Social Media einbinden: Datenschutzfallen vermeiden

Sie befinden sich: Home > News Archiv > Webmaster > Social Media einbind...

Ein Teilen-Button, ein Instagram-Feed, ein Pixel für die nächste Kampagne: Oft fließen schon beim Laden der Seite Daten an Meta und Co. Wie Sie Social Media einbinden, ohne für fremdes Tracking mitzuhaften.

Seit 2025 verliert Meta vor deutschen Gerichten einen Prozess nach dem anderen. Es geht um die sogenannten Business Tools, also Pixel, Conversions API und Software-Kits, die auf fremden Websites Besucherdaten einsammeln. Verurteilt wurde bisher fast immer Meta. Die Begründung trifft aber die Betreiber: Rechtswidrig war die Datenerhebung, weil auf den Websites niemand vorher eingewilligt hatte. Wer heute Social Media einbinden will, ob als Teilen-Button, Instagram-Feed oder Werbe-Pixel, sollte deshalb wissen, was beim Seitenaufruf tatsächlich passiert. Für die meisten Websites gibt es einen Weg ganz ohne Einwilligung, und er ist meist auch der einfachste.

Social Media einbinden: welche Daten beim Seitenaufruf zu sozialen Netzwerken fließen

Lädt Ihre Seite ein Skript, einen iFrame oder auch nur ein Bild von einem Plattform-Server, baut der Browser des Besuchers eine direkte Verbindung dorthin auf. Typische Adressen sind connect.facebook.net, snap.licdn.com, analytics.tiktok.com oder s.pinimg.com. Ein Klick ist dafür nicht nötig, ein Konto bei der Plattform auch nicht.

Mitgeschickt werden IP-Adresse, Browser, Betriebssystem, die aufgerufene Seite samt Referrer und ein Zeitstempel. Ist der Besucher bei Facebook oder Instagram eingeloggt, liest die Plattform ihre eigenen Cookies aus und ordnet den Besuch direkt einem Profil zu. Pixel melden außerdem Ereignisse wie Warenkorb oder Kauf, auf Wunsch mit Warenkorbwert und Produktnummern. Das Landgericht Leipzig hielt im Juli 2025 fest, dass jeder Nutzer für Meta individuell identifizierbar ist, sobald er Seiten mit Business Tools besucht, auch ohne Login.

Rechtlich greift § 25 TDDDG. Wer auf dem Endgerät etwas speichert oder ausliest, braucht eine Einwilligung, es sei denn, es ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Werbe-Tracking ist das nie. Die europäischen Datenschutzbehörden zählen in ihren Leitlinien 2/2023 ausdrücklich auch Tracking-Pixel und reines IP-basiertes Tracking dazu. Den Wortlaut von § 25 TDDDG finden Sie in der amtlichen Gesetzessammlung.

Buttons zum Teilen: Sharing ohne Datenabfluss

Am offiziellen Like-Button von Facebook hat der Europäische Gerichtshof 2019 die Spielregeln festgelegt. Im Urteil „Fashion ID“ (C-40/17) entschied er: Wer den Button einbindet, ist für das Erheben und Übermitteln der Daten gemeinsam mit Facebook verantwortlich und muss dafür die Einwilligung einholen. Dasselbe gilt für die offiziellen Buttons von X, LinkedIn und Pinterest und für WhatsApp-Widgets.

Wer Social Media einbinden möchte, nur damit Leser einen Artikel teilen können, braucht aber gar kein Plattform-Skript. Ein normaler Link mit einem lokal gespeicherten Icon genügt. Erst der Klick öffnet die Plattform, vorher fließt nichts. Sie ersetzen nur URL und TEXT durch die URL-kodierten Werte Ihrer Seite:

Netzwerk	Teilen-Link
Facebook	https://www.facebook.com/sharer/sharer.php?u=URL
X	https://x.com/intent/post?url=URL&text=TEXT
LinkedIn	https://www.linkedin.com/sharing/share-offsite/?url=URL
WhatsApp	https://wa.me/?text=TEXT%20URL
Bluesky	https://bsky.app/intent/compose?text=TEXT%20URL

Die Plattformen ändern ihre Parameter gelegentlich, testen Sie die Links also einmal selbst. Auf dem Smartphone geht es noch eleganter: Die Web Share API (navigator.share) öffnet das Teilen-Menü des Betriebssystems, das alle installierten Apps kennt. Am Desktop fehlt sie vor allem in Firefox, binden Sie sie deshalb per Feature-Erkennung ein und zeigen Sie sonst die Link-Leiste.

