CNIL-Strafe gegen Fnac Darty: Empfehlungs-Telemetrie als Cookies

Das Einwilligungsbanner in einer Shopping-App ist nicht zur Dekoration da, auch wenn viele Produktteams es wie eine Art juristische Zimmerpflanze behandelt haben. Im Fall Fnac Darty sagt die CNIL, dass Nutzerinnen und Nutzer einem Tracker nicht zugestimmt hatten, der dennoch den Browserverlauf für Produktempfehlungen und das Training von Algorithmen sammelte. Das ist der nützliche Teil der Sanktion und der Teil, auf den Leto.legals trackerfokussierte Einordnung hinweist: Empfehlungs-Telemetrie kann für eine Aufsichtsbehörde wie Cookie-Tracking aussehen, selbst wenn sie innerhalb einer mobilen App stattfindet.

Dies ist keine Geschichte darüber, ob Cookies reguliert sind. Diese Frage wurde längst beantwortet, meist durch ein Banner, das es schafft, alle gleichermaßen zu nerven. Die deutlichere Lehre ist: Verhaltenssignale, die für Empfehlungen und Modellverbesserungen genutzt werden, sind nicht auf magische Weise Betriebsdaten, nur weil das ML-Team sie gerne so hätte. Wenn die App aufzeichnet, was jemand angesehen hat, und dies nutzt, um zu personalisieren, was als Nächstes erscheint, beginnt die Einwilligungsanalyse, bevor das SDK ausgeliefert wird.

Was die CNIL tatsächlich sanktioniert hat

Nach Angaben der CNIL verhängte sie am 22. Oktober 2026 gegen FNAC DARTY PARTICIPATIONS ET SERVICES und FNAC DIRECT eine Geldbuße von 7 Millionen Euro, weil sie die französischen Regeln zu Cookies und Tracking-Geräten nicht eingehalten hatten. NOYB sagt, die Geldbuße sei auf eine 2023 eingereichte Beschwerde zurückgegangen, und die CNIL sagt, sie habe die mobile App der Unternehmen im März 2024 geprüft. Die CNIL teilte die Strafe auf: 6 Millionen Euro für FNAC DARTY PARTICIPATIONS und 1 Million Euro für FNAC DIRECT.

@title Von der Beschwerde zur Geldbuße
@source Cookies and mobile application
@source noyb win

  2023 ····· NOYB complaint
  March 2024 ····· CNIL inspection
  22 October 2026 ····· CNIL fine

@caption Der Durchsetzungsweg führte von einer NOYB-Beschwerde über eine CNIL-Prüfung bis zur Sanktion.

Die Beschreibung der CNIL ist wichtig, weil sie den Zweck genau benennt. Die Behörde sagt, der Tracker habe den Browserverlauf der Nutzerinnen und Nutzer gesammelt, um Produktempfehlungen anzuzeigen und den Empfehlungsalgorithmus zu trainieren. In der Sprache der Aufsichtsbehörden ist das kein Hintergrundrauschen aus einer App-Sitzung. Es ist Datenerhebung für Personalisierung und Modellverbesserung, also genau die Art von Zweck, bei der ein Consent-Manager weniger dekorativ wirken sollte.

Warum Empfehlungsdaten das Compliance-Problem sind

Die CNIL stellte fest, dass die mobile App ohne Einwilligung der Nutzerinnen und Nutzer einen Tracker verwendete und dass dieser Tracker personalisierte Produkte auf Grundlage des Browserverlaufs ermöglichte, so die Mitteilung der Behörde. Die Beispiele der CNIL sind gewöhnliche Mechaniken im Einzelhandel: ähnliche Produkte, ergänzende Produkte und Empfehlungen, die daraus abgeleitet werden, was die Nutzerin oder der Nutzer angesehen hatte. Gewöhnlich ist nicht dasselbe wie ausgenommen. Das Recht langweilt sich nicht einfach, nur weil die Funktion auf jeder Commerce-Roadmap steht.

