CNIL veröffentlicht formelle Leitlinien zu E-Mail-Tracking-Pixeln: Compliance-Anforderungen im E-Mail-Marketing

Am 14. April 2026 veröffentlichte Frankreichs CNIL ihre erste formelle Empfehlung zu E-Mail-Tracking-Pixeln. Jahrelang befand sich die Technologie in einer regulatorischen Grauzone: Cookie-Einwilligungsregeln wurden auf Websites durchgesetzt, während dieselben unsichtbaren Tracker in Marketing-E-Mails weitgehend unbeachtet blieben. Diese Lücke ist nun geschlossen. Wenn Ihre Organisation pixelverfolgte E-Mails an Personen in Frankreich oder der EU sendet, setzt diese Empfehlung den rechtlichen Maßstab, an dem Ihre Praktiken gemessen werden.

CNIL veröffentlicht formelle Leitlinien zu E-Mail-Tracking-Pixeln: Compliance-Anforderungen erklärt

Was sind E-Mail-Tracking-Pixel?

Ein Tracking-Pixel ist ein Ein-Pixel-Bild, das unsichtbar in den HTML-Code einer E-Mail eingebettet ist. Wenn die Nachricht geöffnet wird, ruft das E-Mail-Programm des Empfängers dieses Bild von einem externen Server ab. Diese einzelne Anfrage teilt dem Absender mit, dass die E-Mail geöffnet wurde, wann und ungefähr von wo. Die meisten Menschen haben keine Ahnung, dass dies geschieht.

Die Technologie ist in nahezu jede E-Mail-Marketing-Plattform integriert. Das Bild-Tag trägt eine eindeutige URL, die mit dem Abonnentendatensatz verknüpft ist. Wenn das Pixel feuert, protokolliert die Plattform einen Zeitstempel, eine IP-Adresse und einen User-Agent-String. Von dort aus kann sie den ungefähren Standort, den Gerätetyp und das E-Mail-Programm des Empfängers ableiten. Manche Plattformen speisen diese Daten in Verhaltensprofile ein oder geben sie an Werbe- und Analysepartner weiter. Ein einziges Öffnen einer E-Mail kann still und leise mehrere Unternehmen benachrichtigen, von denen der Empfänger noch nie gehört hat.

Es gibt auch serverseitige Implementierungen, die Daten über Weiterleitungsketten erfassen, bevor der E-Mail-Text überhaupt gerendert wird, und manche Kampagnen betten gleichzeitig mehrere Pixel verschiedener Anbieter ein. Empfänger haben keinerlei Einblick in all dies.

Warum es so lange gedauert hat

Cookie-Einwilligungsanforderungen bestehen bereits seit 2012 und wurden 2018 durch die DSGVO erheblich verschärft. Website-Betreiber wissen, dass sie eine Consent-Management-Plattform benötigen, bevor ein Analyse- oder Werbe-Cookie feuert.

E-Mail-Tracking erhielt nie dieselbe regulatorische Aufmerksamkeit. Die zugrunde liegenden Rechtsgrundsätze, die DSGVO und die ePrivacy-Richtlinie, galten theoretisch, aber keine Aufsichtsbehörde hatte spezifische Leitlinien veröffentlicht. So gingen Organisationen still davon aus, dass die Einwilligung zum Erhalt einer Marketing-E-Mail auch das damit verbundene Tracking abdeckt. Diese Annahme ist nicht mehr haltbar.

Das Problem der Rechtsgrundlage

Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Für E-Mail-Tracking haben sich viele Organisationen auf berechtigte Interessen berufen: das Argument, dass die Messung, ob Empfänger E-Mails öffnen, ein vernünftiges geschäftliches Bedürfnis sei, das niemandem ernsthaft schadet.

Die Empfehlung der CNIL widerspricht diesem Argument entschieden. Das Öffnen einer E-Mail ist keine Handlung, die eine Einwilligung zum Tracking signalisiert. Empfänger erwarten vernünftigerweise, dass das Öffnen einer Nachricht diese zustellt – nichts weiter. Das Sammeln von Verhaltensdaten, der Aufbau von Profilen oder die Weiterleitung von Öffnungsdaten an Drittplattformen geht weit über das hinaus, was für die Zustellung von E-Mails notwendig ist, und lässt sich nicht mit einer Interessenabwägung nach berechtigtem Interesse vereinbaren, wenn weniger eingriffsintensive Alternativen existieren.

Die ePrivacy-Richtlinie fügt eine weitere Ebene hinzu. Sie verbietet den Zugriff auf Informationen auf dem Endgerät eines Nutzers ohne vorherige Einwilligung, mit einer engen Ausnahme für Dienste, die der Nutzer ausdrücklich angefordert hat. Ein Tracking-Pixel greift in dem Sinne auf das Gerät zu, dass die Öffnungsanfrage die IP-Adresse und Konfiguration des Geräts offenlegt. Die Messung der Marketing-Performance ist kein Dienst, den der Empfänger ausdrücklich angefordert hat, sodass die Ausnahme nicht greift.

