Ein Conversion API Setup ist kein Datenschutz-Trick, sondern ein zweiter Meldeweg vom Server zu Meta. Welche Reihenfolge trägt, welche Felder Sie senden dürfen und wer am Ende haftet.
Ein Conversion API Setup ist kein Datenschutz-Trick und keine Ersatzlösung für ein blockiertes Pixel. Es ist ein zweiter Meldeweg: Der Browser meldet, was er noch kann, der Server meldet, was er sicher weiß. Beide Wege brauchen dieselbe Einwilligung, dieselbe Ereigniskennung und dieselbe Feldliste. Wer die Reihenfolge umdreht und mit dem Code anfängt, baut ein Messsystem, das zwar Zahlen liefert, diese Zahlen aber weder rechtlich noch inhaltlich trägt.
Ein Conversion API Setup landet meistens dann auf dem Tisch, wenn die Zahlen nicht mehr zusammenpassen. Im Postfach liegen Anfragen, im Events Manager steht ein Bruchteil davon, und die Kosten je Anfrage sehen plötzlich doppelt so hoch aus wie im Vorjahr. In den Konten, die wir betreuen, liegt diese Lücke zwischen dem, was das CRM an echten Anfragen zählt, und dem, was Meta meldet, regelmäßig bei rund einem Drittel. Der Reflex ist dann, neue Motive zu produzieren. Der eigentliche Fehler sitzt aber eine Ebene tiefer, im Meldeweg.
Dieser Text beschreibt den Aufbau in der Reihenfolge, in der er tatsächlich trägt: erst Einwilligung und Rechtsgrundlage, dann Übertragungsweg, dann Felder, dann Kontrolle. Und er beschreibt, was das Ganze für Werbevideos bedeutet, weil die Schnittstelle ohne Material, das überhaupt jemanden zum Klicken bringt, nur genauer misst, dass nichts passiert.
Was die Conversion API macht und was sie nicht repariert
Die Conversion API überträgt Ereignisse von Ihrem Server direkt an Meta, statt sie allein dem Browser zu überlassen. Sie ersetzt das Pixel nicht, sie ergänzt es. Gewonnen wird vor allem dort, wo der Browser ausfällt: bei Werbeblockern, kurzen Cookie-Laufzeiten, Wechseln zwischen Geräten und bei Abschlüssen, die erst später am Telefon oder im Backoffice entstehen.
Die Abgrenzung lohnt sich, weil im Markt viel Unfug erzählt wird. Die Conversion API ist kein Weg, ohne Einwilligung zu messen. Sie ist auch kein Weg, an Browsereinstellungen vorbei Daten zu sammeln. Sie verlagert lediglich den Absender der Meldung vom Gerät des Nutzers auf Ihren eigenen Server. Die rechtliche Bewertung ändert sich dadurch nicht zu Ihren Gunsten, im Gegenteil: Sie werden vom Betreiber eines eingebundenen Skripts zum aktiven Absender personenbezogener Daten.
Was sie repariert, ist die Vollständigkeit der Rückmeldung. Was sie nicht repariert, ist ein Angebot, das niemand will, eine Zielseite, die nicht lädt, oder ein Motiv, das in den ersten drei Sekunden nichts erzählt. Wie lang dieses Motiv sein darf und wo es kippt, haben wir in wie lange ein Werbevideo sein sollte auseinandergenommen.
Was vor dem Setup geklärt sein muss: Einwilligung und Rechtsgrundlage
Vor der ersten Zeile Code stehen zwei Fragen: Auf welcher Grundlage übermitteln Sie personenbezogene Daten an Meta, und wie erfährt Ihr Server, ob der Nutzer zugestimmt hat. Beim Werbetracking ist die Grundlage die Einwilligung. Sie muss vor dem Ereignis vorliegen, sie muss widerrufbar sein, und der Widerruf muss bis auf den Server durchschlagen.
Greift Ihr Aufbau auf Informationen zu, die im Gerät des Nutzers liegen oder dort abgelegt werden, gilt zusätzlich das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Nach § 25 Absatz 1 TDDDG sind die Speicherung von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Absatz 2 kennt genau zwei Ausnahmen: die reine Nachrichtenübertragung und den Fall, dass der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann. Ein Werbemeldeweg fällt unter keine der beiden.
