# CNIL: wann E-Mail-Tracking-Pixel eine Einwilligung brauchen

Kanonische URL: https://brew.new/de/blog/cnil-tracking-pixel-rules-email
Autor: Philip Sørensen
Veröffentlicht: 2026-10-06
Aktualisiert: 2026-10-06

Die Empfehlung der CNIL zu Tracking-Pixeln in E-Mails ist Frankreichs offizielle Auslegung dafür, wie die Einwilligungsregeln für das unsichtbare Bild gelten, das einem Absender verrät, dass du eine Nachricht geöffnet hast. Ein Öffnungspixel liest Informationen vom Gerät des Empfängers. Deshalb braucht es eine vorherige Einwilligung, es sei denn, es fällt unter eine von zwei engen Ausnahmen. Die CNIL hat die Empfehlung am 12. März 2026 als Beschluss Nr. 2026-042 angenommen, am 14. April 2026 im Journal Officiel veröffentlicht und am 22. Juli 2026 um eine FAQ mit 27 Fragen ergänzt.

Wenn dein ESP in jede E-Mail ein Pixel einbaut, wie es die meisten tun, und dein Anmeldeformular das nirgends erwähnt, ist jeder Empfänger in Frankreich ein Problem, egal wo dein Unternehmen sitzt. Die Zitate aus der Empfehlung sind unsere Übersetzungen; die CNIL bietet eine unverbindliche [englische Fassung](https://www.cnil.fr/sites/default/files/2026-05/recommandation_tracking_pixels_emails.pdf) des [französischen Originals](https://www.cnil.fr/sites/default/files/2026-04/recommandation-pixels_de_suivi.pdf) an. Auch Zitate aus der FAQ und den Webinaren haben wir selbst übersetzt.

Das ist keine Rechtsberatung. Die Empfehlung bezeichnet sich selbst als „weder verbindlich noch abschließend“. Lass dein Setup deshalb anwaltlich prüfen.

## Das Wichtigste in Kürze

- Wer Öffnungen nutzt, um Kampagnen zu optimieren, Profile zu bilden oder Betrug zu erkennen, braucht vorher eine Einwilligung.
- Zwei Nutzungen sind ausgenommen: die Absicherung der Authentifizierung und Zustellbarkeits-Pixel in angeforderten E-Mails, die nur das Datum der letzten Öffnung speichern, um E-Mails an inaktive Empfänger zu drosseln oder zu stoppen. E-Mails auf Basis des Soft-Opt-in und Warenkorbabbrecher-E-Mails fallen nicht darunter.
- Kontakte, die vor dem 14. April 2026 erhoben wurden, mussten bis zum 14. Juli informiert werden und widersprechen können. Ist das nicht geschehen, brauchst du jetzt ihre Einwilligung.
- Frag die Einwilligung für Pixel in dem Formular, in dem du die Adresse erfasst, als eigene Option ab, und setz in jeden Footer einen Link zum Widerruf.
- Für Tracking-Links gilt dieselbe Prüfung nach Artikel 82; entscheidend ist der Zweck.

## Woher die Regel kommt

Nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie ([konsolidierte Fassung](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02002L0058-20091219)) ist es „nur“ gestattet, Informationen auf dem Endgerät eines Nutzers zu speichern oder dort auszulesen, wenn der Nutzer „seine Einwilligung gegeben hat“ – es sei denn, der Zugriff dient der Übertragung einer Nachricht oder ist „unbedingt erforderlich“ für einen Dienst, den der Nutzer ausdrücklich gewünscht hat. Frankreich hat das mit [Artikel 82 des französischen Datenschutzgesetzes (Loi Informatique et Libertés)](https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes#article82) umgesetzt, auf dem auch die Cookie-Verfahren der CNIL beruhen.

