Meta-Pixel: Haftungsrisiko für Websitebetreiber

Das Oberlandesgericht Hamm hat am 24. Juni 2026 entschieden, dass die Datenerhebung über Meta Business Tools auf Drittseiten ohne wirksame Rechtsgrundlage erfolgt, und der Klägerin 1.500 € immateriellen Schadensersatz zugesprochen (Az. 8 U 56/25). Es ist die vorerst letzte einer Reihe von Berufungsentscheidungen, die seit Februar 2026 in dieselbe Richtung weisen.

Beklagte war in allen Verfahren Meta, nicht der Betreiber der Website, auf der das Pixel eingebunden war. Genau diese Unterscheidung wird in der Diskussion häufig übergangen. Für Shops, Agenturen und SaaS-Anbieter, die Pixel und Conversions API einsetzen, ergibt sich das Risiko nicht aus diesen Urteilen selbst, sondern aus zwei anderen Normen, die von den Verfahren nur mittelbar berührt werden.

Worum es geht

Meta Business Tools ist der Sammelbegriff für die Werkzeuge, mit denen Meta Nutzerverhalten außerhalb der eigenen Dienste erfasst: das Meta-Pixel im Browser, das Conversions-API-Ereignis vom Server, das SDK in mobilen Anwendungen. Erfasst werden Seitenaufrufe, Warenkorb- und Kaufereignisse, Formularabschlüsse. Meta verknüpft diese Ereignisse mit dem Konto der betroffenen Person, soweit eine Zuordnung gelingt.

Die Klagen der vergangenen zwei Jahre richten sich gegen diese Verknüpfung. Kläger sind einzelne Facebook- und Instagram-Nutzer, die Auskunft, Löschung, Unterlassung und Schadensersatz nach Art. 82 DSGVO geltend machen. Die Berufungsinstanzen haben 2026 einen einheitlichen Stand erreicht:

Gericht	Datum	Aktenzeichen	Ergebnis
LG Leipzig	04.07.2025	05 O 2351/23	5.000 € Schadensersatz
OLG Dresden	03.02.2026	4 U 196/25, 4 U 292/25, 4 U 293/25, 4 U 296/25	je 1.500 €, Unterlassung, rechtskräftig
OLG Jena	02.03.2026	3 U 31/25	3.000 €, Auskunft, Löschung, Revision zugelassen
OLG Hamm	09.03.2026	8 U 21/25	1.500 €, Auskunft, Löschung
OLG Hamm	24.06.2026	8 U 56/25	1.500 €, Unterlassung, Löschung ab 25.05.2018

Die Begründungen decken sich weitgehend. Die Gerichte sehen Verstöße gegen Art. 5 Abs. 1 lit. a, b und c DSGVO: gegen den Transparenzgrundsatz, gegen die Zweckbindung und gegen die Datenminimierung. Eine Rechtfertigung nach Art. 6 DSGVO scheitert, weil weder eine wirksame Einwilligung vorliegt noch die Verarbeitung zur Vertragserfüllung erforderlich ist. Der immaterielle Schaden liegt nach Auffassung der Gerichte bereits im Kontrollverlust über die eigenen Daten, ohne dass ein Folgeschaden nachzuweisen wäre.

Warum die Urteile Betreiber nicht unmittelbar treffen

In allen genannten Verfahren war Meta Platforms Beklagte. Verurteilt wurde zur Unterlassung der weiteren Verarbeitung, zur Löschung und zur Zahlung. Kein Urteil dieser Reihe verpflichtet einen Websitebetreiber zu irgendetwas.

Das OLG Hamm hat in der Entscheidung vom 24. Juni 2026 ausdrücklich festgehalten, dass Meta die Verantwortlichkeit für die Erfassung und Weiterleitung nicht auf die einbindenden Drittanbieter abschieben kann:

Die Kontrolle über die Programmierung der Meta Business-Tools und damit den Umfang der Erfassung und Weiterleitung der Daten verbleibt bei der Beklagten.

Diese Aussage entlastet Betreiber jedoch nur teilweise. Sie betrifft die Frage, wer über Mittel und Zwecke der Verarbeitung innerhalb des Tools entscheidet. Sie sagt nichts darüber, wer dafür verantwortlich ist, dass die Erhebung auf der jeweiligen Website überhaupt ausgelöst wird.

