Source: https://drschwenke.de/facebook-pixel-voraussetzungen-fuer-einen-rechtssicheren-einsatz/
Timestamp: 2018-03-24 00:17:16
Document Index: 125730107

Matched Legal Cases: ['§ 4', '§ 15', 'Art. 6', 'EuG', 'EuG', 'EuG', 'EuG']

Facebook-Pixel und Datenschutz - Anleitung für einen rechtssicheren Einsatz - Kanzlei Dr. Thomas Schwenke
Podcasthinweis: Jurafunk, Rechtsirrtümer und der verschwundene Glühweinbecher – Rechtsbelehrung Folge 49
5. Oktober 2017 durch Dr. Thomas Schwenke in Datenschutz
Bevor Sie das Facebook-Pixel auf Ihrer Website einsetzen, sollten Sie die folgende Anleitung lesen, um möglichen Datenschutzverstößen vorzubeugen.
Dank dem Facebook-Pixel, lassen sich Facebook-Ads zielgenau auf gewünschte Zielgruppen (sog. „Custom Audiences“) zuschneiden oder deren Konversionen messen. Kein Wunder, dass dieses (Re)Marketing-Tool sehr beliebt ist.
Umgekehrt werden mit dem Facebook-Pixel sehr viele und genaue Daten der Websitebesucher geräteübergreifend erfasst. Aus diesem Grund ist es nicht verwunderlich, dass das Facebook-Pixel den Datenschutzbehörden und anderen Datenschützern ein Dorn im Auge ist. Aus diesem Grund werden u.a. Fragebögen an Unternehmen verschickt, in denen sie zum Einsatz des Facebook-Pixels befragt werden.
1 Positive Signale aus dem Süden
2 Einwilligung beim „Erweiterten Abgleich“
3 Ohne „erweiterten Abgleich“ ist ein Opt-Out ausreichend
4 Verweis auf Facebook-Settings reicht für ein Opt-Out nicht aus
5 Wird es nach der Datenschutzreform einfacher?
6 Risikoüberlegungen
7 Checkliste zu Facebook-Pixel
8 Fazit und Praxisempfehlung für Unternehmen und Agenturen
9 Update 05.10.2017 – Bestätigende Pressemitteilung des BayLDA
Positive Signale aus dem Süden
Entgegen der bisherigen Ablehnung scheint es zumindest im Süden Deutschlands eine Erleichterung zu geben.
Da ich im Rahmen meiner Arbeit häufiger einschätzen muss, ob der Einsatz des Facebook-Pixels in Frage kommt, hole ich auch Auskünfte hierzu bei den Datenschutzbehörden ein. Daher war ich erfreut, von dem Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) zu hören, dass der Einsatz des Facebook-Pixels zumindest nicht generell abgelehnt wird.
Allerdings gibt es auch hier Vorgaben und Einschränkungen, die Sie beachten sollten.
Hinweis zu Datenschutzbehörden: An dieser Stelle möchte ich kurz anmerken, dass Aufsischtsbehörden im Datenschutz häufig zu Unrecht einen negativen Ruf haben und ich generell nur auf postive Erfahrungen in der Zusammenarbeit blicken kann. Hier muss vor allem zwischen den öffentlichen Aussagen einzelner Behörden oder deren Leitern und der praktischen Zusammenarbeit unterschieden werden.
Einwilligung beim „Erweiterten Abgleich“
Unabhängig davon, welche Version des Facebook-Pixels Sie einsetzen, Hinweise zu dessen Funktionen sind in der Datenschutzerklärung Pflicht (Auszug). Im Fall des „erweiteren Abgleichs“ müssen Sie im Einwilligungstext auf die Datenschutzerklärung verweisen.
Facebook bietet die Möglichkeit einer Anreicherung der Daten (u. a. um Telefonnummern oder E-Mailadressen) von Kunden, z.B. aus CRM-Systemen oder aus Online-Shop-Transaktionen an. Dieser so genannte „Erweiterte Abgleich“ erlaubt eine noch genauere Bildung von Zielgruppen für Werbeanzeigen (sog. „Custom Audiences“ oder „Look-Alike-Audiences„).