Profil-Icons: mehr Follower ohne Tracking

Für Ihre eigenen Profile gilt dasselbe. Wer mehr Follower für die Kanäle von Firma oder Verein gewinnen will, kann im Footer Icons hinzufügen, die auf Facebook oder Instagram verlinken. Solange die Grafiken auf Ihrem Server liegen, brauchen diese Links keinen Eintrag im Consent-Tool.

Shariff: die bewährte Lösung für WordPress

Wer viele Netzwerke anbieten will, landet bei Shariff. Das Projekt stammt von c't und heise und rendert die Buttons als normale HTML-Links. Die Teilen-Zähler ermittelt auf Wunsch ein Backend auf Ihrem eigenen Server. Gepflegt wird vor allem das WordPress-Plugin Shariff Wrapper: Version 4.6.22 erschien im Mai 2026, mehr als 30.000 Websites setzen es ein, rund 30 Dienste sind an Bord, seit Version 4.6.15 auch Bluesky und Mastodon.

Zwei Haken gibt es. Die Zähler funktionieren bei vielen Netzwerken nicht mehr. Und das Plugin hatte Sicherheitslücken, zuletzt die XSS-Lücke CVE-2026-4334, behoben in Version 4.6.21. Automatische Updates gehören hier zur Grundausstattung, mehr dazu im Ratgeber WordPress absichern. Finger weg vom Fork „Shariff-Plus“: Er zeigt wieder einen echten Like-Button, lädt Facebook-Ressourcen nach und verliert damit genau den Vorteil, für den man Shariff nimmt. Auch AddToAny lädt ein externes Skript, bei Social Warfare rufen Zähler und Pinterest-Funktionen Plattform-Schnittstellen auf.

Social-Media-Feeds einbetten: Posts und Hashtags auf die eigene Website holen

Wenn Sie Social Media einbinden, um Beiträge direkt auf der Seite anzuzeigen, wird es kniffliger. Ein offizielles Embed von Instagram, Facebook oder X lädt Skripte und Cookies der Plattform, das geht nur mit Einwilligung. In der Praxis heißt das: Zwei-Klick-Lösung. Statt des Posts steht ein Platzhalter mit lokalem Vorschaubild auf der Seite, erst der Klick lädt den echten Inhalt und ist zugleich die Einwilligung. Genauso funktioniert es, wenn Sie YouTube-Videos datenschutzkonform einbinden.

Für Instagram-Feeds werben viele Plugins mit „DSGVO-konform“ und einem anderen Weg. Ihr Server ruft die Beiträge über die offizielle Schnittstelle ab und speichert die Bilder lokal, der Browser des Besuchers spricht nur noch mit Ihrem Server. Smash Balloon nennt das „GDPR-Modus“ und verspricht, bis zur Einwilligung keine Drittanfragen auszulösen. Das ist eine Herstellerangabe, und das eigene Changelog nennt eine Ausnahme: Scheitert die Bildverkleinerung, schaltet sich die Einstellung ab, sofern sie nicht manuell gesetzt wurde.

Einwilligungsfrei ist so ein Feed deshalb nur, wenn der Netzwerk-Tab vor der Einwilligung keine einzige Anfrage an cdninstagram.com, fbcdn.net oder instagram.com zeigt. Avatare, Videos und Lightboxen sind die üblichen Lecks. Technisch hat sich ebenfalls einiges verschoben: Seit Meta am 4. Dezember 2024 die Instagram Basic Display API abgeschaltet hat, funktionieren Feeds nur noch mit Business- oder Creator-Konten. Für Feeds zu Hashtags braucht es zusätzlich eine verknüpfte Facebook-Seite. Wer seitdem einen leeren Feed hat, muss das Konto umstellen und im Plugin neu verbinden. Die Schnittstelle von X kostet seit 2023 Geld, viele kostenlose Feed-Plugins laufen deshalb nicht mehr.