Der Punkt, an dem die meisten Aufbauten auseinanderfallen, ist der Widerruf. Nach Artikel 7 Absatz 3 DSGVO hat die betroffene Person das Recht, ihre Einwilligung jederzeit zu widerrufen, und der Widerruf muss so einfach sein wie die Erteilung. Praktisch heißt das: Wenn jemand im Banner zurückzieht, darf Ihr Server ab diesem Moment keine Ereignisse mehr zu dieser Person senden. Ein Aufbau, in dem das Einwilligungssignal nur im Browser gilt und der Serverprozess unabhängig davon weiterläuft, ist der häufigste und teuerste Fehler in diesem Thema.
Die vier Wege, ein Conversion API Setup umzusetzen
Es gibt vier übliche Wege: die fertige Integration im Shop- oder CMS-System, das von Meta bereitgestellte Gateway, ein serverseitiger Tag Manager und die eigene Anbindung im Backend. Sie unterscheiden sich weniger im Ergebnis als im Aufwand und darin, wie viel Kontrolle Sie über die gesendeten Felder behalten.
| Weg | Passt zu | Kontrolle über Felder | Typische Bruchstelle | | --- | --- | --- | --- | | Partner-Integration im Shopsystem | Standard-Shops ohne eigene Entwicklung | Gering, die Felder gibt das Plugin vor | Sendet oft mehr Felder als nötig und ignoriert den Widerruf | | Conversions API Gateway | Teams ohne Entwickler, die trotzdem serverseitig melden wollen | Mittel | Läuft in einer eigenen Umgebung, die jemand betreiben und aktualisieren muss | | Serverseitiger Tag Manager | Konten mit mehreren Kanälen und eigenem Messkonzept | Hoch | Einwilligungssignal wird im Container nicht sauber durchgereicht | | Eigene Anbindung im Backend | Abschlüsse, die erst nach dem Besuch entstehen, etwa am Telefon | Vollständig | Ereigniskennung wird vergessen, dadurch doppelte Zählung |
Für die meisten mittelständischen Betriebe, mit denen wir arbeiten, reicht Weg eins oder zwei. Weg vier lohnt sich immer dann, wenn der eigentliche Abschluss nicht auf der Website passiert. Ein Pflegedienst, der Bewerbungen über ein Formular einsammelt, die Zusage aber erst nach dem Telefonat vergibt, misst ohne Backend-Anbindung dauerhaft die falsche Stufe.
Deduplizierung: warum dasselbe Ereignis zweimal ankommen darf
Pixel und Server melden bewusst dasselbe Ereignis. Damit Meta es nicht doppelt zählt, tragen beide Meldungen denselben Ereignisnamen und dieselbe Ereigniskennung. Meta verwirft dann die zweite. Fehlt die Kennung auf einer Seite, entstehen Geisterabschlüsse, und alle Kennzahlen darunter werden zu optimistisch.
Das ist der Teil, den die technischen Anleitungen im Netz am gründlichsten behandeln, und es ist trotzdem der Punkt, an dem in der Praxis am häufigsten etwas schiefläuft. Der Grund ist banal: Die Kennung muss im Browser erzeugt und an den Server weitergegeben werden, und bei jedem Umbau der Zielseite kann diese Übergabe verloren gehen. Die Dokumentation von Meta zur Conversions API beschreibt das Verfahren und die erwarteten Felder im Detail.
| Zustand | Was Meta sieht | Folge im Bericht | | --- | --- | --- | | Beide Meldungen mit gleichem Namen und gleicher Kennung | Ein Vorgang | Richtig gezählt, so soll es sein | | Kennung fehlt beim Serverereignis | Zwei Vorgänge | Anfragen zu hoch, Kosten je Anfrage zu niedrig | | Nur Server meldet, Pixel blockiert | Ein Vorgang | Richtig gezählt, dafür schwächere Zuordnung | | Unterschiedliche Ereignisnamen auf beiden Wegen | Zwei verschiedene Ereignisse | Optimierung läuft auf das falsche Ziel |
Welche Felder Sie senden dürfen und welche nicht
Übertragen wird nur, was für die Zuordnung nötig ist, und Kundenmerkmale nur in gehashter Form. Der Grundsatz steht in Artikel 5 Absatz 1 Buchstabe c DSGVO: Daten müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein. Alles, was über E-Mail-Adresse, Telefonnummer und technische Kennungen hinausgeht, braucht einen sehr guten Grund.