Der erste Hebel: gemeinsame Verantwortlichkeit nach Art. 26 DSGVO

Für diese Vorfrage gilt seit 2019 der Maßstab des EuGH in der Sache Fashion ID (Urteil vom 29.07.2019, C-40/17). Der Betreiber einer Website, der ein Social Plugin einbindet, ist für die Erhebung der Besucherdaten und deren Übermittlung an den Anbieter gemeinsam mit diesem verantwortlich. Der Grund ist wirtschaftlich: Beide Seiten verfolgen mit der Einbindung ein eigenes Interesse.

Die Verantwortlichkeit ist dabei phasenbezogen begrenzt. Sie erstreckt sich auf Erhebung und Übermittlung, also auf den Abschnitt, in dem der Betreiber tatsächlich Einfluss auf Mittel und Zwecke hat. Was Meta anschließend mit den Daten tut, fällt nicht mehr in seinen Verantwortungsbereich. Auf diesen zweiten Abschnitt beziehen sich die Urteile aus Dresden, Jena und Hamm.

Was Art. 26 DSGVO konkret verlangt +

Gemeinsam Verantwortliche müssen in einer Vereinbarung in transparenter Form festlegen, wer welche Pflichten der Verordnung erfüllt, insbesondere die Informationspflichten nach Art. 13 und 14 DSGVO und die Wahrnehmung der Betroffenenrechte (Art. 26 Abs. 1 DSGVO). Das Wesentliche der Vereinbarung ist den betroffenen Personen zur Verfügung zu stellen (Art. 26 Abs. 2 DSGVO).

Meta stellt für diese Konstellation eine vorformulierte Ergänzung zu den Nutzungsbedingungen bereit. Sie wird durch die Nutzung der Business Tools einbezogen und ist damit nicht verhandelbar.

Praxisbeispiel: Ein Online-Shop bindet Pixel und Conversions API ein, verweist in der Datenschutzerklärung aber nur pauschal auf „Facebook” und nennt weder die gemeinsame Verantwortlichkeit noch das Wesentliche der Vereinbarung. Der Verstoß gegen Art. 26 Abs. 2 DSGVO ist dann unabhängig davon gegeben, ob die Einwilligung im Übrigen wirksam eingeholt wurde.

Entscheidend für die Haftung: Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ihre Rechte gegenüber jedem Verantwortlichen geltend machen, ungeachtet der internen Aufteilung. Art. 82 Abs. 4 DSGVO ordnet für den Schadensersatz die Haftung jedes Verantwortlichen auf den gesamten Schaden an.

Praktisch bedeutet das: Ein Betroffener, der heute gegen Meta klagt, könnte denselben Anspruch dem Grunde nach auch gegen den Betreiber der Website richten, auf der die Erhebung stattgefunden hat — begrenzt auf den Erhebungs- und Übermittlungsvorgang. Dass die bisherigen Verfahren nahezu ausschließlich Meta betreffen, hat ökonomische Gründe, nicht dogmatische. Bei einem Beklagten mit bekannter Adresse und bekanntem Sachverhalt lässt sich ein standardisiertes Verfahren führen; gegen tausende Shopbetreiber nicht.

Der zweite Hebel: § 25 TDDDG

Neben der DSGVO steht die Regelung zum Endgerätezugriff. § 25 Abs. 1 TDDDG verlangt eine Einwilligung für das Speichern von Informationen auf dem Endgerät und für den Zugriff auf dort bereits gespeicherte Informationen. Die Einwilligung muss den Anforderungen der DSGVO genügen, also vorher, informiert und freiwillig erteilt werden.

Die Ausnahme in § 25 Abs. 2 TDDDG greift nur, wenn der Zugriff für die Übermittlung einer Nachricht oder für einen ausdrücklich gewünschten Telemediendienst unbedingt erforderlich ist. Reichweitenmessung und Werbeoptimierung fallen darunter nicht.

Adressat dieser Pflicht ist der Diensteanbieter, also der Betreiber der Website. Nicht Meta. Verstöße gegen § 25 TDDDG sind nach § 28 TDDDG als Ordnungswidrigkeit mit einem Bußgeldrahmen von bis zu 300.000 € bewehrt. Dieses Bußgeld tritt neben mögliche Sanktionen nach der DSGVO.