Ein Wort zum Urheberrecht: Fremde Posts über die offizielle Einbettungsfunktion zu zeigen, ist nach der Rechtsprechung zum Framing grundsätzlich zulässig. Screenshots fremder Posts sind dagegen Vervielfältigungen und nur im Rahmen des Zitatrechts (§ 51 UrhG) erlaubt.

Werbe-Pixel: Meta, LinkedIn, TikTok und Pinterest

Sobald Sie Social Media einbinden, um Werbung zu messen, gibt es keinen Spielraum mehr. Meta-Pixel, LinkedIn Insight Tag, TikTok Pixel und Pinterest Tag dürfen erst laden, wenn der Besucher vorher aktiv eingewilligt hat. Das gilt auch, wenn das Pixel nur Seitenaufrufe zählt. Auf ein berechtigtes Interesse können Sie sich nicht stützen. Der EuGH hat es Meta für personalisierte Werbung mit Daten von außerhalb der Plattform schon 2023 verwehrt (C-252/21), und die deutschen Aufsichtsbehörden halten eine Interessenabwägung bei § 25 TDDDG für schon im Ansatz ausgeschlossen.

Dazu kommt die gemeinsame Verantwortlichkeit. Meta schreibt sie selbst in die Bedingungen der Business Tools: Betreiber und Meta Platforms Ireland sind für das Erheben und Übermitteln der Daten gemeinsam Verantwortliche nach Art. 26 DSGVO. Pinterest regelt das seit Februar 2023 über ein eigenes Addendum, TikTok spricht ebenfalls von gemeinsamer Verantwortlichkeit, LinkedIn ordnet sein Insight Tag vertraglich anders ein. Für Sie folgt daraus eine Informationspflicht: In die Datenschutzerklärung gehören je Dienst Anbieter, Zweck, Daten, Rechtsgrundlage, der wesentliche Inhalt der Vereinbarung und der Drittlandtransfer. Was dort sonst noch stehen muss, erklärt unser Ratgeber zur rechtssicheren Website.

Die Urteile gegen Meta und das Risiko für Betreiber

Die Rechtsprechung hat sich binnen eines Jahres deutlich verdichtet. Das Landgericht Leipzig sprach einem Nutzer im Juli 2025 5.000 Euro Schadensersatz zu. Das Oberlandesgericht Dresden verurteilte Meta im Februar 2026 in vier Verfahren zu je 1.500 Euro, rechtskräftig. Es folgten das OLG Naumburg mit 1.200 und 1.250 Euro und das OLG Jena mit 3.000 Euro, das OLG München hatte schon im Dezember 2025 bis zu 750 Euro zugesprochen. Ganz einheitlich ist das Bild nicht, das Landgericht Darmstadt wies eine Klage wegen Rechtsmissbrauchs ab. Mit einer Klärung durch den Bundesgerichtshof wird für Ende 2026 oder 2027 gerechnet.

Geklagt wird bisher fast nur gegen Meta. Für Website-Betreiber entsteht das Risiko trotzdem auf drei Wegen. Erstens begründen die Gerichte die Rechtswidrigkeit gerade mit der fehlenden Einwilligung auf den Drittseiten. Zweitens können Betroffene bei gemeinsamer Verantwortlichkeit jeden der beiden Verantwortlichen in Anspruch nehmen (Art. 26 Abs. 3 und Art. 82 Abs. 4 DSGVO). Drittens hat das OLG Frankfurt im Dezember 2025 entschieden, dass ein Cookie-Drittanbieter selbst nach § 25 TDDDG haftet, auch wenn er die Einwilligung vertraglich auf den Betreiber abgewälzt hat. Die Haftung des Betreibers bleibt daneben bestehen. Der Fall liegt inzwischen beim Bundesgerichtshof (I ZR 5/26), die Verhandlung war für den 8. Oktober 2026 angesetzt.

Conversions API: serverseitig heißt nicht einwilligungsfrei

Agenturen verkaufen Server-Side-Tracking gern als Mittel gegen den „Datenverlust durch Cookie-Banner“. Bei der Meta Conversions API schickt Ihr Shop Ereignisse wie einen Kauf direkt an Meta, beim serverseitigen Google Tag Manager läuft alles über einen eigenen Tagging-Server, der Felder entfernen und IP-Adressen kürzen kann. Diese Kontrolle ist ein echter Vorteil. Ein rechtlicher Freibrief ist sie nicht.

