CNIL-E-Mail-Pixel-FAQ-Analyse: Links nicht direkt im Geltungsbereich

Die Click-Map in einer E-Mail-Plattform wirkt harmlos, bis eine Aufsichtsbehörde fragt, was genau der Klick über eine Person verraten hat. Geöffnet, geklickt, gesurft, bewertet, zu einem Segment hinzugefügt und dann erneut angesprochen: So wird aus der Gewohnheit, mit einem Ein-Pixel-Messpunkt zu messen, ein Profil. Die FAQ der CNIL vom 22. Juli 2026 landet in dieser vertrauten Compliance-Zone: Tracking-Links sind Non, pas directement von der Empfehlung zu E-Mail-Pixeln erfasst, aber die Antwort ist enger, als es Wachstums-Dashboards gerne hätten. Das ist wichtig, denn die praktische Frage lautet nicht, ob ein Link wie ein Pixel aussieht. Sie lautet, ob der E-Mail-Analytics-Stack Informationen liest oder schreibt, eine Empfängerin oder einen Empfänger identifiziert und das Ereignis dann für Zustellbarkeit, Reichweitenmessung, Personalisierung oder etwas Ambitionierteres nutzt. Das Recht lässt sich selten von UI-Bezeichnungen beeindrucken.

Was die Empfehlung tatsächlich abdeckt

Die CNIL-eigene Empfehlung zu Tracking-Pixeln in E-Mails beschreibt das Problem anhand unsichtbarer Pixel, die in E-Mails eingefügt werden und laut CNIL für Zustellbarkeit, Reichweitenmessung und Personalisierung verwendet werden. Die CNIL weist außerdem darauf hin, dass E-Mail ein persönlicher Raum zum Abrufen privater Inhalte ist, der nach Authentifizierung zugänglich ist. Das ist eine höfliche Art zu sagen, dass der Posteingang keine öffentliche Plakatwand ist.

Die Empfehlung verweist auf die Leitlinien 2/2023 des Europäischen Datenschutzausschusses zum technischen Anwendungsbereich von Artikel 5 Absatz 3 der ePrivacy-Richtlinie, wie er in Artikel 82 des französischen Datenschutzgesetzes umgesetzt wurde. Für Entwicklerteams ist Artikel 82 kein Schlagwort. Er bedeutet, dass das Produktteam wissen muss, wann seine E-Mail-Instrumentierung vom Endgerät einer Nutzerin oder eines Nutzers liest oder darauf schreibt, welchem Zweck dieser Vorgang dient und ob das daraus entstehende Ereignis wieder mit einer identifizierbaren Person verknüpft wird.

Ein Pixel, das nur zum Testen der Zustellbarkeit verwendet wird, ist nicht dieselbe Produktfunktion wie ein Pixel, das einen individuellen Interessen-Score speist. Wenn diese beiden Nutzungen dieselbe Ereignistabelle teilen, ist Ihr Dokumentationsproblem schon vom Flur aus sichtbar.

Die Antwort zu Links ist eng, nicht freigiebig

Die FAQ-Antwort der CNIL zu Tracking-Links wirkt kontraintuitiv, weil sie sagt, dass die Pixel-Empfehlung sie nicht direkt abdeckt. Das ist der Non, pas directement-Teil, und er ist durchaus bedeutsam. Ein getrackter Link ist kein unsichtbares Bild, das in einer E-Mail geladen wird, daher ist der Gegenstand der Empfehlung nicht automatisch derselbe Gegenstand.

Aber die FAQ verweist Teams auch zurück auf dieselben Grundsätze zur Bewertung der Compliance. Das ist der Teil, der das erste begeisterte Sales-Meeting wahrscheinlich überstehen wird. Wenn eine Link-Weiterleitung Empfänger, Kampagne, Zeitstempel, Geräteinformationen und nachgelagertes Verhalten erfasst, hat das Produkt trotzdem eine Analytics-Spur rund um E-Mail-Interaktion erstellt.