In seinen [Leitlinien 2/2023](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en) (Version 2.0, angenommen am 7. Oktober 2024) hielt der Europäische Datenschutzausschuss (EDPB) bereits fest: Die Hinzufügung von Tracking-Informationen zu URLs oder Bildern „stellt eine Anweisung an das Endgerät dar, die gezielten Informationen […] zurückzusenden“. Was danach mit den Daten geschieht, regelt die DSGVO, einschließlich des Nachweises der Einwilligung nach Artikel 7 Absatz 1.

| Datum | Was geschah |
|---|---|
| 12. Juni bis 24. Juli 2025 | [Öffentliche Konsultation](https://www.cnil.fr/fr/consultation-publique-projet-recommandation-pixels-de-suivi) zum Entwurf |
| 12. März 2026 | Die CNIL nimmt den Beschluss Nr. 2026-042 an |
| 14. April 2026 | [Veröffentlichung](https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels) im Journal Officiel. Gilt ab sofort für neue Adressen |
| 28. Mai und 4. Juni 2026 | Webinare für Absender und E-Mail-Anbieter |
| 14. Juli 2026 | Frist zur Information bestehender Kontakte endet |
| 22. Juli 2026 | [FAQ veröffentlicht](https://www.cnil.fr/fr/faq-recommandation-pixels-courriers-electroniques) |

Der [Entwurf vom Juni 2025](https://www.cnil.fr/sites/default/files/2025-06/projet_de_recommandation_pixels_de_suivi.pdf) nahm nur eine globale Öffnungsrate aus und empfahl identische Pixel für alle Empfänger. Der finale Text ist milder: Unter strengen Bedingungen nimmt er auch die individuelle Messung der Zustellbarkeit aus.

## Was unter die Empfehlung fällt

Die Empfehlung beschreibt ein Tracking-Pixel als extern gehostetes Bild, dessen URL „meist individualisierte Parameter enthält, die sich auf den Nutzer oder den Kontext beziehen“. Beim Laden gehen die ID des Pixels, die IP-Adresse und ähnliche Daten an denjenigen, der es platziert hat. Genau das regelt Artikel 82.

- **Jede E-Mail**, auch an Kunden, Interessenten und deine eigenen Mitarbeitenden unter ihren beruflichen Adressen (FAQ, Frage 3).
- **Jeder Absender**, dessen Pixel Menschen in Frankreich tracken, ob mit Sitz in der EU oder nicht (FAQ, Frage 2). Der One-Stop-Shop-Mechanismus gilt für Prüfungen nach Artikel 82 nicht.
- **Alle Beteiligten.** Der Absender ist der Verantwortliche. Der ESP ist normalerweise Auftragsverarbeiter oder, wenn er Pixeldaten für eigene Zwecke nutzt und der Vertrag das vorsieht, gemeinsam Verantwortlicher.

Gesicherte Nachrichtenpostfächer, wie Banken sie anbieten, laufen über andere Protokolle und sind ausgenommen.

## Welche Pixel-Nutzungen eine Einwilligung brauchen

Abschnitt 3.1 nennt vier:

1. „Die Analyse der Öffnungsrate von E-Mails, um die Performance von Kampagnen zu messen und zu optimieren, indem der Inhalt der Nachrichten personalisiert oder die Versandhäufigkeit oder der Kommunikationskanal angepasst wird.“ Dazu gehört auch, Werbebetrug aus der Messung herauszufiltern.
2. „Die Erstellung von Profilen der Empfänger“, um sie auf Websites, in Apps oder über andere Kanäle gezielt anzusprechen.
3. „Die Erkennung und Analyse von Betrugsverdachtsfällen, etwa die Identifizierung ungewöhnlicher oder massenhafter Öffnungen von E-Mails.“
4. Die individuelle Messung von Öffnungen für die Zustellbarkeit, wenn sie nicht unter die Ausnahme aus Abschnitt 3.2 fällt.

Punkt 1 ist der entscheidende. Versandzeiten auf Basis von Öffnungen, Segmente wie „in den letzten 30 Tagen geöffnet“ und Verzweigungen in Automatisierungen, die von Öffnungen abhängen, brauchen alle eine Einwilligung.

Die Erlaubnis zum Versand klärt die Frage nicht. Laut Abschnitt 4.2 kann die Einwilligung für Pixel „auch für E-Mails nötig sein, die grundsätzlich keine Einwilligung der Empfänger erfordern“. Als Beispiele nennt die CNIL Bestellbestätigungen, Marketing auf Basis des Soft-Opt-in, Spendenaufrufe und B2B-Akquise.