Behauptung	Was stimmt
Kein Browser-Skript, also kein § 25 TDDDG	Falsch, sobald Kennungen wie _fbp, _fbc oder gclid im Browser gesetzt oder ausgelesen werden. Das ist in fast allen Setups der Fall.
Server zu Server ist keine Weitergabe	Falsch. IP, Klick-ID und gehashte E-Mail gehen für deren eigene Werbezwecke an die Plattform.
Gehashte E-Mail-Adressen sind anonym	Falsch. Ein SHA-256-Hash ist pseudonym, die Plattform gleicht ihn mit eigenen Hashes ab.
Die Urteile betreffen nur das Pixel	Falsch. Die Gerichte behandeln Pixel, Conversions API und SDK als Ganzes.

Auch der Landesdatenschutzbeauftragte Baden-Württemberg stellt in seinen FAQ klar, dass serverseitiges Tracking die Anforderungen von TDDDG und DSGVO erfüllen muss. Der Server darf Ereignisse also nur weiterleiten, wenn eine geprüfte Einwilligung vorliegt.

Gesundheitsseiten: hier gehört kein Pixel hin

Bei Praxen, Kliniken, Apotheken und Beratungsstellen kann schon die besuchte Adresse ein Gesundheitsdatum sein, etwa /behandlungen/depression oder /shop/schwangerschaftstest. Geht sie mit der IP-Adresse an Meta, ist das eine Verarbeitung nach Art. 9 DSGVO, für die es eine ausdrückliche Einwilligung bräuchte. Dazu kommen Schweigepflicht und Berufsrecht. Wie teuer das werden kann, zeigt Schweden: Die Datenschutzbehörde IMY verhängte 2024 gegen die Apotheke Apoteket 37 Millionen Kronen Bußgeld, gegen Apohem 8 Millionen. Eine neu aktivierte Zusatzfunktion des Meta-Pixels hatte sensible Kaufdaten übertragen. Auf Gesundheitsseiten gilt deshalb: keine Pixel, keine Conversions API und keine Social-Embeds auf Behandlungs- oder Buchungsseiten.

Social Login: bequem, aber selten nötig

„Mit Google anmelden“ spart Ihren Kunden ein Passwort. Der Preis: Der Anbieter erfährt, wann sich wer bei Ihnen anmeldet, und sperrt er ein Konto, ist auch der Zugang zu Ihrem Shop weg. Wählt der Nutzer den Login aktiv, trägt meist Art. 6 Abs. 1 lit. b DSGVO. Problematisch wird es, wenn ein offizielles SDK schon beim Seitenaufruf lädt. Ein statischer Button, der erst beim Klick weiterleitet, löst das. Für kleine Shops reichen Gastbestellung und E-Mail-Login meistens, und wer Passwörter ganz loswerden will, schaut sich Passkeys an.

Braucht Ihre Website überhaupt ein Pixel?

Viele Betreiber, die Social Media einbinden wollen, denken zuerst ans Pixel. Bei den meisten kleinen Websites lautet die ehrliche Antwort trotzdem: nein. Ein Pixel bringt erst etwas, wenn regelmäßig Kampagnen mit Conversion-Ziel laufen und die Algorithmen genug Conversions zum Lernen bekommen. Viele Vereins- und Firmenseiten erreichen diese Menge nie. Und wer nur wissen will, wie viel Traffic von Instagram kommt, braucht dafür kein Pixel.

Dazu kommt, dass ein rechtskonformes Banner einen großen Teil der Besucher aus der Messung nimmt. Eine Auswertung von 500 deutschen Websites aus dem Jahr 2025 kam bei gleichwertigem Ablehnen-Button auf durchschnittlich 40 Prozent Zustimmung. Das Pixel sieht also ungefähr die Hälfte der Besucher oder weniger.

