Tracking-Pixel, EU-Regulierungsbehörden und Sie: die Lage, nüchtern betrachtet 

Erstveröffentlichung von Mailgun.

Müssen Sie das E-Mail-Tracking in der EU überdenken? 

Nicht in dieser Woche. Aber es sollte auf Ihrer Roadmap stehen und nicht nur auf Ihrer „Irgendwann“-Liste. 

Im März und April 2026 veröffentlichten Regulierungsbehörden in Frankreich (CNIL) und Italien (die Garante) Richtlinien zur Verwendung von Tracking-Pixeln in E-Mails. Dies sind keine neuen Gesetze. Es sind Klarstellungen bestehender Regeln, in erster Linie der ePrivacy Richtlinie (demselben Rahmenwerk, das auch Cookie-Einwilligungs-Bannern zugrunde liegt), zusammen mit der DSGVO, die Anwendung auf Tracking-Pixel in E-Mails finden. 

Die Nachricht lautet nicht einfach „Stoppen Sie das Tracking.“. Sie lautet: Rechtfertigen Sie das Tracking, schränken Sie es ein und holen Sie in vielen Fällen eine Einwilligung dafür ein. 

Sowohl die CNIL als auch die Garante gehen von derselben Prämisse aus: Tracking-Pixel greifen auf Informationen vom Gerät eines Nutzers zu und diese Aktivität fällt unter die ePrivacy Regeln. Dies bedeutet, dass eine Einwilligung erforderlich ist, sofern keine spezifische Ausnahme greift. 

Wenn das vertraut klingt, sollte es das auch. E-Mail holt nur auf, wo Web-Tracking schon seit Jahren ist. Die Party ist schon eine Weile im Gange. Die E-Mail trifft modisch, wenn auch widerwillig, verspätet ein. 

Beide Regulierungsbehörden erkennen an, was die Branche als „Ausnahme für die Zustellbarkeit“ bezeichnet hat. Obwohl dies kein formeller juristischer Begriff ist, erkennen beide Aufsichtsbehörden an, dass bestimmte begrenzte, zweckgebundene Verwendungen des Öffnungs-Trackings unter die ePrivacy Ausnahmen fallen. 

Die CNIL erlaubt das Öffnungs-Tracking auf individueller Ebene ohne Einwilligung, aber nur für eng begrenzte Zwecke der Zustellbarkeit:  

• Identifizierung inaktiver Empfänger 

• Verwaltung von Sperrlisten 

• Bereinigung von Datenbanken 

Die Einschränkungen sind real: Speichern Sie nur minimale Daten (Datum der letzten Öffnung, nicht die vollständige Engagement-Historie), verwenden Sie diese nicht für Marketing oder Analysen um, und wenden Sie sie nur auf E-Mails an, die der Empfänger angefragt oder in deren Erhalt er eingewilligt hat. 

Die Garante nimmt eine deutlich andere Position ein. Die einwilligungsfreie Ausnahme ist im Allgemeinen beschränkt auf aggregierte, anonymisierte Statistiken; ein gemeinsames Pixel pro Kampagne, kein Tracking pro Empfänger, wobei IP-Adressen und technische Kennungen anonymisiert sind. Das Öffnungs-Tracking auf individueller Ebene erfordert in der Regel eine Einwilligung, außerhalb spezifischer Sicherheits- und Authentifizierungs Anwendungs fällen. 

Die meisten gängigen ESP-Tracking-Modelle (einschließlich unseres) generieren standardmäßig Öffnungsereignisse pro Empfänger. Diese Architektur erfüllt die Zustellbarkeits ausnahme der CNIL, wenn der Absender angemessene Daten minimierung, Zweck bindung und Speicherkontrollen implementiert. Ob die Ausnahme Anwendung findet in einem bestimmten Fall, hängt davon ab, wie die Daten verwendet sowie wie sie erfasst werden.  

Das Tracking von Öffnungsereignissen pro Empfänger erfüllt jedoch nicht die Anforderungen der Garante ohne wesentlichere Änderungen. 

Wenn Ihre Analysen von individuellen Engagement-Signalen abhängen, befinden Sie sich in Italien im Bereich der Einwilligung. 

1. Die Einwilligung zum Senden einer E-Mail ist nicht dasselbe wie die Einwilligung zum Tracking. 

Dies ist der Punkt, der die Leute überrascht, daher erhält er einen eigenen Abschnitt. 