Conversions API ersetzt die Einwilligung nicht

Die serverseitige Übermittlung über die Conversions API wird verbreitet als Antwort auf sinkende Consent-Raten eingesetzt. Sie verlagert den Übertragungsweg vom Browser auf den eigenen Server, ändert aber nichts an der rechtlichen Bewertung.

Für den Endgerätezugriff nach § 25 TDDDG kommt es darauf an, ob überhaupt auf Informationen im Endgerät zugegriffen wird. Wer serverseitig ausschließlich Daten überträgt, die dem Unternehmen aus dem Vertragsverhältnis ohnehin vorliegen, benötigt insoweit keine Einwilligung nach § 25 TDDDG. In der Praxis speist sich der Ereignis-Payload aber fast immer aus Cookie-Identifiern wie _fbp und _fbc, die zuvor im Browser gesetzt wurden. Damit ist der Zugriff wieder eröffnet.

Unabhängig davon bleibt die datenschutzrechtliche Prüfung: Die Übermittlung von E-Mail-Adressen, Telefonnummern oder Bestellwerten an Meta zu Werbezwecken ist eine eigenständige Verarbeitung, die eine Rechtsgrundlage nach Art. 6 DSGVO benötigt. Das Hashing der Identifier vor der Übermittlung ändert daran nichts, weil gehashte Kontaktdaten für Meta gerade zuordenbar bleiben sollen.

Prüfschritte für Betreiber

Die folgende Reihenfolge deckt die Punkte ab, an denen die bisherigen Verfahren angesetzt haben:

# Bestandsaufnahme Meta Business Tools
einbindung:
  - wo: Theme, Tag-Manager, Shop-Plugin, App-SDK  # alle Pfade erfassen
  - ladezeitpunkt: vor oder nach Einwilligung?    # Netzwerkanalyse, nicht Doku
  - capi_payload: welche Felder verlassen den Server?

einwilligung:
  - banner_gleichrangig: Ablehnen so leicht wie Zustimmen?
  - granularitaet: Meta separat wählbar?
  - widerruf: Mechanismus vorhanden und wirksam?
  - protokollierung: Zeitpunkt, Version, Textfassung gespeichert?

transparenz:
  - art_26_hinweis: gemeinsame Verantwortlichkeit benannt?
  - wesentliches: Kern der Vereinbarung abrufbar?
  - empfaenger: Meta Platforms Ireland namentlich genannt?
  - drittland: Übermittlungsgrundlage benannt?

vertraege:
  - agentur: Rolle geklärt (Auftragsverarbeitung oder eigenverantwortlich)?
  - freistellung: Regelung für Betroffenenansprüche vorhanden?

Für Agenturen ist die vorletzte Zeile die praktisch relevanteste. Wer für Mandanten Tracking-Setups konfiguriert, wird regelmäßig als Auftragsverarbeiter nach Art. 28 DSGVO tätig, entscheidet aber faktisch über Umfang und Auslösezeitpunkt der Erhebung. Weisungsketten, Freigabeprozesse und eine Regelung zur Haftungsverteilung gehören deshalb in den Agenturvertrag und nicht in eine E-Mail. Zur Gestaltung dieser Verträge siehe IT- und Softwarerecht, zur datenschutzrechtlichen Prüfung des Setups Datenschutzrecht.

Wenn Ansprüche geltend gemacht werden

Der typische Ablauf beginnt mit einem Auskunftsverlangen nach Art. 15 DSGVO, dem ein Schadensersatzverlangen folgt. Für Unternehmen, die solche Schreiben in Serie erhalten, hat der EuGH mit Urteil vom 19. März 2026 (C-526/24) einen Maßstab gesetzt: Ein Auskunftsantrag kann als exzessiv zurückgewiesen werden, wenn er allein dazu dient, eine Grundlage für Schadensersatzforderungen zu schaffen. Die Darlegungs- und Beweislast für den Missbrauch trägt der Verantwortliche.

Das ist kein Freibrief. Der EuGH hat im selben Urteil bestätigt, dass eine Verletzung des Auskunftsrechts grundsätzlich einen Anspruch nach Art. 82 DSGVO begründen kann und dass der Kontrollverlust ein ersatzfähiger immaterieller Schaden ist. Die Ablehnung eines Auskunftsverlangens ohne belastbare Anhaltspunkte für ein missbräuchliches Vorgehen verschlechtert die eigene Position.

