Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Das Facebook SDK für JavaScript wird von connect.facebook.net geladen und bindet Meta Funktionen wie Login mit Facebook, Gefällt mir und Teilen Schaltflächen, Kommentare sowie den Meta Pixel ein. Es setzt Erst und Drittanbieter Cookies darunter _fbp, _fbc, fr, datr, c_user und xs, löst Pixel Ereignisse aus und übermittelt Browsing Daten an Meta Platforms Ireland und Meta Platforms Inc in den USA. Nach DSGVO und ePrivacy Richtlinie ist eine vorherige, freiwillige, spezifische, informierte und unmissverständliche Einwilligung vor dem Laden des SDK erforderlich.
Das Facebook SDK für JavaScript ist eine Script Bibliothek, die von connect.facebook.net/{locale}/sdk.js geladen wird und Meta Funktionen in Websites einbettet. Es liefert Login mit Facebook, Gefällt mir und Teilen Schaltflächen, eingebettete Beiträge, das Kommentar Plugin, den Teilen Dialog und den Meta Pixel. Nach Initialisierung über FB.init() kommuniziert das SDK mit facebook.com und graph.facebook.com, liest bestehende Meta Cookies und schreibt neue, um Nutzer zu identifizieren, Conversions zu messen und Custom Audiences aufzubauen.
Das SDK setzt das Erstanbieter Cookie _fbp mit der Browser ID des Meta Pixel sowie ein _fbc Cookie zur Klick Attribution über den fbclid Parameter. Ist der Nutzer bei Facebook angemeldet, werden die Drittanbieter Cookies fr, datr, c_user und xs auf der Domain facebook.com gelesen oder geschrieben. Das Script übermittelt zudem IP Adresse, User Agent, Referrer URL, Seiten URL, Viewport, Sprache sowie gehashte Nutzerdaten bei aktivem Advanced Matching. Diese Daten sind personenbezogene Daten im Sinne von Art 4 DSGVO.
Für Nutzer im EWR ist Verantwortlicher die Meta Platforms Ireland Limited in Dublin, die Daten werden jedoch an Meta Platforms Inc in den USA gespiegelt. Die Übermittlungen stützen sich auf das im Juli 2023 verabschiedete EU US Data Privacy Framework sowie auf Standardvertragsklauseln mit ergänzenden Maßnahmen. Nach dem Schrems II Urteil bleibt das Framework umstritten, und die irische Aufsichtsbehörde verhängte 2023 auf Grundlage einer bindenden EDSA Entscheidung eine Strafe von 1,2 Milliarden Euro gegen Meta. Auch die deutsche Datenschutzkonferenz hat den Einsatz des Facebook Pixel ohne Einwilligung beanstandet.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Die einzig zulässige Rechtsgrundlage für den Einsatz des Facebook SDK ist die ausdrückliche Einwilligung nach Art 6(1)(a) DSGVO und § 25 TTDSG, der Art 5(3) ePrivacy umsetzt. Das Script darf nicht vor Erteilung der Einwilligung über eine konforme Consent Management Plattform geladen werden. Aufsichtsbehörden in Deutschland, Frankreich, Spanien und Italien haben wiederholt Bußgelder verhängt. Die Ablehnung muss ebenso einfach sein wie die Annahme.
Das Facebook SDK weist ein hohes Risikoprofil auf, da es Profiling, Verarbeitung im großen Umfang, systematische Überwachung und Drittlandübermittlungen kombiniert. Eine Datenschutz Folgenabschätzung nach Art 35 DSGVO ist verpflichtend. Verantwortliche müssen Datenkategorien, Schutzmaßnahmen wie Consent Mode v2 und serverseitiges Hashing, Speicherfristen sowie Betroffenenrechte dokumentieren.