Die härtere Grenze zieht Artikel 9 Absatz 1 DSGVO. Die Verarbeitung von Daten, aus denen rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie von Gesundheitsdaten und Daten zum Sexualleben ist untersagt. Das gilt nicht nur für Datenfelder, sondern auch für Ereignisnamen. Wer in einer Physiopraxis ein Ereignis „Termin Rückenschmerzen" an Meta meldet, überträgt ein Gesundheitsdatum, auch wenn im Feld nur eine gehashte E-Mail-Adresse steht.
| Feld | Nutzen für die Zuordnung | Bewertung | | --- | --- | --- | | E-Mail-Adresse, gehasht | Hoch, der stabilste Anker | Mit Einwilligung üblich | | Telefonnummer, gehasht | Hoch, vor allem bei Anruf-Abschlüssen | Mit Einwilligung üblich | | IP-Adresse und Browserkennung | Mittel, verbessert die Trefferquote | Personenbezogen, gehört in die Datenschutzerklärung | | Geburtsdatum, Geschlecht, Wohnort | Gering | Selten nötig, kollidiert mit der Datenminimierung | | Behandlungsanlass, Diagnose, Kursthema mit Gesundheitsbezug | Vermeintlich hoch | Nach Artikel 9 Absatz 1 DSGVO untersagt, auch als Ereignisname |
Der praktische Ausweg für Gesundheits- und Sozialbetriebe ist ein neutraler Ereignisname. „Terminanfrage" statt der Angabe, worum es geht. Das kostet ein wenig Auswertungstiefe und löst das Problem vollständig. Dieselbe Logik gilt für Formulare, in denen Menschen sichtbar werden. Was dabei arbeitsrechtlich und beim Recht am eigenen Bild zu beachten ist, steht in unserem Text zur Einwilligung von Mitarbeitenden bei Foto und Video.
Wer haftet, wenn der Server sendet
Bei der Übermittlung von Werbeereignissen an Meta legen Sie und Meta gemeinsam Zwecke und Mittel fest. Damit sind Sie gemeinsam Verantwortliche im Sinne von Artikel 26 DSGVO. Die Vereinbarung dazu stellt Meta bereit, Sie müssen sie aber kennen, ablegen und ihren wesentlichen Inhalt den betroffenen Personen zur Verfügung stellen.
Der Wortlaut ist eindeutig. Nach Artikel 26 Absatz 1 DSGVO legen gemeinsam Verantwortliche in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht und wer welchen Informationspflichten nachkommt. Absatz 2 ergänzt, dass das Wesentliche dieser Vereinbarung der betroffenen Person zur Verfügung gestellt wird. Das ist kein Formalismus, sondern der Grund, warum in Ihrer Datenschutzerklärung ein Abschnitt zur gemeinsamen Verantwortlichkeit stehen muss und nicht nur ein Satz über Cookies.
Kein einziger der fünf deutschsprachigen Ratgeber, die wir für diesen Text ausgewertet haben, erwähnt Artikel 26 überhaupt. Das ist die eigentliche Lücke im Markt: Die technische Seite wird gut erklärt, die Zuständigkeitsfrage gar nicht. Wer eine Agentur beauftragt, sollte genau danach fragen. Welche Kriterien darüber hinaus tragen, haben wir in der Auswahl einer Performance-Marketing-Agentur zusammengestellt.
Was das Setup für Video-Ads konkret verändert
Videoansichten misst Meta auf der eigenen Plattform, dafür brauchen Sie keine Schnittstelle. Der Unterschied entsteht weiter unten: bei Formular, Anruf und Abschluss. Genau diese späten Ereignisse verliert der Browser am häufigsten, und genau sie steuern, welchen Menschen Meta Ihr Video als Nächstes zeigt.
Praktisch wirkt sich das an drei Stellen aus. Erstens auf die Lernphase: Eine Anzeigengruppe verlässt sie erst, wenn genug Optimierungsereignisse zusammenkommen. Gehen zwanzig bis dreißig Prozent der Ereignisse im Browser verloren, dauert das entsprechend länger, und in dieser Zeit bewerten Sie Motive auf zu dünner Grundlage. Zweitens auf das Attributionsfenster: Meta rechnet standardmäßig Klicks innerhalb von sieben Tagen und Ansichten innerhalb eines Tages zu. Ein Abschluss, der erst am neunten Tag nach dem Telefonat entsteht, taucht in keiner Zuordnung auf, egal wie gut Ihr Meldeweg ist. Drittens auf die Motivbewertung: Wenn die Hälfte der späten Ereignisse fehlt, gewinnen im Bericht die Motive, die viele billige Klicks erzeugen, und nicht die, die Anfragen bringen.
