> Meta-Pixel und DSGVO: die Cookies _fbp und _fbc, warum eine Einwilligung nötig ist, Blockierung per CMP oder GTM, Conversions API und eine Checkliste. > > Canonical: https://www.flowconsent.com/de/blog/meta-pixel-cookies-dsgvo-konformitaet [Marketing-Tools](https://www.flowconsent.com/de/blog?category=tools) # Meta-Pixel und DSGVO: Cookies, Einwilligung und Konformität Veröffentlicht am 7. April 2026 · Aktualisiert am 9. Oktober 2026 · 9 Min. Lesezeit Kurz gesagt Das Meta-Pixel (früher Facebook-Pixel) setzt Werbe-Cookies, vor allem `_fbp` und `_fbc`, im Browser Ihrer Besucher, um Conversions zu messen, Retargeting-Zielgruppen aufzubauen und Meta-Ads-Kampagnen zu optimieren. In Europa verlangen die ePrivacy-Richtlinie, in Deutschland umgesetzt in § 25 TDDDG, und die DSGVO dafür eine vorherige Einwilligung: Lädt das Pixel, bevor der Besucher auf „Akzeptieren“ klickt, verstößt Ihre Website gegen das Recht. Für einen rechtmäßigen Einsatz blockieren Sie es bis zur Einwilligung über eine CMP oder Google Tag Manager, nennen es klar in Banner und Cookie-Richtlinie, knüpfen die Conversions API an dieselbe Einwilligung und prüfen regelmäßig, dass nichts durchsickert. Das Meta-Pixel gehört zu den am häufigsten eingebundenen Marketing-Tools im Web und zu den am genauesten beobachteten der europäischen Datenschutzbehörden: Websiteübergreifendes Tracking, Übermittlungen in die USA und ein Werbezweck machen es zum Risikofall. Dieser Leitfaden behandelt die gesetzten Cookies, die rechtlichen Gründe für die Einwilligungspflicht, drei Wege zur Blockierung, das Zusammenspiel mit Google Consent Mode und der Conversions API, die Folgen für Ihre Kampagnen und eine abschließende Checkliste. ## Was ist das Meta-Pixel und warum ist es datenschutzrechtlich heikel? Das Meta-Pixel ist ein JavaScript-Code von Meta (Facebook, Instagram), den Werbetreibende auf ihrer Website einbinden, um die Wirkung ihrer Anzeigen zu messen und Zielgruppen aufzubauen. Sobald es lädt, setzt es Cookies im Browser des Besuchers und sendet Ereignisse an Meta (Seitenaufrufe, Warenkorb, Käufe). ### Die Cookies des Meta-Pixels Das Pixel stützt sich auf zwei zentrale Cookies: - `_fbp` kennzeichnet den Browser mit einer zufälligen Kennung. Meta erkennt damit denselben Besucher über mehrere Besuche hinweg und ordnet Conversions zu. Laut Meta beträgt die Laufzeit 90 Tage. - `_fbc` speichert die Klick-ID einer Anzeige (`fbclid`), wenn der Besucher über eine Facebook- oder Instagram-Anzeige kommt. Es entsteht nur, wenn die Einstiegs-URL `fbclid` enthält, und Meta empfiehlt eine Laufzeit von 90 Tagen. Beide sind First-Party-Cookies auf Ihrer Domain, dienen aber der Werbung von Meta. Sie gehören in die [Kategorie „Marketing“](https://www.flowconsent.com/de/blog/dsgvo-cookie-kategorien-vollstaendiger-leitfaden): Für den Betrieb Ihrer Website sind sie nicht nötig, und keine Ausnahme greift. Mehr zu Inhalt und Laufzeit lesen Sie in unserem Artikel über [die Cookies \_fbp und \_fbc](https://www.flowconsent.com/de/blog/fbp-fbc-cookies-meta-erklaert). ### Warum die Einwilligung Pflicht ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie, in Deutschland § 25 TDDDG, erlaubt das Speichern oder Auslesen von Informationen auf dem Endgerät nur mit Einwilligung, es sei denn, es ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Werbemessung und Retargeting sind das nie. Die erhobenen Daten fließen zudem in das Targeting von Meta ein, auch auf anderen Websites und Plattformen: Für diesen websiteübergreifenden Werbezweck ist das berechtigte Interesse keine tragfähige Grundlage. Europäische Aufsichtsbehörden haben wiederholt betont, dass Werbe-Tracker, auch die von Meta, erst nach einer freiwilligen, bestimmten, informierten und unmissverständlichen Einwilligung gesetzt werden dürfen, und [mehrere Bußgeldverfahren](https://www.flowconsent.com/de/blog/cnil-cookie-bussgelder-reale-faelle) richteten