Situation	Empfehlung
Nur organische Posts, keine bezahlte Werbung	Kein Pixel
Gelegentliche Aktion, etwa ein Vereinsfest	Kein Pixel, dafür UTM-Links und Aktionscode
Regelmäßiges Werbebudget mit Conversion-Ziel	Pixel kann sinnvoll sein, nur mit sauberem Consent
Gesundheit, Beratung, Soziales	Kein Pixel, unabhängig vom Budget

Messen lässt sich auch ohne Pixel einiges. UTM-Parameter an den Links in Anzeigen, Bio und Posts (etwa ?utm_source=instagram) landen in einer Webanalyse, die ohne Einwilligung auskommt. Gutscheincodes je Kanal wie INSTA10 zeigen in WooCommerce, woher eine Bestellung kam. Und die schlichte Formularfrage „Wie sind Sie auf uns aufmerksam geworden?“ liefert oft die ehrlichste Antwort von allen.

Social Media einbinden mit WordPress: Consent-Tools und Tag-Manager-Fallen

Bleiben Dienste übrig, die eine Einwilligung brauchen, muss ein Consent-Tool sie wirklich blockieren und nicht nur am Feuern hindern. Wer unter WordPress Social Media einbinden will, greift meist zu Real Cookie Banner, Borlabs Cookie oder Complianz. Alle drei bringen Content Blocker und Vorlagen für die gängigen Netzwerke mit, Real Cookie Banner und Complianz auch als kostenlose Basisversion. Wie das Banner selbst gestaltet sein muss und was beim Cookie-Banner jetzt Pflicht ist, steht in einem eigenen Ratgeber.

Die meisten Pannen passieren allerdings im Google Tag Manager:

• Tags hängen am Trigger „All Pages“ ohne Consent-Bedingung. Abhilfe schaffen Consent-Trigger und der Consent Mode mit dem Standardwert denied.
• Das Pixel ist doppelt eingebunden, per WooCommerce-Plugin und per Tag Manager. Einer der beiden Wege bleibt dann ungeblockt.
• Pixel-Code in „Custom HTML“-Tags erkennt das Consent-Tool nicht automatisch.
• Der Consent Mode „Advanced“ sendet auch bei Ablehnung cookielose Pings. Ob das zulässig ist, ist umstritten, vorsichtiger ist „Basic“.

Social Media einbinden in acht Schritten

Wer Social Media einbinden oder eine bestehende Seite aufräumen will, kommt mit dieser Reihenfolge am schnellsten durch:

1. Bestand prüfen. Privates Fenster öffnen, in den Entwicklertools (F12) den Netzwerk-Tab mit „Preserve log“ starten und die Seite laden, ohne das Banner anzuklicken. Nach facebook, fbcdn, licdn, tiktok, pinimg und googletagmanager filtern. Startseite, Produktseite, Checkout und Danke-Seite testen, denn Pixel stecken oft genau auf den Bestätigungsseiten.
2. Inventur machen. Plugins, Theme-Code, functions.php, Tag-Manager-Container und Shop-Erweiterungen wie „Facebook for WooCommerce“ auflisten.
3. Bedarf klären. Laufen bezahlte Kampagnen, und auf welchen Plattformen?
4. Datensparsam ersetzen. Buttons durch Shariff oder Links, Feeds auf lokalen Cache oder Zwei-Klick umstellen, überflüssige Pixel entfernen.
5. Den Rest hinter das Consent-Tool. Jeden Dienst einzeln anlegen, Skripte erst nach dem Opt-in laden, Widerruf über einen Link im Footer ermöglichen.
6. Serverseitiges koppeln. Conversions API und Server-Container senden nur bei positivem Consent.
7. Dokumentieren. Datenschutzerklärung aktualisieren, Anbieterbedingungen mit Datum archivieren, Auftragsverarbeitungsverträge mit Agentur und Server-Hoster schließen.
8. Testen und wiederholen. Vor der Einwilligung null Plattform-Anfragen, nach dem Widerruf ist Schluss. Nach jedem Plugin- oder Theme-Update erneut prüfen, mindestens halbjährlich.