Betreiber sollten das Facebook SDK ausschließlich nach Einwilligung einbinden, die Datenflüsse im Verarbeitungsverzeichnis nach Art 30 DSGVO dokumentieren, Datenschutzerklärung und Cookie Richtlinie aktualisieren, Consent Mode v2 konfigurieren wenn der Pixel über den Google Tag Manager läuft, die serverseitige Integration über die Conversions API bevorzugen und regelmäßige Audits der Cookies und der Anfragen an facebook.com und graph.facebook.com durchführen.
Websites using Facebook SDK must obtain user consent under GDPR regulations.
DPIA considerations
Eine Datenschutz Folgenabschätzung ist nach Art 35 DSGVO verpflichtend, da das Facebook SDK eine systematische Überwachung der Website Besucher, ein Profiling zu Werbezwecken, eine umfangreiche Verarbeitung von Verhaltensdaten und Übermittlungen in die USA mit Schrems II Bezug ermöglicht. Die DSFA muss die Notwendigkeit und Verhältnismäßigkeit der Meta Scripts dokumentieren, die Risiken aus _fbp und _fbc Cookies in Kombination mit der serverseitigen Anreicherung über die Conversions API bewerten, die Garantien des EU US Data Privacy Framework nach der EDSA Entscheidung 2023 prüfen und Minderungsmaßnahmen wie eine konforme CMP, Consent Mode v2, IP Kürzung, serverseitiges Hashing und eine dokumentierte Aufbewahrungsfrist festlegen.
Sample consent text
Wir verwenden das Facebook SDK der Meta Platforms Ireland Limited, um Login mit Facebook, Social Plugins und den Meta Pixel anzuzeigen. Mit Ihrer Einwilligung werden Cookies wie _fbp, _fbc, fr und datr auf Ihrem Endgerät gespeichert und Informationen über Ihren Besuch, einschließlich Ihrer IP Adresse und der besuchten Seiten, mit Meta in Irland und den USA im Rahmen des EU US Data Privacy Framework geteilt. Diese Daten dienen der Werbemessung, dem Aufbau von Custom Audiences und dem Profiling. Sie können Ihre Einwilligung jederzeit über unsere Cookie Einstellungen erteilen, ablehnen oder widerrufen.
Third-party domains contacted
connect.facebook.netfacebook.comwww.facebook.comgraph.facebook.comstaticxx.facebook.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| _fbp | first_party | 90 days | Marketing. Facebook Pixel browser identifier used to track visits across sessions and attribute conversions. |
| _fbc | first_party | 90 days | Marketing. Stores the last click attribution identifier from the fbclid URL parameter for ad measurement. |
| fr | third_party | 90 days | Marketing. Used by Meta on facebook.com for ad targeting, frequency capping and personalisation. |
| datr | third_party | 2 years | Security and identification. Identifies the browser to prevent fraudulent activity on Meta services. |
| c_user | third_party | 90 days | Identity. Stores the Facebook user ID when the visitor is logged in. |
| xs | third_party | session | Identity. Stores the Facebook session identifier for authenticated users. |
Facebook SDK setzt Tracking-Cookies für Werbezwecke — werden Sie DSGVO-konform mit FlowConsent.
Das Facebook SDK schreibt das Erstanbieter Cookie _fbp mit der Browser ID des Meta Pixel und einer Laufzeit von 90 Tagen sowie ein _fbc Cookie, das die Klick Attribution aus dem fbclid URL Parameter erfasst. Ist der Besucher bei Facebook angemeldet, liest oder schreibt das SDK die Drittanbieter Cookies fr (90 Tage, Werbung), datr (2 Jahre, Sicherheit und Identifikation), c_user (90 Tage, Identität) und xs (Sitzung, Identität) auf der Domain facebook.com. Alle diese Cookies sind nicht notwendig und erfordern eine vorherige Einwilligung.
Ja, die Einwilligung ist zwingend erforderlich. Das SDK lädt Scripts, die Cookies setzen und personenbezogene Daten zu Werbezwecken an Meta übermitteln, was eine nicht notwendige Verarbeitung im Sinne von Art 5(3) ePrivacy Richtlinie, § 25 TTDSG und Art 6(1)(a) DSGVO darstellt. Das Script muss blockiert bleiben, bis die Nutzerin oder der Nutzer eine freiwillige, spezifische, informierte und unmissverständliche Einwilligung über eine konforme Consent Management Plattform erteilt. Die Ablehnung muss ebenso einfach sein wie die Annahme.
