Gemeinsame Verantwortlichkeit bei Tracking-Pixeln (Meta, Google Ads)
Gemeinsame Verantwortlichkeit (Art. 26 DSGVO) liegt vor, wenn mehrere Parteien gemeinsam über Zwecke und Mittel einer Datenverarbeitung entscheiden – etwa wenn ein Website-Betreiber ein Meta-Pixel oder ein Google-Ads-Remarketing-Tag einbindet und der Anbieter die erhobenen Daten auch für eigene Zwecke weiterverarbeitet. Der EuGH stellte dieses Prinzip bereits 2019 im Fashion-ID-Urteil (C-40/17) zum Facebook-Like-Button klar. Die französische Datenschutzbehörde CNIL verhängte am 15. Juni 2023 gegen den Ad-Tech-Anbieter Criteo eine Geldbuße von 40 Millionen Euro (SAN-2023-009) und beanstandete dabei unter anderem, dass die Vereinbarungen mit den Partnern die Rollenverteilung nach Art. 26 DSGVO nicht ausreichend regelten. Der französische Conseil d'État bestätigte diese Sanktion am 4. März 2026 (Nr. 482872) und stellte klar, dass auch pseudonyme Werbekennungen personenbezogene Daten sind. In dieser Drei-Parteien-Konstellation (Werbetreibender – Website-Betreiber – Tracking-Anbieter) kann jede Partei gegenüber betroffenen Nutzer:innen unmittelbar haften, unabhängig davon, wer die Einwilligung technisch eingeholt hat.
In der Praxis
Wer Meta-Pixel, Google-Ads-Remarketing-Tags oder vergleichbare Retargeting-Skripte einbindet, sollte nicht davon ausgehen, dass allein der Plattformanbieter für DSGVO-Konformität haftet. Das OLG Dresden hat Meta am 3. Februar 2026 in vier rechtskräftigen Urteilen (u. a. 4 U 196/25) zu je 1.500 Euro immateriellem Schadensersatz nach Art. 82 DSGVO wegen der Datenverarbeitung über die Meta Business Tools verurteilt. Gegen Website-Betreiber ist eine solche Verurteilung bislang nicht ergangen; in der Fachdiskussion wird eine Mithaftung aus der gemeinsamen Verantwortlichkeit und der gesamtschuldnerischen Haftung nach Art. 82 Abs. 4 DSGVO aber für möglich gehalten. Konkret notwendig: eine Joint-Controller-Vereinbarung nach Art. 26 DSGVO mit dem jeweiligen Anbieter prüfen bzw. abschließen und deren Kerninhalte in der eigenen Datenschutzerklärung nennen (inkl. Name des gemeinsam Verantwortlichen, z. B. "Meta Platforms Ireland Limited"). Das Pixel darf technisch erst nach granularer, aktiver Einwilligung über die CMP laden – am besten über Google Consent Mode oder ein gleichwertiges Consent-Gate im Tag-Manager. Agenturen, die Tracking-Setups implementieren, sollten dies dokumentieren (Vorher-/Nachher-Prüfung im Inkognito-Modus) und Kundenverträge um Haftungsregelungen für fehlerhafte Umsetzung ergänzen, da Website-Betreiber im Schadensfall Regress nehmen können.