Wenn Sie den „Erweiterten Abgleich“ einsetzen, dann ist dies auch laut BayLDA nur mit einer wirksamen Einwilligung (Opt-In) der Nutzer zulässig (§§ 4a BDSG, 13 Abs. 2 TMG). Diese Einwilligung ist nur wirksam, wenn die Nutzer über die Funktionsweise des Facebook-Pixels und Widerspruchsmöglichkeiten (sog. Opt-Out) informiert werden.
Die Vorgaben können wie folgt umgesetzt werden:
Beim Aufruf Ihrer Website werden die Nutzer um die Einwilligung in den Einsatz des Facebook-Pixels gebeten (z.B. im Cookie Hinweis oder durch eine Einblendung auf der Website).
Erst wenn die Nutzer eingewilligt haben (z.B. per Klick auf „Einverstanden“ oder „Ok“), darf das Facebook-Pixel in die Website eingebunden werden (z.B. indem die Website neu geladen wird oder per Javascript dynamisch im Hintergrund). Zusätzlich setzen Sie beim auf dem Browser des Nutzers ein eigenes „Facebook-Pixel-Opt-In“-Cookie.
Wenn der Nutzer Ihre Website erneut besucht, prüfen Sie ob das „Facebook-Pixel-Opt-In“-Cookie gesetzt ist und falls ja, kann das Facebook-Pixel ohne eine erneute Rückfrage eingebunden werden.
Wenn der Nutzer dem Einsatz des Facebook-Pixels widersprechen möchte, klickt er in Ihrer Datenschutzerklärung auf einen „Facebook-Pixel-Opt-Out“-Link. Dadurch wird das „Facebook-Pixel-Opt-In“-Cookie gelöscht und die Bitte zur Einwilligung in dessen Einsatz (s. Nummer 1 oben) erscheint erneut.
Hinweis zu „Custom Audiences“ und „Lookalike Audiences“ from File: Eine Einwilligung ist erst Recht notwendig, wenn Sie Daten z.B. von Kunden oder von Newsletterempfängern bei Facebook für Zwecke der Bestimmung einer Werbezielgruppe hochladen. Das gilt auch, wenn diese Daten (z.B. E-Mailadressen, Telefonnumern oder Facebook-IDs) von Facebook verschlüsselt hochgeladen und abgeglichen werden. Anders als man mancherorts hört, werden die Daten dabei nicht anonymisiert. Wären sie anonymisiert, dann würde Facebook nicht wissen, an wenn die Facebook-Ads ausgeliefert werden sollen.
Ohne „erweiterten Abgleich“ ist ein Opt-Out ausreichend
Wenn Sie die Standard-Funktionen des Facebook-Pixels nutzen, also auf den „erweiterten Abgleich“ verzichten, ist eine Einwilligung nicht notwendig. Allerdings bleibt es dabei, dass Sie die Nutzer über die Funktionsweise des Facebook-Pixels rechtlich einwandfrei in der Datenschutzerklärung informieren und ihnen eine Opt-Out-Lösung anbieten müssen (§ 15 Abs. 3 TMG).
Verweis auf Facebook-Settings reicht für ein Opt-Out nicht aus
Facebooks eigene Einstellungen für Werbeanzeigen werden für nicht ausreichend gehalten, da das Facebook-Pixel auf Ihrer Website trotzdem aktiv bleibt.
Facebook bietet zwar selbst Widerspruchsmöglichkeiten für Werbung an, die über die Facebook-Settings zu erreichen sind. Allerdings reicht diese Einstellungen laut der Datenschutzbehörde nicht aus, da damit nur das Ausspielen der Werbeanzeigen abgestellt wird. Dagegen wir Facebook nicht davon abgehalten, die Daten der Nutzer über die Website zu sammeln.
Aus diesem Grund reichen auch die Verweise auf allgemeine Sammel-Opt-Out-Seiten, wie Your Online Choices oder About Ads nicht aus.
Vielmehr müssen Sie in diesem Fall eine eigene Opt-Out-Lösung erstellen. Die kann wie folgt umgesetzt werden:
Nutzer klicken auf einen „Opt-Out-Link“, wodurch mittels Javascript ein „Opt-Out“-Cookie gesetzt wird.
Beim Aufruf der Webseite wird geprüft, ob ein „Opt-Out“-Cookie gesetzt wird. Falls ja, wird das Facebook-Pixel nicht in die Website eingebunden.
Natürlich müssen Nutzer in der Datenschutzerklärung über die Funktionsweise des Opt-Outs und dessen Limitierung auf den verwendeten Browser und die Domain Ihrer Website unterrichtet werden.