Daraus folgt eine unbequeme Reihenfolge für den Drehtag. Bevor wir für einen Kunden eine Motivserie planen, klären wir, welches Ereignis überhaupt als Erfolg gilt und ob dieses Ereignis den Server erreicht. Sonst produzieren wir sechs Varianten, von denen die Auswertung hinterher nur drei sauber unterscheiden kann. Welche Formate und Seitenverhältnisse dabei zusammenpassen müssen, steht in unserer Übersicht der Meta-Ads-Formate 2026, und wie die Kampagne darunter aufgebaut wird, in der Meta Ads Kampagnenstruktur. Wenn Sie die Motive und den Messaufbau lieber aus einer Hand hätten, ist das genau der Bereich, den wir mit Video-Ads-Produktion und Lead-Generierung abdecken.
Wann sich ein Conversion API Setup nicht lohnt
Bei sehr kleinen Fallzahlen bringt die Schnittstelle wenig. Wer pro Monat eine Handvoll Anfragen erzeugt, gewinnt durch vollständigere Meldungen keine belastbare Statistik, sondern nur eine genauere Zählung von zu wenig. Auch ohne funktionierendes Einwilligungsbanner ist der Aufbau die falsche erste Baustelle.
Wir sagen das offen, weil es dem eigenen Geschäft widerspricht: In einem Konto, das im Monat zwölf Anfragen erzeugt, ist der Unterschied zwischen zwölf und sechzehn gemeldeten Anfragen statistisch Rauschen. Da lohnt sich zuerst mehr Budget oder ein besseres Angebot. Die Schnittstelle wird interessant, wenn pro Woche genug Fälle zusammenkommen, dass Meta überhaupt etwas daraus lernen kann.
- Kein Einwilligungsbanner, das den Widerruf technisch umsetzt: Erst das reparieren, sonst bauen Sie ein Haftungsrisiko mit besserer Datenqualität.
- Abschluss passiert ohnehin vollständig auf der Website und das Pixel läuft sauber: Der Zugewinn ist dann klein, der Aufwand bleibt gleich.
- Niemand im Haus betreut den Aufbau: Ein serverseitiger Meldeweg ist nichts, was man einmal einrichtet und zwei Jahre nicht ansieht.
Die ersten 14 Tage: prüfen statt hoffen
Nach der Einrichtung folgt eine Prüfphase, in der Sie nichts optimieren, sondern nur kontrollieren. Meta zeigt im Events Manager, wie gut eingehende Ereignisse zugeordnet werden können, und meldet doppelte oder fehlerhafte Meldungen. Wer diese zwei Wochen überspringt, optimiert später auf Zahlen, die er nie geprüft hat.
| Zeitraum | Was Sie prüfen | Was ein Fehlschlag bedeutet | | --- | --- | --- | | Tag 1 | Kommen Server-Ereignisse überhaupt an, mit Testereignis geprüft | Übertragungsweg oder Zugangstoken falsch | | Tag 2 bis 3 | Werden Pixel- und Server-Meldung zusammengeführt | Ereigniskennung fehlt oder weicht ab | | Tag 3 bis 5 | Stoppt der Widerruf im Banner den Serverversand | Einwilligungssignal wird nicht durchgereicht, Rechtsrisiko | | Tag 5 bis 10 | Qualität der Zuordnung im Events Manager, Feld für Feld | Zu wenige oder falsch gehashte Kundenmerkmale | | Tag 10 bis 14 | Abgleich der gemeldeten Anfragen mit dem CRM | Falsche Stufe gemessen, Ereignis sitzt an der falschen Stelle |
Der letzte Punkt ist der einzige, der wirklich zählt. Alles andere sind Zwischenprüfungen. Wenn Ihr CRM im selben Zeitraum 38 echte Anfragen kennt und Meta 34 meldet, ist der Aufbau gut genug. Liegt Meta bei 12, messen Sie an der falschen Stelle, und keine Motivrunde der Welt korrigiert das. Ähnlich gelagert ist die Frage nach der eigenen Stimme im Werbematerial, die wir in Voice Cloning DSGVO-konform entlang derselben Reihenfolge aus Rechtsgrundlage, Einwilligung und Nachweis behandelt haben.
Häufige Fragen zum Conversion API Setup
Die folgenden Fragen kommen in Erstgesprächen fast immer. Sie betreffen selten die Technik und fast immer die Zuständigkeit, die Rechtsgrundlage und die Frage, wann sich der Aufwand überhaupt rechnet.
Was ist ein Conversion API Setup überhaupt?
