Die Datenschutzbehörden in Frankreich (CNIL) und Italien (Garante) haben neue Empfehlungen bzw. Leitlinien veröffentlicht, die den Einsatz von Tracking-Pixeln in E-Mails deutlich strenger einordnen.
Das könnte weitreichende Konsequenzen für die gesamte EU haben.
Kurz zum Hintergrund
Spätestens seit der DSGVO benötigt ein Newsletter-Versender eine rechtliche Grundlage, um eine Öffnung eines Lesers tracken zu dürfen, sofern diese personenbezogen und nicht anonym erfolgt.
Anders formuliert: Wenn der Versender in Erfahrung bringen kann, wer ein Mailing geöffnet hat, dann benötigt er dafür eben eine rechtliche Grundlage.
Diese rechtliche Grundlage wird in den meisten Fällen eine Einwilligung des Betroffenen sein. Manche Unternehmen argumentieren jedoch beispielsweise mit dem „berechtigten Interesse“, das ebenfalls eine rechtliche Grundlage laut DSGVO darstellen kann.
Und was ist jetzt neu?
Seit Juli 2026 stufen die Datenschutzbehörden von Frankreich und Italien ein Tracking-Pixel (das zur Feststellung einer Öffnung verwendet wird) grundsätzlich wie ein Cookie ein. Der Europäische Datenschutzausschuss (EDPB) hat dies in seinen Leitlinien 2/2023 [PDF] ausdrücklich bestätigt.
Das ist jedoch mehr als reine Wortklauberei. Denn Tracking-Pixel greifen nach Auffassung von CNIL und Garante auf das Endgerät des Empfängers zu und fallen damit unter die ePrivacy-Regeln, die grundsätzlich eine Einwilligung (durch die Betroffenen) verlangen.
Die ePrivacy-Regeln gehen als Spezialrecht der DSGVO vor. Ist eine Einwilligung nach ePrivacy erforderlich, ist ein berechtigtes Interesse nicht ausreichend.
Was bedeutet das in der Praxis?
Für Marketing-E-Mails ist in Frankreich und Italien also in vielen Fällen eine separate, vorherige Einwilligung für das Tracking erforderlich.
Wichtig: Die Einwilligung zum Erhalt des Newsletters deckt nicht automatisch auch personenbezogenes Öffnungs- oder Klicktracking ab. Dafür ist regelmäßig eine gesonderte, freiwillige und widerrufbare Einwilligung erforderlich.
Empfänger müssen außerdem das Tracking ablehnen und später widerrufen können, ohne den Newsletter insgesamt abbestellen zu müssen.
Die Vorgaben gelten für Empfänger in Frankreich bzw. Italien, unabhängig davon, in welchem Land der Versender sitzt (Empfängerland-Prinzip).
Das kann also durchaus auch österreichische oder deutsche Unternehmen betreffen, nämlich wenn sie in ihrem Verteiler über Empfänger verfügen, die in diesen beiden Ländern wohnhaft sind.
Wieso gilt das nur für Frankreich und Italien?
Tatsächlich ist das eine mehr als berechtigte Frage. Weshalb es hier keine abgestimmte, koordinierte Vorgehensweise aller europäischen Datenschutzbehörden gibt, ist völlig unverständlich.
Besonders ärgerlich ist dabei, dass es zwar mit der DSGVO einen EU-weit einheitlichen rechtlichen Rahmen gibt, der nun aber – wieder einmal – unterschiedlich interpretiert wird.
So ist zum Beispiel in Italien ein Öffnungstracking möglich, solange es anonymisiert erfolgt; in Frankreich hingegen ist das ohne Einwilligung gar nicht möglich.
Das macht den Aufwand für die europäischen Unternehmen unnötig hoch und die rechtliche Lage verwirrend.
Doch andere europäische Datenschutzbehörden könnten die französische und italienische Sichtweise übernehmen. Die Neuerungen könnten also nach und nach für weitere Länder gelten. Das würde den Standard für E-Mail-Tracking in der gesamten EU nachhaltig verändern.
Gibt es Ausnahmen?
Jein.
In beiden Ländern sind die Ausnahmen eng: In Frankreich können zum Beispiel bestimmte Deliverability- oder Listenpflege-Zwecke ohne Einwilligung zulässig sein, sofern sie strikt erforderlich, eng zweckgebunden und datenminimiert umgesetzt werden. Auch das Tracking für Authentifizierungs- und Sicherheitszwecke ist zulässig. Für klassische Kampagnenauswertung, Personalisierung oder Profiling bleibt die Einwilligung der Regelfall.
Die Verpflichtung zur vorherigen Einwilligung gilt allerdings, wenn das Tracking zur Kampagnenauswertung, zur Erstellung von Verhaltensprofilen oder für Zwecke genutzt wird, die über diesen engen operativen Rahmen hinausgehen. Das trifft also vor allem die klassischen Newsletter.
