Business-Tools von Meta: Vertragspflicht vs. DSGVO

In Zeiten der Digitalisierung ist die eigene Präsenz im Internet so bedeutend wie nie zuvor – und zugleich der Bedarf, deren Erfolg zu messen, auszuwerten und weiter zu verbessern. Zahlreiche Online-Marketing-Tools, gerade von großen Playern wie Meta und Google, sind hierfür wertvolle Werkzeuge, bringen jedoch die eine oder andere datenschutzrechtliche Herausforderung für Webseiten-Betreiber mit sich, denn: sie sind verantwortlich für das, was auf ihrer Webseite passiert – auch für die Verarbeitung personenbezogener Daten mittels eingebundener Tools, die sie nicht vollständig kontrollieren können. In dieser Serie sollen einige der Herausforderungen beleuchtet werden und welche Lösungsansätze es gibt. 

Gleich mehrere solcher Herausforderungen gehen mit der Einbindung der Meta-Business-Tools einher. Zu diesen Business-Tools gehören beispielsweise das Meta-Pixel, die Conversions API, App-Events über das Facebook-SDK, Offline-Conversions und die App Events API. Mit diesen werden Daten von Webseiten-Besuchenden vom Tool gespeichert, an Meta weitergeleitet, gemessen, ausgewertet und für die Optimierung der Systeme genutzt – sowohl durch den Nutzer der Tools als auch durch Meta selbst. 

Mit der Neufassung der Nutzungsbedingungen für die Meta-Business-Tools verpflichtet Meta alle Nutzer seit dem 3.11.2025 in Ziff. 3.d vertraglich dazu, 

„in nachprüfbarer Weise sicherstellen, dass ein*e Endnutzer*in alle erforderlichen Einwilligungen erteilt, bevor du Meta-Business-Tools nutzt, um Meta das Speichern von Cookies oder sonstigen Informationen auf dem Gerät des Endnutzers bzw. der Endnutzerin und den Zugriff auf diese zu ermöglichen.“ 

Zudem wurden die Rollen hinsichtlich der gemeinsamen und getrennten Verantwortlichkeit sowie der Auftragsverarbeitung durch Meta ausdifferenziert (Ziff. 5.a), die Pflicht, Meta über Beschwerden oder Anfechtungen bei der Verwendung von Business-Tool-Daten zu informieren (Ziff. 1.f), und diverse weitere Regelungen als Teil der Nutzungsbedingungen aufgenommen. Die Neufassung wurde einseitig und stillschweigend durch Meta eingeführt – die Nutzer wurden nicht aktiv darüber informiert. Gleichwohl gelten die Nutzungsbedingungen automatisch und ohne aktives Zutun der Kunden, wenn die Tools weiter genutzt werden. 

Womöglich war diese Neufassung eine Reaktion auf Urteile (mindestens 23 allein im deutschsprachigen Raum, Stand 23.09.2026, eigene Recherche) gegen Meta und deren Geschäftsmodell mit den Meta Business Tools. In diesen Urteilen wurde eine breite Palette von Verstößen gegen die DSGVO beanstandet, unter anderem, dass  

• Meta für die eigenen Datenverarbeitungen eine eigene Rechtsgrundlage braucht – und zwar in Form einer wirksamen, informierten Einwilligung, da Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) als Rechtsgrundlagen nicht ausreichen¹,
• Meta diese Einwilligung selbst einholen muss und nicht an Dritte (z.B. die Webseiten-Betreiber) delegieren kann², 
• Webseiten-Besucher einen Kontrollverlust bzgl. ihrer persönlichen Daten erleiden und daher Anspruch auf Schadensersatz haben – diese reichten in mindestens 21 Fällen von 250 € bis zu 10.000 €³,
• Meta gegen die Grundsätze der Transparenz, Datenminimierung und Zweckbindung aus Art. 5 DSGVO verstößt⁴,
• Meta auch Verantwortlicher und nicht Auftragsverarbeiter ist, da Meta die Business Tools selbst entwickelt, diese zur Einbindung bereitstellt und darüber mitentscheidet, welche Daten übertragen werden⁵.

Da die Urteile erst 2025 und 2026 ergangen sind, sind diese überwiegend noch nicht rechtskräftig. Ein höchstrichterliches Urteil zu den Klagen liegt noch nicht vor; der EuGH hat die zugrunde liegende Datenverarbeitung Metas aber bereits am 04.07.2023 (C-252/21, Meta Platforms/Bundeskartellamt) beurteilt, auf welche die o.g. Urteile vielfach zurückgreifen.  

Die größte Herausforderung für Webseiten-Betreiber dürfte die rechtliche Unsicherheit sein, die mit der Einbindung der Meta-Business-Tools sowie der durch Nutzungsbedingungen und Urteile bestätigten gemeinsamen Verantwortlichkeit und Haftung im Außenverhältnis einhergeht. Zwar sind Urteile oder Bußgelder gegen Webseiten-Betreiber, die Meta-Business-Tools einsetzen, bisher nicht bekannt. Doch der Blick auf die vielen Urteile gegen Meta und Metas stillschweigende Änderungen der Nutzungsbedingungen zeigt so einige Baustellen auf, die auch die Webseiten-Betreiber selbst betreffen und diese in die Pflicht nehmen. Dazu gehören insbesondere:  

• die grundsätzliche Unkenntnis über vertraglichen und rechtlichen Pflichten – nur die wenigsten dürften sich im laufenden Betrieb mit Urteilen und womöglich veränderten Nutzungsbedingungen beschäftigten, 
• die Unsicherheit über die eigenen Pflichten und Verantwortlichkeiten, die durch die Diskrepanzen zwischen vertraglichen und rechtlichen Pflichten (Nutzungsbedingungen vs. DSGVO & Rechtsprechung) aufkommt – selbst wenn man sich mit den Themen beschäftigt, 
• die Frage, ob auch die für den Webseiten-Betreiber erhobenen Einwilligungen wirksam sind, da diese aufgrund der fehlenden Transparenz durch Meta kaum ausreichend informiert sein dürften, 
• ob man als Nutzer für Meta vorsichtshalber doch eine Einwilligung einholen sollte. 