NOYBs Darstellung ergänzt die Dimension von Dritten und sagt, die Apps hätten beim Öffnen auf personenbezogene Daten zugegriffen und diese zu Analysezwecken mit Dritten geteilt. Das bedeutet nicht, dass jedes Empfehlungssystem rechtswidrig ist, und LinkedIn wird auch ohne diese Behauptung überleben. Es bedeutet aber, dass Entwicklerinnen und Entwickler aufhören sollten, Empfehlungs-Telemetrie als private Engineering-Kategorie zu behandeln, und sie stattdessen als verfolgten Verarbeitungszweck behandeln sollten. Wenn eine Ablehnung von Tracking den Ereignisstrom nicht stoppt, der die Personalisierung speist, ist der Einwilligungsbutton Theater.

Die klaren Pflichten für Entwicklerinnen und Entwickler

Die praktische Lesart der CNIL-Mitteilung ist einfach genug, um in ein Product Requirements Document zu passen. Daher gibt es wenig Entschuldigung dafür, sie erst am Ende in der Rechtsprüfung zu verstecken. Wenn der Browserverlauf gesammelt wird, um Empfehlungen zu personalisieren, halten Sie diesen Zweck ausdrücklich fest und entscheiden Sie, ob vor Beginn der Erhebung eine Einwilligung erforderlich ist. Wenn dieselben Daten den Empfehlungsalgorithmus trainieren, behandeln Sie das Training als eigene Nutzung, die offengelegt und gesteuert werden muss, nicht als Fußnote innerhalb von Analytics. Wenn ein Dritter die Daten erhält, muss die Anbieterprüfung den Tracker, die Zwecke und das, was passiert, wenn eine Nutzerin oder ein Nutzer die Einwilligung verweigert, abdecken.

Die CNIL sagt außerdem, dass den Unternehmen ein tägliches Zwangsgeld von 10.000 Euro für jeden Tag der Verzögerung droht, falls sie der in der Sanktionsmitteilung beschriebenen Anordnung nicht nachkommen. Das ist der Durchsetzungshaken, den Produktteams beachten sollten. Eine Aufsichtsbehörde hat sich nicht bloß darüber beschwert, dass der Bannertext unordentlich war. Sie beanstandete, dass die App weiterhin einen Tracker für browsingbasierte Empfehlungen und Training verwendete, nachdem Nutzerinnen und Nutzer nicht eingewilligt hatten.

Was das für Produkt- und ML-Teams bedeutet

Nach Angaben von NOYB ist Fnac Darty über Frankreich hinaus aktiv, unter anderem in Spanien, Italien, Portugal, Belgien und der Schweiz. Diese geografische Reichweite erinnert daran, dass Tracking-Entscheidungen in mobilen Apps bei grenzüberschreitend tätigen Gruppen selten lokal bleiben. Eine einmal entwickelte Empfehlungsfunktion kann in mehreren Märkten zu einem Einwilligungsproblem werden, wenn der Datenfluss ohne länderspezifische Prüfung wiederverwendet wird. Entwicklerinnen und Entwickler müssen die unspektakuläre Arbeit leisten: Ereignisse, Zwecke, Empfänger, Einwilligungszustände und Nutzungen für das Modelltraining vor dem Launch erfassen.

Die zukunftsgerichtete Aufgabe besteht nicht darin, Personalisierung zu löschen. Sie besteht darin, Empfehlungs-Telemetrie langweilig gut steuerbar zu machen: keine Erhebung, bevor der Einwilligungsstatus bekannt ist, kein unter Analytics versteckter Trainingszweck und kein Anbieter-Endpunkt, der nach einer Ablehnung weiterhin Browserverläufe erhält. Beobachten Sie, ob die CNIL und andere europäische Aufsichtsbehörden dieselbe Argumentation auf weitere appbasierte Personalisierungssysteme anwenden. Wenn sie das tun, wird die Compliance-Grenze für Empfehlungsmaschinen weniger durch die Modellarchitektur gezogen als durch die schlichte Frage, die jede Datenschutzanwältin und jeder Datenschutzanwalt zuerst stellt: Welche Daten sind geflossen, warum und mit wessen Erlaubnis?