Was 2026 noch offen ist

Der Datentransfer in die USA ist vorerst über das EU-US Data Privacy Framework gedeckt. Das Gericht der EU hat es im September 2025 bestätigt, das Rechtsmittel beim EuGH läuft noch. Der „Digital Omnibus“ der EU-Kommission will die Cookie-Regel in die DSGVO verschieben, verabschiedet ist er nicht. Selbst wenn er kommt, bliebe die Einwilligung für Werbe-Tracking Pflicht. Wer heute Social Media einbinden will, sollte also nicht auf eine Lockerung warten und die Website so planen, dass sie auch ohne Pixel funktioniert.

Häufige Fragen

Darf ich Social Media einbinden, ohne ein Cookie-Banner zu nutzen?

Ja, solange beim Seitenaufruf nichts von den Plattformen lädt. Profil-Icons als Links, Shariff und ein Feed mit lokal gespeicherten Bildern kommen ohne Einwilligung aus. Sobald ein offizielles Embed, ein Like-Button oder ein Pixel dazukommt, brauchen Sie das Banner.

Kann ich als Arztpraxis Social Media einbinden?

Links zu Ihren Profilen und Teilen-Buttons über Shariff sind unproblematisch. Pixel und Social-Embeds haben auf Behandlungs- und Buchungsseiten dagegen nichts verloren, weil schon die aufgerufene Adresse ein Gesundheitsdatum sein kann.

Was ist mit meiner Facebook-Fanpage?

Das ist eine andere Baustelle. Die Datenschutzkonferenz hielt 2022 einen datenschutzkonformen Fanpage-Betrieb für derzeit nicht möglich, das Verwaltungsgericht Köln hob dagegen im Juli 2025 die Untersagung gegen das Bundespresseamt auf. Für ein Pixel auf Ihrer eigenen Website hilft das Urteil nicht, dort entscheiden Sie selbst, welches Skript läuft.

Wo Sie anfangen sollten

Die meisten Verstöße entstehen nicht aus Absicht. Ein Shop-Plugin bringt das Pixel gleich mit, eine Agentur hat es vor Jahren in den Tag Manager gelegt, oder der Feed hat nach einem Update still seine Einstellung verloren. Der wichtigste Schritt ist deshalb der Blick in den Netzwerk-Tab, nicht die Datenschutzerklärung. Wer Social Media einbinden will, ohne sich ein Haftungsrisiko einzuhandeln, beginnt mit dem, was gar keine Einwilligung braucht: Links, Shariff und lokal gespeicherte Feeds. Ein sauber eingebundenes Pixel lohnt den Aufwand erst, wenn regelmäßig Geld in Anzeigen fließt. Dieser Text ersetzt im Zweifel keine anwaltliche Prüfung des Einzelfalls.

Datenschutz DSGVO WordPress

Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.

Neusten News in der Kategorie "Webmaster"

• Google Search Console einrichten: Komplettanleitung Zwanzig Minuten, eine wichtige Entscheidung: Wer die Search Console ei...

• Website Monitoring einrichten: kostenlose Frühwarnung Fällt die Website am Freitagabend aus, merkt es oft erst ein Kunde am ...

• Interne Verlinkung optimieren: SEO ohne neue Backlinks Backlinks kaufen Sie mühsam ein, die interne Verlinkung gehört Ihnen a...

• YouTube datenschutzkonform einbinden statt einbetten Ein YouTube-Video ist in zwei Klicks eingebettet. Rechtlich sauber ist...

• KI-Chatbot einbinden: Chatbot mit KI, Recht und Kosten Ein Chatbot ist schnell eingebaut, die Pflichten dahinter nicht. Wer 2...

• Google Unternehmensprofil 2026: lokal besser gefunden Google nennt für lokale Treffer offiziell nur drei Faktoren. Alles, wa...

• Barrierefreie Website 2026: WCAG 2.2 richtig umsetzen Fast jede Website hat Barrieren, und die meisten davon gehen auf nur s...

• WordPress gehackt 2026: Website retten und bereinigen Weiterleitungen auf Spam-Seiten, fremde Admin-Konten, Warnungen von Go...

• Strukturierte Daten 2026: mit Schema zu Rich Snippets Sterne, Preise und Bilder direkt im Google-Ergebnis bringen mehr Klick...

• Impressum und Datenschutz 2026: rechtssichere Website Ein fehlerhaftes Impressum oder eine lückenhafte Datenschutzerklärung ...