betreiber und verantwortliche Stelle nach DSGVO haftet zunächst der Kunde. Er gilt gemeinsam mit Meta als Verantwortlicher und steht gegenüber Behörden und Betroffenen in der Pflicht.
Regressansprüche gegen die Agentur: Die Agentur, die Meta Pixel auf einer Kunden-Website eingebunden hat, kann in die Haftung geraten, wenn sie das Setup wissentlich oder fahrlässig rechtswidrig umgesetzt hat. Wenn der Kunde durch ein Bußgeld oder einen Schadensersatzanspruch belastet wird, kann er Regress gegen die Agentur geltend machen – mit dem Vorwurf der fahrlässigen Ausführung einer technischen Implementierung ohne Consent-Konfiguration.
Die gemeinsam Verantwortlichen-Falle (Art. 26 DSGVO): Wer Meta Business Tools auf seiner Website einsetzt, schließt faktisch die Meta Business Tools Nutzungsbedingungen an, die ausdrücklich eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO begründen. Ein betroffener Nutzer kann seinen Schadensersatzanspruch nach Art. 82 DSGVO gegen den Kunden richten – und der Kunde kann diesen Anspruch unter Umständen an die Agentur weiterreichen, wenn diese das fehlerhafte Setup geliefert hat.
Facebook Pixel Agentur Kunden Haftung – was schützt: Dokumentation ist der einzige belastbare Schutz. Wer zum Zeitpunkt der Implementierung und danach nachweisen kann, dass das Pixel korrekt hinter einem Consent-Gate konfiguriert war – mit datierten Scan-Berichten, Cookie-Banner-Konfiguration und überprüften GTM-Einstellungen –, ist in einer deutlich besseren Position als wer das nicht kann.
Was tun, wenn du Meta Pixel auf Kunden-Websites eingebunden hast?
Wenn du als Agentur Meta Pixel für Kunden einsetzt oder eingesetzt hast, gibt es eine klare Prioritätenreihenfolge:
-
1. Prüfen, ob Meta Pixel vor dem Consent feuert:
Das ist das dringlichste Problem. Öffne die Kunden-Website im Inkognito-Modus,
starte die DevTools (F12 → Network) und beobachte die ausgehenden Requests
vor dem Klick auf „Akzeptieren". Siehst du Requests an
connect.facebook.netoderfacebook.com/tr, feuert das Pixel unkontrolliert – Meta Pixel ohne Einwilligung ist illegal. Ein automatisierter Pre-Consent-Scanner nimmt diese Prüfung für alle Kunden-Websites systematisch ab. -
2. GTM-Konfiguration prüfen: In den meisten Fällen läuft
Meta Pixel über den Google Tag Manager. Prüfe, ob der Pixel-Tag im GTM eine
Consent-Bedingung hat: Der Tag darf nur feuern, wenn
ad_storageundad_user_datanach Consent Mode v2 aufgrantedstehen. Ohne diese Bedingung feuert der Tag unabhängig vom Cookie-Banner. - 3. Datenschutzerklärung des Kunden aktualisieren: Meta muss als gemeinsam Verantwortlicher nach Art. 26 DSGVO in der Datenschutzerklärung korrekt aufgeführt sein – inklusive Rechtsgrundlage, Zweck und ausdrücklichem Hinweis auf die gemeinsame Verantwortlichkeit. Eine veraltete oder unvollständige DSE ist ein eigenständiger Verstoß.
- 4. AVV- und Vertragssituation klären: Für die Meta Business Tools hat Meta Standardvertragsklauseln hinterlegt. Da das Verhältnis als gemeinsame Verantwortlichkeit einzustufen ist, sollte die vertragliche Situation des Kunden mit Meta dokumentiert sein.