Wird es nach der Datenschutzreform einfacher?
Die ab 25. Mai 2018 geltende Datenschutzgrundverodnung enthält eine Erlaubnisnorm, die vor allem den Einsatz von Marketing-Tools erleichtern wird. Art. 6 Abs. 1 lit. f DSGVO erlaubt deren Verarbeitung, wenn die berechtigten Interessen der Unternehmen (wozu auch Marketing gehört) die Interessen der Nutzer am Schutz derer Daten überwiegen.
Es ist noch nicht klar, ob das Facebook-Pixel darunter fallen wird, aber auch nicht ausgeschlossen. Zumindest ohne den „erweiterten Abgleich“, gehe ich davon aus.
Allerdings wird gerade die für 2019 geplante ePrivacy-Verordnung verhandelt, die ein Revival der in der Praxis gescheiterten Cookie-Richtlinie enthält. Wenn diese in Kraft tritt, dann wird das oben geschilderten Einwilligungsverfahren nicht nur für das Facebook-Pixel, sondern für alle Tracking und Tracking- und Remarketing-Tools Pflicht, z.B. auch für Google-Analytics.
Es ist natürlich der sicherste Weg, wenn Sie sich an die Vorgaben der Datenschutzbehörde halten. Allerdings wird das Facebook-Pixel in der Praxis häufig mit erweiterten Abgleich ohne Opt-In und nur selten mit einem Opt-Out entsprechend der Vorgaben der Datenschutzbehörden verwendet.
Der Grund ist zum einen dass die Datenschutzbehörden zumindest derzeit noch keine Bußgelder verhängen, sondern dazu auffordern, das Facebook-Pixel in der Zukunft nicht einzusetzen.
Daneben sind zwar auch Abmahnungen möglich. Aber aufgrund derzeit laufender Musterverfahren vor dem Europäischen Gerichtshof (EuGH), bei denen es um die Mitverantwortung für etwaige Datenschutzverstöße Facebooks geht, ist die Lage nach meiner Erfahrung derzeit eher entspannt (EuGH – C-210/16, EuGH – C-40/17).
Umgekehrt behält sich auch die bayerische Datenschutzbehörde aber vor, ihre Ansicht entsprechend den Entscheidungen des EuGHs zu revidieren. Ein Risiko lässt sich also nie in Gänze und zu jeder Zeit ausschließen. Halten Sie daher die Rechtlage immer im Auge.
Tipp für aktuelle rechtliche Entwicklungen: Mit meinem Newsletter zum Marketing-, Datenschutz- und Vertragsrecht halte ich Sie über rechtliche Entwicklungen im Onlinemarketing auf dem Laufenden. Ebenso freue ich mich, wenn Sie mir bei Twitter oder bei Facebook folgen.
Checkliste zu Facebook-Pixel
Zusammenfassend gelten für das Facebook-Pixel die folgenden Vorgaben:
Vorgaben ohne „Erweiterten Abgleich“
Hinweis auf die Funktionsweise in der Datenschutzerklärung.
Opt-Out-Möglichkeit (selbst erstellt).
Vorgaben mit „Erweiterten Abgleich“ oder „Custom Audiences from File“
Einholung einer Einwilligung (Opt-In).
Fazit und Praxisempfehlung für Unternehmen und Agenturen
Gegenwärtig spricht Vieles für den Einsatz des Facebook-Pixels. Dennoch empfehle ich hier eine individuelle Prüfung, ob und ab welchen Vorteilen durch den Einsatz des Facebook-Pixel zumindest wirtschaftlich in Frage kommt. Das gilt vor allem, wenn Sie die Opt-In und Opt-Out-Vorgaben nicht beachten.
Vorsichtig sollten vor allem Agenturen sein, die Kunden den Einsatz des Facebook-Pixels empfehlen. Sie sollten die Kunden zwar möglichst genau über die Vorteile und Risiken unterrichten, aber ihnen die Entscheidung überlassen und Haftung vertraglich absichern.
Generell gilt: Auch wenn Sie vielleicht keine 100%ige Rechtssicherheit erreichen (die es im Onlinemarketing selten gibt), sollten Sie sich bemühen so viele Vorgaben wie möglich zu erfüllen.