Die einzig zulässige Rechtsgrundlage ist die ausdrückliche Einwilligung der Nutzerin oder des Nutzers nach Art 6(1)(a) DSGVO. Berechtigtes Interesse kann nicht herangezogen werden, da der Europäische Datenschutzausschuss 2023 bestätigt hat, dass Meta sich für personalisierte Werbung weder auf berechtigtes Interesse noch auf Vertrag stützen darf. Verantwortliche müssen den Einwilligungsnachweis mit Zeitstempel, Umfang und Richtlinienversion dokumentieren und der Aufsichtsbehörde auf Verlangen vorlegen.
Für Nutzer im EWR ist Verantwortlicher die Meta Platforms Ireland Limited in Dublin, die Daten werden jedoch an Meta Platforms Inc in den USA gespiegelt. Die Übermittlungen stützen sich auf das im Juli 2023 verabschiedete EU US Data Privacy Framework und auf Standardvertragsklauseln mit ergänzenden Maßnahmen. Der Rahmen bleibt nach dem Schrems II Urteil umstritten und die irische DPC verhängte 2023 eine Strafe von 1,2 Milliarden Euro gegen Meta für unrechtmäßige Übermittlungen. Eine Transfer Folgenabschätzung ist erforderlich.
Ja, eine Datenschutz Folgenabschätzung ist nach Art 35 DSGVO verpflichtend, da die Verarbeitung systematische Überwachung, Profiling, umfangreiche Verarbeitung und Übermittlungen in ein Drittland umfasst. Die DSFA muss die Datenflüsse beschreiben, die Risiken für betroffene Personen identifizieren, die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung bewerten und Minderungsmaßnahmen festlegen, darunter eine konforme CMP, serverseitige Integration über die Conversions API, IP Kürzung und eine dokumentierte Aufbewahrungsfrist.
Setzen Sie das SDK ausschließlich nach Einwilligung über eine konforme Consent Management Plattform mit IAB TCF v2.2 ein. Wird der Meta Pixel über den Google Tag Manager ausgespielt, konfigurieren Sie Consent Mode v2 mit den Signalen ad_storage und ad_user_data. Bevorzugen Sie die serverseitige Integration über die Conversions API, um die browserseitige Exposition zu verringern, wenden Sie IP Kürzung und serverseitiges Hashing personenbezogener Identifikatoren an und dokumentieren Sie alles im Verarbeitungsverzeichnis nach Art 30 DSGVO.
Konforme Alternativen sind die serverseitige Integration über die Conversions API ohne Browser SDK, Erstanbieter Tracking über eine datenschutzfreundliche Analytics Plattform, kontextbezogene Werbelösungen ohne personenbezogene Daten, natives Login über in der EU ansässige OpenID Connect Anbieter sowie die Einbindung sozialer Inhalte über statische Vorschauen anstelle von Iframes, die facebook.com laden. Jede Alternative reduziert oder beseitigt die Abhängigkeit von Meta Cookies und grenzüberschreitenden Übermittlungen.
Listen Sie jedes vom SDK gesetzte Cookie mit Name, Zweck, Dauer und Kategorie auf, benennen Sie Meta Platforms Ireland Limited und Meta Platforms Inc als gemeinsame Verantwortliche bzw Auftragsverarbeiter, nennen Sie das Übermittlungsinstrument (DPF und SCC), beschreiben Sie die Betroffenenrechte einschließlich Widerspruch und Löschung, verlinken Sie auf die Meta Datenschutzerklärung und erläutern Sie den Widerruf der Einwilligung. Überprüfen Sie die Cookie Richtlinie mindestens jährlich oder bei jeder Aktualisierung des SDK durch Meta.