## Die zwei Ausnahmen

![Eine Entscheidungstabelle, die zeigt, welche Nutzungen von Tracking-Pixeln in E-Mails nach der Empfehlung der CNIL eine Einwilligung brauchen, aufgeschlüsselt nach E-Mail-Typ und Zweck.](/images/blog/cnil-tracking-pixel-rules-email-decision-table.png)

*Was eine Einwilligung braucht, nach E-Mail-Typ und Zweck des Pixels, laut der Empfehlung der CNIL und der FAQ vom Juli 2026.*

### Absicherung der Authentifizierung

Ein Pixel, das ausschließlich der Absicherung einer Authentifizierung dient, kann ausgenommen sein, etwa wenn du prüfst, ob eine E-Mail mit einem Login-Code auf dem bekannten Gerät des Nutzers geöffnet wurde. Laut Frage 13 der FAQ gehören auch Passwort-Resets dazu. Allgemeine Betrugsprävention, Bot-Erkennung und der Schutz von Werbeinventar fallen nicht darunter.

### Zustellbarkeit

Auf diese Ausnahme werden sich die meisten Absender stützen. Alle vier Bedingungen müssen erfüllt sein.

1. **Die Person hat die E-Mail oder den zugrunde liegenden Dienst angefordert.** Die Empfehlung nennt Willkommens-E-Mails, Kontohinweise, Versandbenachrichtigungen, Bestellbestätigungen, Rechnungen, Passwort-Resets, Antworten des Supports, Terminerinnerungen, Zahlungsbenachrichtigungen und Meldungen zu Datenpannen. Eine Bestellbestätigung mit Werbung zählt nicht mehr dazu (FAQ, Frage 16).
2. **Die Daten dienen nur der Listenbereinigung,** beschränkt auf das, was nötig ist, „um die Häufigkeit anzupassen oder den Versand von E-Mails an sogenannte ‚inaktive‘ Empfänger einzustellen“. Ebenfalls erlaubt sind ein Wechsel des Kanals und der Nachweis, dass eine gesetzlich vorgeschriebene Mitteilung zugestellt wurde.
3. **Du speicherst nur das Datum der letzten Öffnung.** Grundsätzlich „nur das Datum (auf den Tag genau und ohne Uhrzeit) der letzten bekannten Öffnung“, das bei jeder Öffnung überschrieben wird. Laut Frage 7 der FAQ verlierst du die Ausnahme, wenn du IP-Adresse oder User-Agent erfasst, selbst wenn du sie kurz danach anonymisierst.
4. **Du handelst danach.** Frage 8 der FAQ erwartet, dass Absender bei Nicht-Öffnern den Versand stoppen, drosseln oder den Kanal wechseln und das dokumentieren, zum Beispiel den Anteil der Kontakte, die wegen Inaktivität entfernt wurden.

Ein Newsletter, für den sich jemand angemeldet hat, gilt als angefordert, sein Zustellbarkeits-Pixel kann also ausgenommen sein. Marketing, das unter die Soft-Opt-in-Ausnahme nach Artikel L34-5 des französischen Post- und Telekommunikationsgesetzbuchs fällt ([Leitfaden der CNIL](https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique)), gilt dagegen nicht als angefordert; sein Pixel braucht eine Einwilligung (FAQ, Fragen 15 und 17). Warenkorbabbrecher-E-Mails sind werblich und brauchen ebenfalls eine Einwilligung.

### Aggregierte Öffnungsraten

Laut Frage 18 der FAQ entfällt die Einwilligungspflicht nicht, nur weil du ausschließlich aggregierte Daten erhebst, denn Artikel 82 gilt unabhängig davon, ob „die betreffenden Daten personenbezogen sind oder nicht“. Laut Frage 6 dürfen rechtmäßig erhobene Daten, also aus einem ausgenommenen Pixel oder einem Pixel mit Einwilligung, ohne weitere Einwilligung zu einer Öffnungsrate pro Kampagne anonymisiert werden.