Update 05.10.2017 – Bestätigende Pressemitteilung des BayLDA
Die bayerische Datenschutzbehörde hat nun eine Pressemitteilung veröffentlicht, in der sie die in diesem Beitrag dargestellten Verfahren bestätigt. Zusätzlich weist sie noch explizit darauf hin, dass „Custom Audiences from File“ (aks. „von Kundenliste“), also das Hochladen von Kundendaten, nur mit Einwilligung der Kunden zulässig ist. Zur Pressemitteilung: „Facebook Custom Audience bei bayerischen Unternehmen.“
Hinweis in eigener Sache: Falls Sie als Unternehmen eine Risiko-Einschätzung, eine Erweiterung für die Datenschutzerklärung im Hinblick auf den Facebook-Pixel und eine Formulierung des Opt-Ins sowie Opt-Outs benötigen oder als Agentur die Haftung ausschließen möchten, unterstütze ich Sie gerne mit meiner Expertise.
Einbindung des Like-Buttons & Urheberrecht: H...
Kommt das Cookie-Verbot? – FAQ zur deutschen...
Whitepaper: „Impressumspflicht, Datenschutzerkläru...
Google Analytics – Anleitung für datenschutz...
Socialmedia Umschau für Oktober 2017
Oktober 03, 2017, 7:32 am
[…] Dr. Thomas Schwenke, via […]
Online Marketing News KW 39 | Online Marketing by digitalverliebt
Oktober 04, 2017, 11:22 am
[…] Facebook Pixel und Datenschutz: […]
November 13, 2017, 5:42 pm
[…] auszuschöpfen. Beachte dabei die Datenschutz-Regeln, die leider etwas lästig sind. Im Blog von Dr. Thomas Schwenke findest du alle Informationen […]
Datenschutz und ePrivacy 2018 - Änderung für Onlinemarketing, Tracking und Cookies - Kanzlei Dr. Thomas Schwenke
Dezember 20, 2017, 10:31 am
[…] auf das Ergebnis haben. Z.B. macht es einen Unterschied, ob ein Facebook-Pixel mit oder ohne „erweiterten Abgleich“ eingesetzt wird (d.h. ob z.B. Telefonnummern oder E-Mailadressen an Facebook übermittelt […]
Januar 17, 2018, 5:18 pm
Sehr geehrter Dr. Schwenke,
vielen Dank für den sehr aufschlussreichen Artikel.
Ist für den Einsatz des Pixels ohne erweiterten Abgleich ein Cookie Hinweis pflicht? Meine Frage ist ob der Pixel Code zusätzlich zu dem hier beschriebenen wie ein Cookie handzuhaben ist, was darüber hinaus eine Cookie Einwilligung erfordern würde? Vielen Dank im Voraus.
Januar 17, 2018, 6:11 pm
Ja, es gilt dasselbe wie beim Tracking. Zum Verständnis empfehle ich diesen Beitrag: https://drschwenke.de/datenschutz-eprivacy-online-marketing-cookies/
Der Cookie-Hinweis schadet nicht, ist m.E. aber nicht erforderlich.
17 Facebook Website Custom Audiences, die du unbedingt kennen solltest - adsventure.de
Februar 06, 2018, 8:44 am
[…] in diesem Zusammenhang lesenswerter Artikel kommt von dem geschätzten Dr. Thomas Schwenke, der auf seinem Blog ausführlich beschreibt, wie […]
Die 10 häufigsten Fehler bei Facebook-Anzeigen - und wie du sie vermeiden kannst - Claire Oberwinter
Februar 15, 2018, 12:01 pm
[…] ganz ohne und wenn du dir unsicher bist, konsultiere lieber einen guten (!) Anwalt (oder schau mal hier, das ist ein guter Artikel über das Thema). Aber rein aus Marketingsicht vergibst du jede Menge […]
Facebooks Customer Chat Plugin und Datenschutz - Anleitung für rechtssichere Einbindung des Messengers auf Webseiten - allfacebook.de
Februar 28, 2018, 10:08 am
[…] bayerische Datenschutzaufsicht ist für deren Pragmatik bekannt, überraschte dennoch mit der Pressemitteilung, in der sie die Nutzung des Facebook-Pixels (im Hinblick auf Custom Audiences) für erlaubt […]
An der Ostsee gehen wir mit den Kollegen vom Jurafunk-Podcast, beliebten Irrtümern aus dem Alltag auf die Spur.