Tracking-Pixel-Audit: DSGVO- & ePrivacy-Compliance für KMU

Auf den meisten KMU-Sites ist nicht das Cookie-Banner das größte Risiko, sondern die Tracking-Pixel dahinter. Pixel feuern standardmäßig beim Page-Load. In EU/UK ist das bei jedem Besuch ein Verstoß.

Dieser Beitrag zeigt, was ein Tracking-Pixel-Audit prüft, das Verhalten Plattform für Plattform und die zwei Installations-Patterns, die Pixel funktionsfähig halten ohne das Recht zu brechen.

Was ein Pixel tatsächlich tut

1. Browser sendet HTTP-Request an die Plattform (z.B. connect.facebook.net).
2. Request enthält URL, Referrer, IP, User Agent, Bildschirmgröße und alle vom Site-Code angehängten Custom-Parameter.
3. Es werden Cookies gesetzt. Die wichtigsten davon sind First-Party-Cookies auf Ihrer Domain (_fbp, _fbc), geschrieben vom JavaScript des Pixels selbst, weshalb sie das Blockieren von Drittanbieter-Cookies in Safari und Firefox überleben. Bei Login auf Facebook/TikTok/LinkedIn wird der Besuch ohnehin der Identität zugeordnet.
4. Pixel lädt sein JS und kann weitere Events feuern (PageView, ViewContent, AddToCart, Lead, Purchase).

Für EU/UK-Besucher ist alles ab Schritt 1 personenbezogene Datenverarbeitung. Einzig zulässige Rechtsgrundlage: Einwilligung, vor Auslösen des Pixels.

Plattform für Plattform

Meta Pixel

Standard-Snippet lädt fbevents.js sofort und feuert PageView. Häufigster Verstoß auf KMU-Sites in der EU.

TikTok Pixel

Feuert ebenfalls beim Page-Load. Veracly beobachtet den Zustand vor der Einwilligung: ob analytics.tiktok.com einen Pixel-Hit erhält, bevor eingewilligt wurde. Ob Ihre CMP anschließend ttq.consent('granted') korrekt aufruft, ist eine manuelle Prüfung. Wir klicken Ihr Banner nicht an und sehen den Aufruf nach der Zustimmung deshalb nie.

LinkedIn Insight Tag

Feuert auf jeder Seite und setzt First- und Third-Party-Cookies. Auf B2B-Sites besonders häufig ungeschützt.

Google Ads Conversion Tracking

Eng mit Consent Mode v2 integriert. Veracly erfasst, ob vor der Einwilligung ein Request an googleadservices.com oder doubleclick.net hinausgeht. Der Consent-State innerhalb von gtag wird nicht ausgelesen, Request-Inhalte werden gar nicht inspiziert: Der Befund betrifft den Request selbst, nicht seinen Inhalt.

Warum Pixel das größte Risiko sind

Pre-Consent-Firing ist der Verstoß, den eine Aufsichtsbehörde ohne jeden Aufwand nachweisen kann: Seite öffnen, Netzwerk-Tab öffnen, Request geht raus, bevor das Banner berührt wurde. Das am besten dokumentierte europäische Beispiel ist schwedisch: Die IMY verhängte 2024 rund 3,2 Mio. € gegen Apoteket wegen Meta-Pixel-Datenweitergabe.

Frühere Fassungen dieses Beitrags nannten hier eine CNIL-Schwerpunktsetzung 2024 zu Pixeln und eine Reihe italienischer Sanktionen von 5.000 bis 50.000 € gegen kleine E-Commerce-Sites. Beides hielt der Quellenprüfung nicht stand und wurde ersatzlos gestrichen. Die belastbare Fassung ist enger und trotzdem unbequem: Der technische Verstoß ist trivial nachweisbar, er liegt auf einem großen Teil der KMU-Sites vor, und Kleinheit nimmt eine Site nicht aus dem Anwendungsbereich.

Die zwei funktionierenden Patterns

Pattern 1: CMP-gegateter Skript-Load

Sauberer Ansatz. CMP feuert ein Event bei Einwilligung in eine Kategorie; Sie laden das Pixel-Skript nur dann.

Pattern 2: Consent-Mode-Integration

Bei Google, Meta, TikTok unterstützt: Skript lädt, verhält sich aber bis zur Einwilligung anonym. Pragmatisch, manche Aufsichten haben Bedenken zu „modellierten" Signalen.

Veracly gleicht ausgehende Requests mit einem handkuratierten Register von 69 Trackern ab, und zwar anhand ihrer Firing-Endpunkte statt ihrer Loader-Skripte, damit ein von Consent Mode korrekt zurückgehaltener Tag nicht fälschlich als ausgelöst gemeldet wird. Pro Treffer erhalten Sie die Request-URL, den Zeitpunkt relativ zum Banner, die beobachteten Cookies und Storage-Keys sowie einen Copy-Paste-Fix für CMP/GTM.

Drei Grenzen vorweg: Das Register wird zwischen Releases manuell gepflegt, ein noch nicht erfasster Tracker wird also nicht erkannt. Alles, was den Browser nie erreicht, ist für einen Browser-Scan unsichtbar (Meta Conversions API, serverseitiger GTM-Container, Tagging-Endpunkt auf eigener Domain). Und geplante Re-Scans laufen im Starter-Tarif monatlich; wöchentlich und täglich gibt es erst in den höheren Tarifen. Scan starten.