Häufige Fehler aus der Praxis

• „Die Urteile betreffen Meta, nicht uns.” Zutreffend für den Tenor, nicht für die Rechtslage. Die gemeinsame Verantwortlichkeit für Erhebung und Übermittlung folgt aus Fashion ID und besteht unabhängig davon, wen ein Betroffener zuerst in Anspruch nimmt.
• „Wir haben ein Consent-Banner.” Das Banner ist nur die Oberfläche. Maßgeblich ist, ob das Skript vor der Zustimmung lädt und ob die Ablehnung technisch durchgesetzt wird.
• „Server-Side umgeht das Consent-Problem.” Es verlagert den Übertragungsweg. Solange Cookie-Identifier in den Payload einfließen, bleibt § 25 TDDDG anwendbar, und die Rechtsgrundlage nach Art. 6 DSGVO wird ohnehin benötigt.
• „Die Agentur hat das eingerichtet, also haftet die Agentur.” Nach außen haftet der Verantwortliche. Ein Regress setzt eine vertragliche Grundlage voraus, die in vielen Agenturverträgen fehlt.
• „Wir warten den BGH ab.” Vier Berufungsurteile sind rechtskräftig. Die zugelassene Revision im Jenaer Verfahren betrifft die Ansprüche gegen Meta, nicht die Pflichten des Betreibers aus § 25 TDDDG.

// FAQ

Häufige Fragen zu Meta-Pixel und Haftung

Wurde bereits ein Websitebetreiber wegen des Meta-Pixels zu Schadensersatz verurteilt? +

In der hier besprochenen Urteilsreihe war durchgängig Meta Beklagte. Die Entscheidungen des LG Leipzig, der OLG Dresden, Jena und Hamm richten sich gegen Meta Platforms. Das schließt Ansprüche gegen Betreiber nicht aus: Art. 26 Abs. 3 und Art. 82 Abs. 4 DSGVO erlauben die Inanspruchnahme jedes gemeinsam Verantwortlichen.

Reicht ein Hinweis in der Datenschutzerklärung aus? +

Nein. Neben der Information nach Art. 13 DSGVO verlangt Art. 26 Abs. 2 DSGVO, dass das Wesentliche der Vereinbarung über die gemeinsame Verantwortlichkeit zur Verfügung gestellt wird. Und die Information ersetzt in keinem Fall die Einwilligung nach § 25 Abs. 1 TDDDG.

Wie hoch ist das Bußgeldrisiko? +

Für Verstöße gegen § 25 TDDDG sieht § 28 TDDDG einen Rahmen bis 300.000 € vor. Daneben stehen die Bußgelder nach Art. 83 DSGVO. Praktisch relevanter sind derzeit zivilrechtliche Ansprüche: Die Gerichte haben in den Meta-Verfahren zwischen 1.500 € und 5.000 € je Kläger zugesprochen.

Muss das Pixel jetzt entfernt werden? +

Nicht zwingend. Der rechtliche Angriffspunkt ist die Erhebung ohne wirksame Einwilligung, nicht das Werkzeug. Ein Setup, das vor jeder Zustimmung nachweislich nichts lädt und überträgt, adressiert den Kern der bisherigen Beanstandungen.

Was gilt für Apps und das Meta-SDK? +

Die Grundsätze gelten entsprechend. § 25 TDDDG ist technologieneutral formuliert und erfasst den Zugriff auf Informationen im Endgerät unabhängig davon, ob er über einen Browser oder eine App erfolgt. Der Einwilligungsdialog muss dieselben Anforderungen erfüllen.

Fazit

Die Urteilsreihe von Februar bis Juni 2026 hat eine Rechtsfrage geklärt, die Websitebetreiber nur mittelbar betrifft: dass Metas Verarbeitung der über Business Tools erhobenen Daten ohne wirksame Rechtsgrundlage erfolgt. Für Betreiber folgt daraus keine neue Pflicht, wohl aber ein deutlich konkreteres Risiko, weil die Tatsachenfeststellungen zur Datenerhebung nun in mehreren Berufungsurteilen dokumentiert sind und sich in Verfahren gegen Betreiber verwenden lassen.

Der Prüfaufwand ist überschaubar und liegt weitgehend im technischen Bereich: Ladezeitpunkt kontrollieren, Payload der Conversions API begrenzen, Einwilligung protokollieren, Art. 26 sauber ausweisen, Agenturvertrag um eine Haftungsregelung ergänzen.

---

Stand: 2. August 2026