sich gegen Websites, die Werbeskripte vor der Einwilligung luden. ### Sie sind gemeinsam mit Meta verantwortlich Im Urteil Fashion ID (C-40/17, 29. Juli 2019) entschied der Europäische Gerichtshof, dass eine Website, die ein Facebook-Plugin einbindet, gemeinsam mit Meta für die Erhebung und Übermittlung der Besucherdaten verantwortlich ist und dass die Website, nicht Facebook, vorher die Einwilligung einholen muss. Dieselbe Logik gilt für das Pixel: Sie entscheiden sich für die Einbindung, also müssen Sie zuerst fragen. Halten Sie diese Verarbeitung und die gemeinsame Verantwortlichkeit in Ihrem Verzeichnis von Verarbeitungstätigkeiten fest. ### Datenübermittlungen in die USA Die vom Pixel erhobenen Daten können an Meta Platforms Inc. in den USA übermittelt werden. Nach dem Aus für den Privacy Shield (Schrems II, Juli 2020) mussten solche Übermittlungen auf Standardvertragsklauseln mit ergänzenden Maßnahmen beruhen, und im Mai 2023 verhängte die irische Datenschutzbehörde gegen Meta ein Bußgeld von 1,2 Milliarden Euro wegen seiner Übermittlungen zwischen EU und USA. Das im Juli 2023 angenommene EU-US Data Privacy Framework deckt inzwischen Übermittlungen an zertifizierte Unternehmen ab und wurde im September 2025 vom Gericht der Europäischen Union bestätigt, ist aber weiterhin umstritten. Erwähnen Sie diese Übermittlungen in Ihrer Datenschutzerklärung und verfolgen Sie die Entwicklung. ## So blockieren Sie das Meta-Pixel vor der Einwilligung Das Prinzip ist einfach: Das Pixel-Skript darf erst laufen, wenn der Besucher Marketing-Cookies akzeptiert hat. Je nach Setup gibt es drei Methoden. ### Methode 1: Blockierung über Ihre CMP Am zuverlässigsten ist eine CMP, die Skripte nach Kategorie blockiert. Mit FlowConsent deklarieren Sie das Meta-Pixel unter **Builder > Services**: Der Dienst stammt aus einem gepflegten Katalog mit seinen Cookies und Erkennungsmustern, ist als Marketing eingestuft, und das Banner lädt ihn erst nach der Einwilligung. Solange der Besucher nicht zugestimmt hat, läuft das Skript nicht, und kein `_fbp`-Cookie wird gesetzt. Wie der Katalog funktioniert, erklärt die [Dokumentation zu Diensten und Rechtsgrundlagen](https://www.flowconsent.com/de/doc/services-and-legal-basis). Dasselbe gilt für [Google Analytics](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform) und jeden anderen Drittanbieter-Tracker. Vorsicht bei Pixeln, die außerhalb Ihres Codes eingefügt werden: Der Kanal Facebook & Instagram bei Shopify, Meta for WooCommerce oder die Marketing Integrations von Wix bringen das Pixel selbst mit. Schalten Sie deren Pixel ab und deklarieren Sie den Dienst stattdessen in Ihrer CMP; die [Installationsanleitung für Shopify](https://www.flowconsent.com/de/doc/install-shopify) zeigt das Vorgehen für diese Plattform. ### Methode 2: Bedingtes Laden über Google Tag Manager Liegt das Pixel in Google Tag Manager, denken Sie daran, dass GTM für Tags anderer Anbieter keine integrierte Einwilligungsprüfung hat. Öffnen Sie das Tag, gehen Sie zu **Erweiterte Einstellungen > Einwilligungseinstellungen**, wählen Sie **Zusätzliche Einwilligung für das Auslösen des Tags erforderlich** und fügen Sie `ad_storage` hinzu. Das Tag wird dann nur ausgelöst, wenn dieses Signal beim Eintreten des Triggers `granted` ist. Ein Meta-Tag auf „Nicht festgelegt“ feuert ohne jede Prüfung, die häufigste Ursache für ein Pixel, das trotz Ablehnung sendet. Die [Installationsanleitung für GTM](https://www.flowconsent.com/de/doc/install-google-tag-manager) und unser [Leitfaden zu Google Tag Manager und Consent Mode](https://www.flowconsent.com/de/blog/google-tag-manager-consent-mode-leitfaden) beschreiben diese Einrichtung. ### Methode 3: Native Blockierung per JavaScript Ohne CMP und ohne GTM können Sie das Laden selbst an Bedingungen knüpfen: Geben Sie dem `