Die datenschutzkonforme Alternative: Server Side Tracking
Server Side Tracking ist die technische Antwort auf das browser-seitige Datenschutzproblem von Meta Pixel. Statt dass der Browser des Nutzers direkt Daten an Meta-Server überträgt, laufen die Daten über einen eigenen Server – die Meta Conversion API (CAPI). Das hat mehrere Vorteile:
- Kein direkter Browser-zu-Meta-Datentransfer: Der Nutzer-Browser schickt Daten an deinen Server, du entscheidest, welche Daten in welcher Form an Meta weitergegeben werden. IP-Adressen können vor der Übertragung gehasht werden – mit dem klassischen Pixel ist das nicht möglich.
- Mehr Kontrolle und Privacy by Design: Die serverseitige Kontrolle erlaubt es, nur die für das Conversion-Tracking notwendigen Daten zu übermitteln und sensible Daten herauszufiltern.
- Robustheit gegenüber Browser-Beschränkungen: Adblocker und Browser-Datenschutzfunktionen blockieren das klassische Pixel häufig. Die Conversion API umgeht diese Beschränkungen und liefert vollständigere Conversion-Daten.
Wichtig – kein Freifahrtschein: Server Side Tracking ist eine technisch bessere Lösung, aber keine rechtliche Freifahrt. Auch bei der Conversion API braucht die Datenverarbeitung im Auftrag von Meta die vorherige Einwilligung des Nutzers – denn die Verarbeitungsgrundlage hängt nicht davon ab, ob das Tracking browser- oder serverseitig initiiert wird. CAPI verbessert Privacy by Design und Datenqualität, ersetzt aber nicht das Consent-Management.
Als Meta Pixel Alternative datenschutzkonform gilt eine Kombination aus korrekt konfiguriertem Consent Mode v2, server-seitigem CAPI mit Daten-Hashing und einem zertifizierten CMP, das das Consent-Signal korrekt überträgt. Das ist technisch aufwändiger als das klassische Pixel-Setup – aber der einzige Weg, Meta-Conversion- Tracking rechtssicher zu betreiben.
Wie du als Agentur den Überblick behältst
Das Grundproblem für Agenturen ist nicht, ob sie wissen, wie man Meta Pixel DSGVO-konform einbindet. Das Grundproblem ist, dass sich das Setup auf Kunden-Websites ändert – ohne dass die Agentur es mitbekommt. Ein Plugin-Update bringt das Pixel zurück. Ein Kunde integriert GTM eigenständig neu. Das CMP bekommt ein Update und der Consent Mode ist plötzlich falsch konfiguriert.
Was du als Agentur brauchst, ist eine automatisierte Prüfung, die für alle Kunden-Websites regelmäßig erkennt, ob Meta Pixel vor dem Consent feuert – und dich sofort benachrichtigt, wenn das der Fall ist. In unserer Auswertung von 1.001 Scans feuerte das Meta Pixel in 75 Websites vor dem Consent-Klick, und 143 weitere Websites hatten gar kein CMP. Wie du das technisch erkennst und was die häufigsten Fehlerquellen sind, erklärt unser Artikel Tracking vor Cookie Consent: Wie du DSGVO-Verstöße auf Kunden-Websites erkennst.
Complianty scannt jede Kunden-Website in Phase 1 (vor Consent) und Phase 2 (nach Consent) und identifiziert dabei Meta Pixel als einwilligungspflichtigen Dienst. Feuert der Pixel vor dem Consent-Klick, erscheint ein CRITICAL-Alert im Dashboard – datiert, exportierbar und für alle Kunden auf einmal sichtbar. Das ist der datierte Nachweis, den du im Streitfall brauchst.
FAQ: Häufige Fragen zu Meta Pixel und DSGVO
Ist Meta Pixel in Deutschland illegal?
Meta Pixel ist nicht per se illegal – aber der Einsatz ohne korrekte Einwilligung ist es. Mehrere deutsche Gerichte und europäische Datenschutzbehörden haben klargestellt, dass Meta Pixel (Facebook Pixel) ohne vorherige Zustimmung des Nutzers gegen § 25 TDDDG und Art. 6 DSGVO verstößt. Meta Pixel DSGVO-konform zu betreiben ist möglich – aber nur mit korrekt konfiguriertem Consent Management und, idealerweise, server-seitigem Tracking über die Conversion API.