Diese Baustellen lassen sich regelmäßig auch auf andere Online-Marketing-Tools übertragen – das zeigen etwa die Urteile zu Google Fonts und Google Tag Manager, die stillschweigenden Vertragsänderungen bei Googles reCAPTCHA sowie weitere Tools, die in der Serie noch beleuchtet werden. Wie kann man also als Webseiten-Betreiber mit diesen Herausforderungen am besten umgehen? 

Bis zu einer höchstrichterlichen Klärung und ohne Mitwirken der Anbieter solcher Tools lassen sich nicht alle Baustellen beseitigen, doch zumindest durch folgende Lösungsansätze reduzieren: 

• Informieren Sie sich: Webseiten-Betreiber und Marketing sollten sich der Herausforderungen bewusstwerden und sich über die eingesetzten Tools sowie ihre vertraglichen und rechtlichen Pflichten auf dem Laufenden halten, um Risiken rechtzeitig erkennen zu können, 
• Wägen Sie Nutzen und Risiken ab: eine Abwägung über den tatsächlichen Nutzen der Tools, ihren Risiken und mögliche Maßnahmen zur Risikominimierung kann helfen, mehr Klarheit zu gewinnen, ob und wie die Tools einzusetzen sind, 
• Überprüfen Sie die Konfigurationen: es sollte mittels technischer Einstellungen sichergestellt werden, dass tatsächlich nur bei einer Einwilligung (sog. „Consent-Gating“) und nur die erforderlichen Daten („Datenminimierung“) an die Tool-Anbieter weitergeleitet werden, 
• Prüfen Sie Ihre Datenschutzerklärung: die Rollen, Datenverarbeitungen und Rechtsgrundlagen sollten so beschrieben werden, wie sie tatsächlich sind, und nicht wie der Anbieter diese behauptet, 
• Richten Sie einen Meldeprozess für Meta ein: um im Beschwerdefall nicht gegen vertragliche (und ggf. rechtliche) Pflichten gegenüber Meta zu verstoßen, sollte geklärt werden, wer Meta mit welcher Frist und in welcher Form über Beschwerden etc. informiert, 
• Dokumentieren Sie die Nutzung: sowohl die aktuell gültigen Nutzungsbedingungen (einschließlich der darin einbezogenen Nebenbedingungen) als auch die Risikoabwägung und die Datenverarbeitung inklusive ergriffenen Maßnahmen sollten gut dokumentiert werden (z.B. im Verarbeitungsverzeichnis), um im Beschwerdefall schnell und in Kenntnis des Sachverhalts zu reagieren. 

Der Fall Meta-Business-Tools zeigt: Datenschutzrechtliche Herausforderungen lassen sich selten in einem Schritt beseitigen – denn die fürs Marketing sehr wertvollen Tools einfach nicht mehr zu nutzen, ist für viele Webseiten-Betreiber schlicht keine Lösung. Aber diese Herausforderungen zu ermitteln, zu verkleinern und im Blick zu behalten, sind wichtige Schritte, um den Datenschutzes auch beim Einsatz dieser Tools einzuhalten. Weitere Herausforderungen und Lösungsansätze stellen wir im Laufe der Serie vor. Bei Fragen zur konkreten Umsetzung unterstützen wir Sie gerne. 

Autorin: Esther Sheldrick Weiß

¹ LG Stuttgart, 05.02.2025 (27 O 190/23) | OLG Brandenburg, 05.08.2026 (4 U 24/26) | LG Mainz, 27.06.2025 (3 O 29/24) | OLG Naumburg, 05.02.2026 (9 U 124/24) | OLG Dresden, 03.02.2026 (4 U 292/25) | OLG München, 18.12.2025 (14 U 1068/25e) | LG Ellwangen, 30.05.2025 (2 O 266/24)

² OLG Dresden, 03.02.2026 (4 U 292/25) | OLG München, 18.12.2025 (14 U 1068/25e) | LG Lübeck, 27.11.2025 (15 O 15/24) | LG Mainz, 27.06.2025 (3 O 29/24) | LG Ellwangen, 30.05.2025 (2 O 266/24)

³ u.a. LG Mainz, 27.06.2025 (3 O 29/24) | LG Ellwangen, 30.05.2025 (2 O 266/24)) – in nur zwei Urteilen in 2025 wurde der Anspruch auf Schadensersatz abgewiesen

⁴ OLG Brandenburg, 05.08.2026 (4 U 24/26) | OLG Hamm, 09.03.2026 (8 U 13/25 und 8 U 21/25) | OLG Jena, 02.03.2026 (3 U 31/25) | OLG Naumburg, 05.02.2026 (9 U 124/24) | OLG Dresden, 03.02.2026 (4 U 292/25) | LG Ellwangen, 30.05.2025 (2 O 266/24)

⁵ OLG Dresden, 03.02.2026 (4 U 292/25) | OLG Jena, 02.03.2026 (3 U 31/25) | OLG Hamm, 09.03.2026 (8 U 13/25 und 8 U 21/25) | OLG Brandenburg, 05.08.2026 (4 U 24/26) | LG Mainz, 27.06.2025 (3 O 29/24)