CNIL verhängt 7 Millionen Euro gegen Fnac Darty: App-Tracking trotz Ablehnung

Wenn Ihre Website oder App Surfdaten an einen Empfehlungs-, Personalisierungs- oder Analysedienst sendet, muss dieser Aufruf stoppen, sobald ein Nutzer die Einwilligung ablehnt. Die CNIL hat im Oktober 2026 ein Bußgeld von 7 Millionen Euro gegen Fnac Darty verhängt, weil die Fnac-App Nutzerkennungen und angesehene Produkte weiter an einen externen Empfehlungsdienst schickte, nachdem Nutzer auf „Continuer sans accepter“ (Weiter ohne Zustimmung) geklickt hatten. Die Entscheidung bestätigt außerdem, dass personalisierte Empfehlungen und das Training von Algorithmen eine vorherige Einwilligung brauchen und dass ein Tracker mit mehreren Zwecken nicht ausgenommen sein kann, wenn auch nur einer davon eine Einwilligung erfordert.

Mit UniConsent verbinden Sie Tags und Apps über die API mit dem Einwilligungsstatus: Tags laden aus dem Callback der Consent Ready API, und App-SDKs starten erst, wenn das UniConsent-SDK eine Zustimmung meldet. Vor der Einwilligung wird nichts gesendet.

CNIL verhängt 7 Millionen Euro gegen Fnac Darty: App-Tracking trotz Ablehnung

Was die CNIL festgestellt hat

noyb reichte die Beschwerde im September 2023 ein. Die CNIL prüfte die Fnac-App am 6. März 2024. Ihr Sanktionsausschuss (formation restreinte) erließ die Entscheidung (SAN-2026-015) am 22. Oktober 2026 und veröffentlichte sie am 29. Oktober 2026.

Während der Nutzung der App gingen über eine API Anfragen an eine Drittanbieter-Domain. Jede Anfrage enthielt eine von Fnac vergebene Nutzerkennung und Angaben zur Aktivität, etwa angesehene Produkte. Die Daten dienten dazu, personalisierte Produkte, ergänzende Artikel (Zubehör, Verbrauchsmaterial, Services) und ähnliche Produkte anzuzeigen und den Empfehlungsalgorithmus zu trainieren. Die Anfragen wurden auch dann gesendet, wenn Nutzer im Consent-Banner auf „Continuer sans accepter“ geklickt hatten. Die CNIL wertete diese Missachtung der Ablehnung als erschwerenden Umstand, ebenso die große Zahl der App-Nutzer.

Das Bußgeld verteilt sich auf zwei Konzerngesellschaften: 6 Millionen Euro für Fnac Darty Participations et Services und 1 Million Euro für Fnac Direct, die Website und App betreibt. Beide müssen innerhalb eines Monats nachweisen, dass ihr Tool die Einwilligung einholt, wo sie erforderlich ist, sonst drohen 10.000 Euro Zwangsgeld pro Tag Verzug.

Warum Empfehlungen und Algorithmustraining eine Einwilligung brauchen

Fnac Darty argumentierte, die Vorgänge hätten Nutzern bei der Navigation in der App geholfen, indem sie die Produktdarstellung filterten, und diese Navigationshilfe sei für das Durchsuchen des Katalogs unbedingt erforderlich.

Die CNIL wies das zurück. Artikel 82 des französischen Datenschutzgesetzes (Loi Informatique et Libertés) nimmt nur Tracker aus, die die elektronische Kommunikation ermöglichen oder für einen vom Nutzer ausdrücklich angeforderten Dienst unbedingt erforderlich sind. Personalisierte Empfehlungen, Vorschläge für ergänzende Produkte und Algorithmustraining sind beides nicht. Sie dienen der Personalisierung und dem kommerziellen Targeting und brauchen deshalb eine vorherige Einwilligung.

Händler, Publisher und Banken verteidigen Personalisierung oft genauso. Wenn ein Tracker dazu dient, mehr zu verkaufen, behandeln Sie ihn als einwilligungspflichtig.