Ein ausgenommenes Pixel liefert dir also weiterhin eine Öffnungsrate pro Kampagne, aber keine Öffnungszeiten, keine Gerätedaten und keine Segmente. Ein Pixel darf ausgenommenen Zwecken und Zwecken mit Einwilligung zugleich dienen (Frage 10), aber nicht ungenutzt mitlaufen, bis eine Einwilligung vorliegt.

## Wie die Einwilligung eingeholt werden muss

**Frag in dem Formular, in dem du die Adresse erfasst,** mit einer kurzen Bezeichnung des Zwecks, einer knappen Beschreibung und einem Link zu den Details. Zeig, welche Adresse betroffen ist und dass das Tracking jedes Gerät umfasst.

**Orientiere dich an der Formulierung der CNIL.** Ihr Muster für die Messung von Kampagnen (unsere Übersetzung): „[Absender] und [Drittunternehmen] verwenden Tracker (Tracking-Pixel), um zu erfahren, ob du die E-Mails öffnest und zu welcher Uhrzeit du das tust, und um Informationen über das von dir genutzte Gerät zu erhalten, damit sie den Inhalt der Nachrichten personalisieren und die Versandhäufigkeit oder den genutzten Kanal anpassen können.“

**Frag pro Zweck.** „Alle akzeptieren“ ist in Ordnung, wenn eine zweite Ansicht jeden Zweck einzeln anbietet. Eng verknüpfte Zwecke, etwa bei einem Newsletter, der ausdrücklich als personalisiert angeboten wird, können sich eine Einwilligung teilen.

**Frag später nur in einer E-Mail ohne einwilligungspflichtiges Pixel nach,** mit einem Link auf eine Seite, die eine aktive Handlung verlangt, damit E-Mail-Programme, die Inhalte vorab laden, nicht versehentlich einwilligen. Schweigen bedeutet Nein, Ablehnen muss so einfach sein wie Zustimmen, und vor einer erneuten Anfrage 6 Monate zu warten, ist nach den Worten der CNIL „eine gute Praxis“.

**Bau den Widerruf in jeden Footer ein,** als empfängerspezifischen Link, bei dem niemand seine Adresse eintippen muss. Eine gemeinsame Seite für Pixel und Abmeldung ist in Ordnung, solange sie keine zusätzlichen Schritte einfügt. Ignoriere danach Aufrufe alter Pixel und lösche Daten, deren einzige Rechtsgrundlage die Einwilligung war.

**Bewahre Nachweise pro Person auf.** Dokumentiere jede Einwilligung und wie du sie erhalten hast. Eine Vertragsklausel, nach der ein Partner sie eingeholt hat, ist kein Nachweis.

## Der Übergang bis zum 14. Juli

Für Adressen, die seit dem 14. April 2026 erhoben wurden, gelten die vollen Regeln. Bei älteren Adressen durften die Pixel bleiben, wenn die Absender die Empfänger informiert und ihnen innerhalb von 3 Monaten, also bis zum 14. Juli 2026, die Möglichkeit zum Widerspruch gegeben hatten. Frage 25 der FAQ erlaubt eine „angemessene“ Verlängerung nur, wenn ein hohes Versandvolumen nachweislich zeitlich gestaffelt wurde. Die Folien aus den Webinaren akzeptieren eine eigene E-Mail mit Versandnachweis oder einen gut sichtbaren Hinweis in einer regulären E-Mail.

- **Hinweis verschickt, kein Widerspruch.** Darauf kannst du dich verlassen, bis sich die Bedingungen ändern. Wenn du ohnehin eine neue Einwilligung brauchst, etwa für neue Partner, hol dabei auch die Einwilligung für Pixel ein (FAQ, Frage 27).
- **Hinweis verschickt, Widerspruch eingelegt.** Füg den E-Mails an diese Person keine Pixel mehr hinzu. Laut den Folien dürfen Daten, die vor der Veröffentlichung erhoben wurden, bleiben.
- **Kein Hinweis verschickt.** Laut Frage 26 der FAQ ist jetzt eine Einwilligung erforderlich. Ohne sie musst du auf diese Pixel verzichten.