Die sauberere Umsetzung besteht darin, Link-Routing, das für grundlegende E-Mail-Abläufe nötig ist, von Link-Tracking zu trennen, das für Messung, Scoring oder Personalisierung verwendet wird. Verträge mit Anbietern sollten Kontrollen auf Zweckebene, klare Ereignisfelder, Aufbewahrungseinstellungen und eine Möglichkeit verlangen, den Empfängerstatus zu berücksichtigen, von dem Ihre Rechtsgrundlage abhängt.

Frankreich ist nicht Italien, und genau darum geht es

Die vergleichende Analyse von Lewis Silkin zu CNIL und der italienischen Garante ist nützlich, weil sie zwischen rechtlichem Charakter und praktischem Risiko unterscheidet. Laut Lewis Silkin haben die Leitlinien der Garante regulatorische Wirkung und setzen eine verbindliche Compliance-Frist, während die Empfehlung der CNIL ausdrücklich weder regulatorisch noch abschließend ist. Dieselbe Analyse sagt, dass die CNIL signalisiert hat, dass Durchsetzungsmaßnahmen folgen werden, wobei eine Übergangsphase erwartet wird, während die CNIL professionellen Stakeholdern Orientierung bietet, einschließlich Webinaren.

Mailjet beschreibt ebenfalls, dass Frankreich und Italien neue Empfehlungen für E-Mails veröffentlicht haben, die von und an Personen in diesen Ländern gesendet werden, und zwar nach öffentlichen Konsultationen. Das ist die operative Herausforderung. Ein einziges E-Mail-Produkt muss möglicherweise mehrere länderspezifische Positionen unterstützen, ohne so zu tun, als gäbe es für eine EU-weite Kontaktliste eine einheitliche Analytics-Regel.

Wenn Ihr Datenmodell einzelne Öffnungs- oder Klickanalysen auf Individualebene nicht nach Geografie und Zweck abschalten kann, wird das Policy-Team irgendwann feststellen, dass die Produktarchitektur ohne es abgestimmt hat.

Was E-Mail-Analytics-Teams jetzt ändern sollten

Inside Privacy berichtete, dass die CNIL ihre Empfehlung am 14. April 2026 veröffentlicht hat. Damit haben Teams ein konkretes Dokument, an dem sie ihre eigenen Systeme abgleichen können. Beginnen Sie mit dem Ereignisinventar, nicht mit dem Text des Consent-Banners.

Identifizieren Sie für jedes E-Mail-Ereignis, ob es aus einem Pixel-Load, einer Link-Weiterleitung oder einem anderen Mechanismus stammt. Erfassen Sie dann den Zweck, die gespeicherten Felder, die Aufbewahrungsfrist und ob das Ereignis auf individueller oder aggregierter Ebene genutzt wird. Die daraus folgende Produktentscheidung ist meist weniger dramatisch als das interne Memo.

Machen Sie Tracking-Funktionen zu zweckbasierten Schaltern, vermeiden Sie es, Zustellbarkeitsdiagnostik mit Personalisierungsanalysen zu bündeln, und sorgen Sie dafür, dass aggregiertes Reporting wirklich aggregiert ist und nicht nur eine dünne Hülle über Logs auf Nutzerebene. Wenn die Antwort des Anbieters lautet: „Wir begrüßen Klarheit von den Aufsichtsbehörden“, fragen Sie nach dem Datenflussdiagramm, dem Konfigurationsbildschirm und dem Löschverhalten. Deren Anwälte geraten vielleicht in Panik, aber Ihr Release-Zug braucht trotzdem Tickets.

Das Nächste, worauf man achten sollte, ist kein Slogan über datenschutzfreundliche Analytics. Entscheidend ist, ob die von der CNIL angekündigte Orientierung für Stakeholder und die spätere Durchsetzung Link-Tracking in der Praxis als engen Verwandten von Pixeln behandeln. E-Mail-Teams, die jetzt auf Zwecktrennung setzen, werden weniger refaktorisieren müssen, wenn die Aufsichtsbehörde aufhört zu erklären und anfängt, Nachweise anzufordern.