In der Praxis werden die Ausnahmen nur selten zur Anwendung kommen, weil viele Unternehmen technisch keine Unterscheidung zwischen operativen Mailings und klassischen Marketing-Mailings vornehmen werden wollen.
Ab wann gelten die neuen Regelungen?
In Italien muss die Umsetzung bis zum 28. Oktober 2026 erfolgen, in Frankreich gilt sie bereits: Spätestens bis zum 14. Juli 2026 mussten Unternehmen ihre Empfänger über den Einsatz von Tracking-Pixeln informiert und ihnen die Möglichkeit gegeben haben, dieses Tracking abzulehnen.
Die CNIL hat bereits angekündigt, nach Ablauf dieser Übergangsfrist die Einhaltung der neuen Vorgaben zu überprüfen.
Für alle E-Mail-Adressen, die seit diesem Datum neu erhoben werden, muss die erforderliche Einwilligung unmittelbar vorliegen. Für bereits bestehende Verteilerlisten galt eine Übergangsfrist.
Was bedeutet das für E-Mail Marketing?
Die Entscheidungen könnten weitreichende Folgen für E-Mail-Marketing haben:
- Sinkende Öffnungsraten als KPI: Wenn Nutzer in das Tracking nicht eingewilligt haben, werden Öffnungen durch Tracking-Pixel nicht mehr erfasst. Die Öffnungsrate verliert damit weiter an Aussagekraft. Klickrate, Conversion, Umsatz pro Kampagne oder First-Party-Daten gewinnen gegenüber der Öffnungsrate an Bedeutung.
- Mehr Einwilligungsmanagement: Unternehmen müssen eine separate Einwilligung für E-Mail-Tracking einholen und dokumentieren.
- Weniger Automatisierung: Automationen wie Reaktivierungskampagnen, Follow-ups nach E-Mail-Öffnung oder Lead-Scoring auf Basis von Öffnungen werden unzuverlässiger.
- Technische Anpassungen: E-Mail-Marketing-Plattformen müssen Funktionen für Tracking-Einwilligungen und differenziertes Tracking bereitstellen.
- Grenzüberschreitende Wirkung: Internationale Unternehmen werden die strengeren Regeln oft EU-weit anwenden, um keine länderspezifischen Prozesse betreiben zu müssen.
Ein Fazit: Nicht viel Neues, aber noch mehr Wildwuchs.
Nach Auffassung der meisten Datenschutz-Experten war auch bislang für ein personenbezogenes Tracking eine Einwilligung durch die Betroffenen notwendig. Daran hat sich also nichts geändert.
Sollte sich die Rechtsauffassung von CNIL und Garante in Europa durchsetzen – was aus meiner Sicht zu erwarten ist -, dann fällt das berechtigte Interesse als rechtliche Grundlage definitiv weg.
Und es muss sowohl eine Registrierung für einen Newsletter auch ohne Einwilligung für ein Tracking möglich sein, als auch muss es in jedem Newsletter eine Widerruf-Möglichkeit geben, ohne sich vom Newsletter abmelden zu müssen.
Damit würde sich E-Mail-Marketing stärker von Öffnungsraten als Erfolgskennzahl lösen müssen und den Fokus auf Klicks, Conversions und nachgelagerte KPIs verlagern. Gleichzeitig steigen die Anforderungen an Consent-Management und rechtskonforme Marketingprozesse.
Was sollten Sie jetzt tun?
Aus meiner Sicht sollten Unternehmen nun folgendes tun:
- Überprüfen Sie zuerst, ob Sie französische oder italienische Empfänger in Ihrem Verteiler haben. Wenn nicht, dann ist die Wahrscheinlichkeit sehr hoch, dass Sie durch die neuen Regelungen dieser beiden Datenschutzbehörden nicht betroffen sind.
- Überprüfen Sie außerdem, ob derzeit eine Anmeldung zu Ihrem Newsletter auch ohne Einwilligung für ein Tracking möglich ist. Falls ja, muss Ihr E-Mail Marketing Tool das auch entsprechend abbilden können – es darf für diesen Empfänger dann also kein personenbezogenes Öffnungs-Tracking erfolgen.
- Überprüfen Sie weiters, ob Ihr E-Mail-Marketing-Anbieter eine jederzeitige Möglichkeit für einen Widerruf vorsieht. In der Praxis wird das ähnlich wie ein Abmeldelink funktionieren: In jedem Newsletter sollte es einen „Widerruf“-Link geben, der eine Datenschutz-Einwilligung widerruft, ohne dass der Empfänger aus dem Newsletter abgemeldet wird.
Über den Autor
Michael Kornfeld ist mit einer über 25-jährigen Laufbahn ein leidenschaftlicher Verfechter von E-Mail-Marketing. Er hält zahlreiche Seminare und Fachvorträge und zählt zu den renommiertesten Experten Österreichs auf diesem Gebiet.