## Das Risiko von Sanktionen

Laut der Empfehlung „erhält die CNIL eine wachsende Zahl von Meldungen und Beschwerden“ zu Pixeln, und sie will das bei künftigen Kontrollen prüfen. Pixel gehören nicht zu ihren [Schwerpunktthemen für 2026](https://www.cnil.fr/fr/controles-prioritaires-2026), aber das ist ein schwacher Trost. Von ihren mehreren Hundert Kontrollen pro Jahr, ausgelöst durch Beschwerden, Meldungen, frühere Abhilfemaßnahmen oder Medienberichte, gehen nur etwa 20 % auf die Schwerpunktthemen zurück.

Artikel 20 des französischen Gesetzes begrenzt Bußgelder auf 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; bei bestimmten Verstößen gegen die DSGVO liegt die Grenze bei 20 Millionen Euro oder 4 %. Am 1. September 2025 [verhängte die CNIL gegen Google ein Bußgeld von 325 Millionen Euro](https://www.cnil.fr/fr/publicites-inserees-entre-les-courriels-et-cookies-la-cnil-sanctionne-google-dune-amende-de-325), wegen Werbung zwischen den Nachrichten in Gmail und wegen der Cookie-Einwilligung bei der Kontoerstellung. Im November 2025 [verhängte sie gegen American Express ein Bußgeld von 1,5 Millionen Euro](https://www.cnil.fr/en/cookies-american-express-fined-eu15-million-cnil), unter anderem, weil das Unternehmen „zuvor gesetzte Cookies trotz des Widerrufs der Einwilligung weiter ausgelesen“ hatte. Ein altes Pixel, das nach dem Widerruf weiter Öffnungen protokolliert, ist derselbe Verstoß. Einfachere Fälle laufen über ein [vereinfachtes Verfahren](https://www.cnil.fr/fr/la-procedure-de-sanction-simplifiee) mit einer Obergrenze von 20.000 Euro, bei mehr als 50 Millionen Euro Umsatz von 100.000 Euro.

## Was du ändern solltest

Wenn du Menschen in Frankreich anschreibst, würden wir in dieser Reihenfolge vorgehen:

1. **Liste die Pixel nach Versandstrom auf** (transaktional, abonnierter Newsletter, Soft-Opt-in, B2B-Akquise, Warenkorb-Erinnerungen, Rückgewinnung), einschließlich Werbe-, Umfrage- und Analyse-Pixeln.
2. **Ordne jede Nutzung in die Entscheidungstabelle ein.** Öffnungen, die in Segmente, Versandzeit-Modelle oder Berichte einfließen, brauchen eine Einwilligung.
3. **Füg jedem Formular, das Adressen erfasst, ein nicht vorausgewähltes Kästchen für die Pixel-Einwilligung hinzu,** und speichere die Antwort, den Zeitstempel, die Formularversion und den genauen Wortlaut.
4. **Speichere die Pixel-Einwilligung als eigenes Kontaktfeld,** getrennt vom Abo-Status.
5. **Verzichte bei Kontakten ohne Einwilligung auf das Pixel.** Wenn das nicht geht, nutze ein Zustellbarkeits-Tracking, das die Bedingungen der Ausnahme erfüllt, oder schalte das Öffnungs-Tracking für diese Zielgruppe ab.
6. **Miss mit Daten, die du nutzen darfst.** Ausgenommene Daten zur letzten Öffnung können Regeln zum Aussortieren steuern. Bewerte die Performance anhand von Conversions, Umsatz, Antworten und Abmeldungen ([Kennzahlen, die belastbar sind](/de/blog/email-metrics-that-matter)).
7. **Füg den Widerrufslink im Footer hinzu** und stell sicher, dass alte Pixel nach einem Widerruf nichts mehr erfassen.

### Klicks

Tracking-Links sind „nicht direkt“ erfasst, aber laut Frage 1 der FAQ müssen auch sie Artikel 82 erfüllen. Klicks sind ohnehin die besseren Daten, denn Apples [Mail Privacy Protection](https://support.apple.com/guide/iphone/use-mail-privacy-protection-iphf084865c7/ios) („Mail-Aktivität schützen“) verhindert bereits, „dass Absender sehen, ob du die E-Mail geöffnet hast“. Der EDPB wendet Artikel 5 Absatz 3 auf Tracking-Links an, und laut den Folien der CNIL „hängt [die Einwilligung] vom Zweck ab und nicht von der Technologie“. Unsere Lesart, nicht die der CNIL: Ein empfängerspezifischer Tracking-Link, mit dem du Kampagnen optimierst, wird wie ein Pixel behandelt. UTM-Parameter, die für alle Empfänger gleich sind, identifizieren niemanden, und Conversions auf deiner Website fallen unter die Cookie-Einwilligung der Website.

