Aktualisiert am 30.09.2026: Zuordnung der Betreiber-Verantwortung präzisiert, Stand des Rechtsmittels ergänzt.
Der Meta-Pixel, das Conversion-API-Tracking, die Facebook-Login-Buttons, all das läuft unter dem Sammelbegriff „Meta Business Tools“ und ist auf vielen deutschen Unternehmenswebsites im Einsatz, oft seit Jahren, oft ohne dass jemand den rechtlichen Status regelmäßig neu geprüft hat. Das Oberlandesgericht Hamm hat am 9. März 2026 entschieden (Az. 8 U 21/25), dass Meta mit den Business Tools Daten von Nutzern auf fremden Websites und Apps ohne Rechtsgrundlage erhebt und mit deren Konto verknüpft (Art. 5, 6, 15, 17, 82 DSGVO). Beklagt war Meta, nicht ein Websitebetreiber.
Was das Gericht konkret entschieden hat
Verurteilt wurde Meta. Das Gericht stellt fest, dass Meta gemeinsam mit den Websitebetreibern für das Erfassen und Weiterleiten der Daten verantwortlich ist (Rn. 72) und sich davon nicht durch Verträge mit ihnen freizeichnen kann. Dass der Betreiber für genau diesen Schritt mitverantwortlich ist, hat der EuGH schon 2019 entschieden (Fashion ID, C-40/17): für das Erheben und Übermitteln der Daten, nicht für Metas spätere Auswertung. Der Klägerin sprach das Gericht gegen Meta Auskunft, Löschung und 1.500 € immateriellen Schadensersatz zu. Ob andere Nutzer Ansprüche haben, hängt vom Einzelfall ab.
Klartext für Geschäftsführer: Wer die Tools einbindet, ist nach der EuGH-Rechtsprechung für das Erheben und Übermitteln der Besucherdaten mitverantwortlich und muss die dafür nötige Einwilligung selbst einholen (EuGH C-40/17, Tenor Nr. 2 und 4). Das OLG Hamm betont umgekehrt, dass auch Meta sich nicht hinter den Betreibern verstecken kann. Fehlt dem Betreiber diese Einwilligung, drohen ihm nicht nur Bußgelder, sondern auch Schadensersatzforderungen einzelner Nutzer.
Warum „Einwilligung eingeholt“ allein nicht reicht
Viele Websitebetreiber gehen davon aus, mit einem Cookie-Banner sei die Sache erledigt. Das Urteil befasst sich nicht mit einzelnen Cookie-Bannern. Es lässt aber Metas Einwand nicht gelten, bei korrekt eingerichtetem Banner fließe nichts: Als Mitverantwortliche müsse Meta selbst sicherstellen, dass die Betreiber die Tools richtig einbauen (Rn. 99 bis 101). Für Betreiber bleibt deshalb entscheidend, ob ihre eigene Einwilligung nach Art. 7 DSGVO und § 25 TDDDG trägt. Lädt ein Banner die Tools schon vor dem Klick, fehlt für diese Übermittlung die vorherige Einwilligung. Macht es das Ablehnen deutlich schwerer als das Zustimmen, ist die Freiwilligkeit angreifbar. Verwandt ist hier eine Entscheidung des VG Hannover vom 19. März 2025 (Az. 10 A 5385/22), die ein Cookie-Banner ohne Ablehnoption auf der ersten Ebene (nur ‚Alle akzeptieren‘, ‚Akzeptieren & schließen‘, ‚Einstellungen‘) als unwirksame Einwilligung eingestuft hat, weil es Nutzer gezielt zur Zustimmung lenkt.
Klartext für Techniker: Prüfen, ob das Meta-Pixel-Skript technisch erst nach dem Consent-Klick lädt (Tag-Manager-Trigger-Bedingung), nicht schon beim Seitenaufruf mit nachgelagerter Deaktivierung. Und das Banner-Design gegenprüfen: Ist „Ablehnen“ genauso leicht zu finden und zu klicken wie „Akzeptieren“?
Was das für den Alltag bedeutet
Ein OLG-Urteil bindet zunächst nur die Parteien des konkreten Verfahrens, es entfaltet aber Signalwirkung für vergleichbare Fälle und zeigt, wie Gerichte diese verbreitete Konstellation aktuell bewerten. Für jeden, der Meta Business Tools einsetzt, heißt das: Die Frage „Ist unsere Einwilligungslösung wirklich wasserdicht?“ verdient eine erneute, ehrliche Antwort, nicht die Wiederholung dessen, was beim ursprünglichen Website-Launch einmal eingerichtet wurde.
Was für die Geschäftsführung zählt: Nutzer, deren Daten ohne wirksame Einwilligung über Meta Business Tools erfasst wurden, können Auskunft verlangen, bei rechtswidriger Verarbeitung auch Löschung, und Schadensersatz, wenn sie einen Schaden darlegen. Ansprüche können sich gegen Meta richten und, gestützt auf die EuGH-Rechtsprechung zur gemeinsamen Verantwortung, für das Erheben und Übermitteln auch gegen den Betreiber.
Was für die Technik zählt: Consent-Management-Plattform (CMP) und Tag-Manager-Konfiguration daraufhin prüfen, ob Meta-Skripte tatsächlich erst nach aktiver, informierter Einwilligung laden, ob die Ablehnoption gleichwertig sichtbar ist, und ob die Datenschutzerklärung die Meta-Business-Tools-Nutzung samt Drittlandaspekt korrekt beschreibt.
Das OLG hat die Revision nicht zugelassen. Gegen das Urteil ist Nichtzulassungsbeschwerde beim Bundesgerichtshof eingelegt worden (Az. I ZR 154/26), es ist daher nicht rechtskräftig. Klar ist schon jetzt: Die bloße Tatsache, „irgendein Consent-Banner“ zu haben, schützt nicht automatisch vor genau dieser Haftungsfrage.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 30.09.2026.