Kurz gesagt: Für Marketing-Pixel ist eine Einwilligung erforderlich. Berechtigte Interessen decken dies nicht ab.

Was Einwilligung erfordert und was nicht

Die CNIL listet die Zwecke auf, die eine vorherige Einwilligung erfordern:

• Messung von Öffnungsraten und Kampagnen-Performance
• Aufbau von Verhaltensprofilen für zielgerichtete Werbung
• Betrugserkennung basierend auf Öffnungsmustern
• Jedes Tracking, das Daten an Drittplattformen weitergibt

Die engen Ausnahmen gelten für Pixel, die ausschließlich für Authentifizierung oder grundlegende Listenpflege verwendet werden, etwa um Abonnenten zu identifizieren, die über einen längeren Zeitraum nicht interagiert haben, um die Sendefrequenz zu reduzieren. Das Wort ausschließlich ist entscheidend. Wenn das Pixel über diese spezifische Funktion hinaus irgendetwas tut, ist eine Einwilligung erforderlich. Wenn die Daten länger als nötig aufbewahrt werden, ist eine Einwilligung erforderlich. Wenn Dritte involviert sind, ist eine Einwilligung erforderlich.

Die meisten Marketing-Pixel qualifizieren sich nicht für diese Ausnahmen. Die praktische Realität ist, dass Organisationen, die Öffnungen zu einem kommerziellen Zweck verfolgen, vor dem Feuern dieser Pixel eine Einwilligung einholen müssen.

Wie eine gültige Einwilligung aussieht

Die Empfehlung ist in diesem Punkt detailliert, weil die CNIL weiß, dass vage, in Datenschutzerklärungen vergrabene Angaben nicht ausreichen.

Gestufte Offenlegung. Empfänger sollten vor der Anmeldung eine klare, kurze Beschreibung jedes Tracking-Zwecks sehen. Eine zweite Detailebene sollte für diejenigen verfügbar sein, die mehr wissen möchten: welche Daten erhoben werden, wie lange sie aufbewahrt werden und wer sie erhält. Der Ansatz spiegelt das wider, was Regulierungsbehörden bereits für Cookie-Einwilligungsbanner verlangen.

Zweck für Zweck. Jede unterschiedliche Tracking-Nutzung erfordert eine separate Einwilligung. Ein Abonnent sollte die Möglichkeit haben, dem Tracking der Öffnungsrate zuzustimmen, ohne dem Verhaltensprofiling für Werbung zuzustimmen. Alles unter einem einzigen Kontrollkästchen zu bündeln, erfüllt den Standard nicht.

Einwilligung, bevor das Pixel feuert. Das ist der Punkt, der viele Organisationen kalt erwischt. Die Einwilligung muss zum Zeitpunkt der Erfassung der E-Mail-Adresse eingeholt werden, typischerweise auf dem Anmelde- oder Registrierungsformular. Das Einholen der Tracking-Einwilligung in einer Willkommens-E-Mail scheitert, weil das Öffnungsereignis bereits Daten erfasst, bevor der Empfänger die Chance hatte zu reagieren. Die Einwilligung muss zuerst kommen.

Einfacher Widerruf. Jede Marketing-E-Mail sollte einen Tracking-Opt-Out-Link enthalten, der vom Abmelde-Link getrennt ist. Ein Klick darauf sollte künftige Pixel für diesen Kontakt stoppen. Organisationen müssen zudem Aufzeichnungen darüber führen, was jedem Abonnenten mitgeteilt wurde, wozu er zugestimmt hat und wann, denn dieser Nachweis ist es, der einer behördlichen Untersuchung standhält.

Die Frist für bestehende Listen

Kontakte, die vor dem 14. April 2026 erfasst wurden, erhalten eine Übergangsfrist. Organisationen haben bis zum 14. Juli 2026 Zeit, diese Abonnenten über das Pixel-Tracking zu informieren und ihnen eine echte Widerspruchsmöglichkeit zu geben. Eine einzelne Massen-E-Mail zu senden und Schweigen als Zustimmung zu werten, erfüllt dies nicht. Der Mechanismus zum Widerspruch muss klar sein, und die Präferenz muss sofort umgesetzt werden.

Kontakte, die ab dem 14. April 2026 hinzugefügt werden, müssen von Anfang an durch einen konformen Einwilligungsprozess abgedeckt sein. Für neue Abonnenten gibt es keine Übergangsfrist.

Drei Monate sind kein langer Vorlauf, wenn sich Ihre Anmeldeprozesse, E-Mail-Plattformeinstellungen und Einwilligungsaufzeichnungen alle ändern müssen. Jetzt zu beginnen, ist die richtige Entscheidung.

Das ist kein rein französisches Problem

Die Empfehlungen der CNIL haben Gewicht weit über Frankreich hinaus. Europäische Datenschutzbehörden arbeiten als Netzwerk und beziehen sich routinemäßig aufeinander. Die rechtlichen Grundsätze dieser Empfehlung gelten identisch nach deutscher, niederländischer, spanischer und jeder anderen nationalen Umsetzung der DSGVO und der ePrivacy-Richtlinie in der EU. Organisationen, die dies als rein französisches Compliance-Kästchen zum Abhaken betrachten, verkennen die Situation.