## So funktioniert das heute in Brew

Brew misst Öffnungen mit einem 1x1-Pixel und Klicks mit Links, die pro Empfänger gekennzeichnet sind ([Dokumentation zu den wichtigsten Kennzahlen](https://docs.brew.new/analytics/key-metrics-and-terms)).

- **Die Einwilligung liegt beim Kontakt.** Jeder Kontakt kann einen Datensatz zur Marketing-Einwilligung mit Quelle, Erfassungszeitpunkt, Version der Datenschutzerklärung und Nachweis haben. Leg bei der Anmeldung ein Feld `pixelConsent` an und [filtere Zielgruppen danach](https://docs.brew.new/audience/create-audiences).
- **Alte Pixel werden beim Import entfernt.** Brew macht die Öffnungspixel der bisherigen Plattform in importiertem HTML unschädlich.
- **Der Widerruf ist ein Klick.** Jede Marketing-E-Mail enthält einen signierten Abmeldelink, der für jeden Empfänger eindeutig ist.
- **Intelligent Send wählt für jede Person die Versandstunde** anhand der letzten Öffnungen und Klicks ([so funktioniert es](https://docs.brew.new/create-emails/send-options#intelligent-send)). Das ist Optimierung im Sinne von Abschnitt 3.1, setz es also nur bei Kontakten mit Einwilligung ein.
- **Das Tracking ist bei jedem Versand aktiv.** Einen Schalter für das Pixel pro Versand, pro Kontakt oder pro Domain gibt es noch nicht. Filtere Empfänger mit Wohnsitz in Frankreich, die keine Pixel-Einwilligung gegeben haben, deshalb vorerst aus diesen Versänden heraus, und sag uns Bescheid, wenn du den Schalter brauchst.

Eine kürzere Zusammenfassung der FAQ findest du in unserem [State of Email für September](/de/blog/state-of-email-september-2026).

## Häufig gestellte Fragen

### Brauche ich in Frankreich eine Einwilligung für das Tracking von E-Mail-Öffnungen?

Für die meisten Marketing-Zwecke ja. Ausgenommen sind nur Pixel zur Absicherung der Authentifizierung und eng begrenzte Zustellbarkeits-Pixel in angeforderten E-Mails.

### Gilt die Pixel-Regel der CNIL auch für Unternehmen außerhalb Frankreichs?

Ja, wenn du Menschen in Frankreich trackst, egal ob dein Unternehmen anderswo in der EU oder außerhalb der EU sitzt. Der One-Stop-Shop-Mechanismus gilt für Prüfungen nach Artikel 82 nicht.

### Sind Transaktions-E-Mails von der Einwilligungspflicht für Pixel ausgenommen?

Nur für die Zustellbarkeit, wenn das Pixel ausschließlich das Datum der letzten Öffnung speichert, um E-Mails an inaktive Empfänger zu stoppen oder zu drosseln. Analysen oder Personalisierung brauchen eine Einwilligung, und wer Werbung hinzufügt, verliert die Ausnahme.

### Darf ich ohne Einwilligung eine aggregierte Öffnungsrate ausweisen?

Ja, wenn die Daten aus einem ausgenommenen Pixel oder einem Pixel mit Einwilligung stammen und du sie wirksam anonymisierst. Wer nur aggregierte Daten erhebt, ist dadurch nicht von der Einwilligungspflicht befreit, denn Artikel 82 erfasst auch nicht personenbezogene Daten.

### Erfasst die Empfehlung der CNIL auch Klick-Tracking?

Nicht direkt. Laut CNIL fallen Tracking-Links trotzdem unter Artikel 82 und werden nach ihrem Zweck beurteilt. Einen eindeutigen Widerrufslink im Footer behandelt die Empfehlung als ausgenommene Sicherheitsmaßnahme.