Die Regel für Tracker mit mehreren Zwecken

Die CNIL räumte ein, dass die Anzeige ähnlicher Produkte theoretisch und je nach Umsetzung als unbedingt erforderlich gelten könnte. Ausgenommen hat sie sie trotzdem nicht, denn diese Funktion lief über denselben einzigen API-Aufruf wie Personalisierung und Algorithmustraining. Die Regel der CNIL: Ein Tracker mit mehreren Zwecken kann nur ausgenommen sein, wenn keiner dieser Zwecke eine Einwilligung erfordert.

Viele Analyse- und Personalisierungs-SDKs bündeln mehrere Funktionen hinter einer einzigen Initialisierung. Einen Zweck im Banner als „notwendig“ auszuweisen, hilft nicht, wenn das SDK eine Anfrage sendet, die auch Targeting oder Modelltraining speist. Trennen Sie entweder den Aufruf, sodass der ausgenommene Teil allein läuft, oder behandeln Sie das gesamte SDK als einwilligungspflichtig.

So prüfen Sie Ihr eigenes Setup

Lehnen Sie die Einwilligung in Ihrer App oder auf Ihrer Website ab und beobachten Sie dann den Netzwerkverkehr. Gehen weiterhin Anfragen an externe Empfehlungs-, Analyse- oder Werbedienste raus, haben Sie das Problem, das die CNIL bei Fnac gefunden hat. Jede Aufsichtsbehörde mit einem Testgerät und einem Netzwerk-Proxy kann dieselbe Prüfung durchführen.

Prüfen Sie, dass die Einwilligung bestätigt ist, bevor das SDK oder der Tag startet, und nicht erst übergeben wird, nachdem er schon geladen und Daten gesendet hat. Prüfen Sie gebündelte SDKs Zweck für Zweck: Braucht ein Zweck eine Einwilligung, gilt das für den ganzen Aufruf. Und prüfen Sie, dass Ihre Einwilligungsnachweise zu Ihren Netzwerkprotokollen passen.

Wie UniConsent den Datenaufruf stoppt

Ein Banner, das nur eine Auswahl speichert, kann nicht verhindern, was bei Fnac passiert ist. Der Datenaufruf selbst muss auf die Einwilligung warten.

Im Web laden Sie jeden Tag und jedes Pixel aus dem Callback der Consent Ready API, der auslöst, sobald der Besucher seine Auswahl getroffen hat. Ein Tag, dessen Zweck abgelehnt wurde, wird nie geladen, also wird auch keine Anfrage gesendet.

In Apps liefern die UniConsent-SDKs für iOS, Android und plattformübergreifende Frameworks Ihrem Code die Auswahl des Nutzers pro Zweck und Vendor. Ein Drittanbieter-SDK starten Sie erst, wenn diese Auswahl es erlaubt. Siehe UniConsent für mobile Apps.

Jede Auswahl wird mit Zeitstempel im Consent Audit Trail gespeichert, sodass Sie einer Behörde zeigen können, dass Ihre Einwilligungsnachweise zu Ihrer Netzwerkaktivität passen. Der Cookie-Scanner listet die Tracker auf Ihrer Website auf, auch solche, die vor der Einwilligung Cookies setzen.

Starten Sie eine kostenlose Testphase und prüfen Sie, was Ihre Website vor und nach einer Ablehnung sendet. Um zu sehen, was Ihre Seiten schon vor der Einwilligung tun, nutzen Sie den kostenlosen Consent Mode Checker.

Mehr zu Verfahren der CNIL finden Sie in der CNIL-Empfehlung zu Tracking-Pixeln in E-Mails und im Überblick über DSGVO-Bußgelder 2026.

Über UniConsent

UniConsent ist die Consent-Management-Plattform von Transfon. Sie hilft Publishern und Unternehmen, DSGVO, UK GDPR und weltweite Datenschutzvorgaben einzuhalten, bei zig Millionen Nutzersitzungen pro Tag. Bei Fragen zu Consent Management oder DSGVO-Compliance schreiben Sie an hello@uniconsent.com.