Über Europa hinaus zeigt die Entwicklung in anderen Rechtsordnungen in dieselbe Richtung. Kanadas CASL verlangt eine ausdrückliche Einwilligung, bevor kommerzielle elektronische Nachrichten versendet werden. Brasiliens LGPD spiegelt die Einwilligungsstandards der DSGVO wider. Das britische ICO hat signalisiert, dass es Tracking-Technologien jenseits von Cookies in kommenden Leitlinien behandeln wird. Für alle, die globale Abonnentenlisten verwalten, sollte die Erwartung lauten, dass sich die Anforderungen an die Pixel-Einwilligung geografisch ausweiten werden, statt sich dort zu stabilisieren, wo sie heute stehen.

Wo Organisationen Fehler machen

Die meisten Durchsetzungsprobleme in diesem Bereich entstehen aus übernommenen Annahmen und nicht aus bewusster Nichteinhaltung. Dies sind die Muster, die Risiken schaffen.

Verwechslung von Abmeldung und Tracking-Opt-Out. Eine Abmeldung stoppt künftige E-Mails. Sie widerruft nicht die Einwilligung, Daten aus bereits gesendeten E-Mails zu verfolgen, und deckt schon gar nicht die zweckspezifische Einwilligung ab, die die CNIL nun verlangt. Dies müssen zwei getrennte Mechanismen sein.

Die Annahme, Marketing-Einwilligung decke Tracking ab. Der Zustimmung, einen Newsletter zu erhalten, zuzustimmen bedeutet nicht, dem Tracking zuzustimmen. Es handelt sich rechtlich um unterschiedliche Zwecke, die getrennte Einwilligungssignale erfordern.

Sich auf Plattform-Standardeinstellungen zu verlassen. Die meisten E-Mail-Tools aktivieren Tracking automatisch. Wenn Sie Pixel für Kontakte, die keine Tracking-Einwilligung erteilt haben, nicht bewusst deaktiviert haben, protokolliert Ihre Plattform mit ziemlicher Sicherheit Öffnungen ohne Rechtsgrundlage.

Keine Einwilligungsaufzeichnungen. Zu wissen, dass ein Abonnent etwas zugestimmt hat, reicht nicht aus. Sie müssen zeigen können, was ihm mitgeteilt wurde, wozu er zugestimmt hat und wann. Ohne diesen Prüfpfad können Sie Ihre Praktiken nicht verteidigen, wenn eine Beschwerde eingereicht wird. Der Consent Audit Trail kann helfen zu überprüfen, ob Ihre Aufzeichnungen korrekt strukturiert sind, bevor ein Prüfer nachfragt.

Nicht genannte Dritte. Wenn Ihre Plattform Öffnungsdaten an Werbe- oder Analyseanbieter weitergibt, müssen Empfänger dies bereits bei der Anmeldung erfahren, mit ausreichender Spezifität, um zu verstehen, wer ihre Daten erhält. Ein allgemeiner Hinweis auf "vertrauenswürdige Partner" im Kleingedruckten reicht nicht aus.

Was sich tatsächlich ändern muss

Dies ist keine Situation, in der die Aktualisierung einer Datenschutzerklärung die Lücke schließt. Die Änderungen sind operativer Natur.

Anmeldeformulare müssen Tracking-Zwecke klar darstellen und vor dem Versand jeder getrackten E-Mail eine spezifische, zweckbezogene Einwilligung einholen. E-Mail-Vorlagen benötigen einen Tracking-Opt-Out-Link, der unabhängig von der Abmeldung funktioniert. E-Mail-Plattformeinstellungen müssen überprüft werden, damit Pixel für Kontakte ohne Einwilligung unterdrückt werden. Einwilligungsaufzeichnungen müssen gespeichert, mit Abonnentenprofilen verknüpft und für Prüfungen abrufbar sein.

Die Infrastrukturänderungen sind echte Arbeit, aber überschaubare Arbeit. Das Risiko, sie nicht vorzunehmen – eine Durchsetzungsmaßnahme oder eine Beschwerde, die eine vollständige Prüfung auslöst –, ist deutlich störender.

Wie die UniConsent CMP hilft

UniConsent übernimmt die Einwilligung, die die Empfehlung der CNIL verlangt. Die UniConsent-Oberfläche kann Tracking-Zwecke im gestuften Format darstellen, das die Behörde beschreibt, für jeden Zweck separate Einwilligung einholen und zeitgestempelte Aufzeichnungen in einem zentralen Speicher ablegen, der mit Ihrer E-Mail-Plattform und Ihrem CRM verbunden ist.

Über UniConsent

UniConsent ist Teil der datenschutzorientierten User Experience Platform von Transfon, die täglich zig Millionen Nutzer bedient, um sowohl Nutzern als auch Verlagen im Zeitalter nach der DSGVO ein reibungsloses Datenschutzerlebnis zu bieten. Kontaktieren Sie uns für weitere Informationen: hello@uniconsent.com