Wie viel Schadensersatz droht bei Meta Pixel?
Das hängt vom Einzelfall ab. Deutsche Gerichte haben in DSGVO-Fällen immaterielle Schäden zugesprochen, die von einigen Hundert bis in den hohen vierstelligen Bereich reichen – je nach Schwere des Verstoßes, Dauer und ob besondere Datenkategorien betroffen sind. Der EuGH hat in C-300/21 (Österreichische Post) klargestellt, dass nicht jeder Verstoß automatisch Schadensersatz begründet; es muss ein tatsächlicher immaterieller Schaden – etwa Kontrollverlust, belegbare Beeinträchtigung – nachgewiesen werden. Die Suchanfragen nach „Meta Pixel Schadensersatz 1500 Euro" bis „10.000 Euro" spiegeln die Bandbreite der aktuellen deutschen Rechtsprechung wider.
Haftet die Agentur, wenn sie Meta Pixel eingebunden hat?
Primär haftet der Website-Betreiber (der Kunde) als verantwortliche Stelle. Die Agentur kann aber in die Haftung geraten, wenn sie das Pixel ohne korrekte Consent-Konfiguration eingebunden hat und der Kunde deswegen mit einem Bußgeld oder Schadensersatzanspruch konfrontiert wird. Der Kunde kann in diesem Fall Regress gegen die Agentur geltend machen. Schutz bieten datierte Scan-Berichte, die belegen, dass das Setup zum Zeitpunkt der Implementierung DSGVO-konform war.
Was ist die datenschutzkonforme Alternative zu Meta Pixel?
Auf zwei Ebenen: Erstens das bestehende Pixel korrekt konfigurieren – mit Consent Mode v2, korrekten GTM-Consent-Bedingungen und einem zertifizierten CMP. Zweitens auf server-seitiges Tracking mit der Meta Conversion API (CAPI) umsteigen. CAPI gibt dir mehr Kontrolle über die übertragenen Daten und ermöglicht Datenhashing vor der Meta-Übertragung. Beide Wege ersetzen nicht die Einwilligung – sie machen die Implementierung robuster und datenschutzkonformer.
Was bedeutet Art. 26 DSGVO (gemeinsam Verantwortliche) für Website-Betreiber?
Art. 26 DSGVO regelt die gemeinsame Verantwortlichkeit mehrerer Parteien für dieselbe Datenverarbeitung. Der EuGH hat im Fashion-ID-Urteil (C-40/17, 2019) und in Folgeentscheidungen festgestellt, dass Website-Betreiber, die Meta Business Tools einbinden, gemeinsam mit Meta Verantwortliche sind. Das bedeutet für Betroffene: Sie können Schadensersatzansprüche gegen den Website-Betreiber geltend machen – nicht nur gegen Meta. Und für Agenturen: Der Kunde, der gemeinsam Verantwortlicher ist, kann diesen Anspruch unter Umständen an die Agentur weiterreichen.
Fazit: Nicht warten, sondern prüfen
Die Rechtsprechung zu Meta Pixel DSGVO entwickelt sich weiter. Die Grundlage – Meta Pixel ohne Einwilligung verstößt gegen DSGVO und TDDDG – ist seit Jahren klar. Was sich ändert, ist die Häufigkeit, mit der Gerichte das auch durchsetzen und Schadensersatz zusprechen. Für Agenturen bedeutet das: Das Risiko ist nicht mehr nur theoretisch.
Alle weiteren DSGVO-Pflichten beim Website-Launch, die direkt mit dem Pixel-Setup zusammenhängen – Cookie Banner, Datenschutzerklärung, AVV – fasst unsere vollständige DSGVO-Checkliste für Webagenturen zusammen. Welche DSGVO-Software-Lösung Agenturen beim systematischen Compliance-Management unterstützt, zeigt unser DSGVO-Software-Vergleich für Agenturen. Welche Tools überhaupt einen AVV erfordern – und warum Meta hier ein Sonderfall ist – erklärt unser AVV-Guide für Webagenturen.