Ein zweiter Meldeweg. Das Meta Pixel meldet Ereignisse aus dem Browser des Nutzers, die Conversion API meldet dieselben Ereignisse von Ihrem Server aus direkt an Meta. Beide Wege laufen parallel und werden über eine gemeinsame Kennung zusammengeführt, damit ein Kauf oder eine Anfrage nicht zweimal gezählt wird.
Ist die Conversion API DSGVO-konform?
Die Schnittstelle selbst ist weder konform noch unzulässig, konform ist immer nur Ihr Gesamtaufbau. Entscheidend sind vier Dinge: Einwilligung vor dem ersten Ereignis, Weitergabe des Einwilligungssignals bis auf den Server, Beschränkung auf die wirklich nötigen Felder und eine Vereinbarung über die gemeinsame Verantwortlichkeit mit Meta.
Brauche ich eine Einwilligung, wenn die Daten vom Server kommen?
Ja. Der Server umgeht kein Einwilligungserfordernis. Sobald Sie personenbezogene Daten an Meta übermitteln, brauchen Sie dafür eine Rechtsgrundlage, und beim Werbetracking ist das die Einwilligung. Greift Ihr Aufbau zusätzlich auf Informationen in der Endeinrichtung zu, etwa auf eine Cookie-Kennung, gilt zusätzlich § 25 Absatz 1 TDDDG.
Wie funktioniert die Deduplizierung zwischen Pixel und Server?
Beide Ereignisse tragen denselben Ereignisnamen und dieselbe Ereigniskennung. Meta erkennt daran, dass Browser- und Servermeldung denselben Vorgang beschreiben, und verwirft die zweite. Fehlt die Kennung auf einer der beiden Seiten, zählt Meta doppelt, und Ihre Kosten je Anfrage sehen im Bericht besser aus, als sie sind.
Welche Daten darf ich über die Conversion API senden?
Nur solche, die Sie für die Zuordnung wirklich brauchen, und nur in gehashter Form. E-Mail-Adresse und Telefonnummer sind der übliche Kern. Daten, aus denen sich Gesundheit, Religion, politische Meinung oder sexuelle Orientierung ableiten lassen, gehören nach Artikel 9 Absatz 1 DSGVO nicht in die Übermittlung, auch nicht als Ereignisname.
Was kostet ein Conversion API Setup an Zeit?
Der technische Teil ist selten das Problem. Über eine fertige Shop- oder CMS-Integration steht der Meldeweg an einem Nachmittag. Was Zeit frisst, sind die Vorarbeiten: Einwilligungsbanner sauber verdrahten, Feldliste festlegen, Vereinbarung zur gemeinsamen Verantwortlichkeit ablegen und die Datenschutzerklärung nachziehen.
Bringt die Conversion API auch bei Video-Ads etwas?
Ja, aber anders als oft erzählt. Videoansichten misst Meta ohnehin auf der eigenen Plattform. Der Gewinn entsteht weiter unten im Trichter, wenn aus der Ansicht ein Formular oder ein Anruf wird. Genau diese späten Ereignisse verliert der Browser am häufigsten, und genau sie steuern die Auslieferung Ihrer Anzeigen.
Was wir daraus mitnehmen
Ein Conversion API Setup ist zu 20 Prozent Technik und zu 80 Prozent Reihenfolge. Einwilligung, Rechtsgrundlage, Feldliste, Zuständigkeit, dann erst Übertragungsweg. Wer so vorgeht, bekommt Zahlen, auf die er Budget setzen kann, und eine Dokumentation, die einer Nachfrage standhält.
Die Kurzfassung für die nächste Besprechung: Klären Sie zuerst, welches Ereignis bei Ihnen wirklich Erfolg bedeutet. Prüfen Sie danach, ob Ihr Banner den Widerruf bis auf den Server durchreicht. Legen Sie die Vereinbarung zur gemeinsamen Verantwortlichkeit ab und schreiben Sie deren wesentlichen Inhalt in die Datenschutzerklärung. Beschränken Sie die Felder auf E-Mail-Adresse, Telefonnummer und technische Kennungen. Und erst dann wählen Sie den Weg, über den gemeldet wird. Die Reihenfolge kostet zwei Tage mehr und spart die Runde, in der alles noch einmal auseinandergenommen wird.
Ob sich der ganze Kanal für Sie überhaupt lohnt oder ob organische Reichweite der bessere Einstieg ist, haben wir in lohnt sich YouTube für Unternehmen entlang derselben nüchternen Rechnung durchgespielt.
Quelle: https://expertenfilm.de/ki-news/conversion-api-setup-2026-dsgvo