Sie können über eine gültige rechtliche Grundlage verfügen, um Marketing-E-Mails, Transaktions-E-Mails und sogar routinemäßige Servicenachrichten zu versenden, und benötigen dennoch eine separate Einwilligung zur Verwendung von Tracking-Pixeln darin. Ja, sogar bei Transaktions-E-Mails. Die Anforderung der Einwilligung gilt für das Pixel, nicht für die Nachricht, in der es enthalten ist. 

Die CNIL ist diesbezüglich ausdrücklich: Eine Einwilligung für das Tracking kann erforderlich sein, auch wenn die E-Mail selbst keine Einwilligung erfordert. In einigen Fällen können diese in einer einzigen, klar beschriebenen Anfrage gebündelt werden, aber die Standardannahme „Sie haben sich angemeldet, also können wir sie tracken“ ist nicht sicher. 

2. Ein Vertrag allein stellt noch keinen Beweis für die Einwilligung dar. 

Wenn Ihre Liste gemietete Kontakte, von Partnern stammende Adressen, Affiliate-Leads oder importierte Daten von irgendwo außerhalb Ihrer eigenen Anmeldeabläufe enthält, ist dies für Sie wichtig. 

Die CNIL verlangt, dass die Einwilligung für jeden einzelnen Empfänger nachweisbar ist; wer hat eingewilligt, wann und unter welchen Bedingungen. Eine Vertragsklausel, die besagt, dass ein Partner in Ihrem Namen eine Einwilligung eingeholt hat, ist ein wichtiger Teil Ihrer Verantwortlichkeit, aber es reicht allein nicht aus. Wenn Sie keinen Beweis erbringen, dass jeder einzelne spezifische Empfänger tatsächlich eine informierte Einwilligung erteilt hat, haben Sie diese nicht. Dies ist ein Gespräch mit Ihrem Rechtsteam wert, insbesondere wenn Ihre Liste gemischte Ursprünge hat. Es würde auch nicht schaden, sicherzustellen, dass Sie die Nutzungsrichtlinie Ihres ESP einhalten, da diese Leads möglicherweise von vornherein gegen deren Regeln verstoßen. 

Beide Regulierungsbehörden sagen, dass der Widerruf der Einwilligung einfach sein muss, auch für E-Mails, die sich bereits im Posteingang von jemandem befinden. 

Hier ist, was das tatsächlich bedeutet. Ein Nutzer widerruft heute seine Einwilligung. Morgen öffnet er eine E-Mail, die Sie vor drei Monaten gesendet haben. Das Pixel wird geladen. Die Erwartung ist, dass Sie dies nicht als identifizierbares Öffnungsereignis protokollieren. Wie streng dies in der Praxis durchgesetzt wird, bleibt abzuwarten, aber der Widerruf der Einwilligung sollte in Kraft treten, wenn der Nutzer ihn anfordert, einschließlich für zuvor gesendete E-Mails. 

Dies erfordert, dass Ihr Pixel-Endpunkt den Einwilligungsstatus dynamisch im Moment jeder Öffnung prüft und sein Verhalten entsprechend anpasst; er protokolliert das Ereignis für einwilligende Empfänger und protokolliert es nicht für diejenigen, die widerrufen haben. Das Bild wird so oder so immer noch geladen, aber Ihr Tracking-Verhalten muss sich ändern. 

Sie können dies nicht mit einem Schalter in Ihrer Versandplattform ändern. Es ist eine einwilligungsorientierte Pixel-Infrastruktur, und die meisten E-Mail-Systeme (einschließlich unseres und fast jedem ESP auf dem Markt) wurden anfangs nicht so aufgebaut. Die Lücke zwischen der aktuellen Architektur und den Implikationen dieser Richtlinie ist real, und sie zu schließen ist keine kleine Aufgabe. 

Die Ausnahme für die Zustellbarkeit, selbst in Frankreichs eher freizügiger Form, geht davon aus, dass Öffnungsdaten ein nützliches Signal zur Identifizierung inaktiver Empfänger sind. Aber das Öffnungs-Tracking ist seit Jahren verunreinigt. 

Apple Mail Privacy Protection (unter anderem) lädt Bilder im Voraus und generiert Öffnungen, die möglicherweise nichts damit zu tun haben, dass ein Mensch eine E-Mail liest. Security-Gateways scannen Nachrichten und lösen automatisch Ladevorgänge von Pixeln aus. Spamfilter und Bots generieren Aktivitäten, bevor ein Empfänger die Nachricht jemals in seinem Posteingang sieht. 

Dies führt zu einer echten Spannung in der Richtlinie. Die Regulierungsbehörden sagen, dass Sie Öffnungen verwenden können, um inaktive Nutzer ohne Einwilligung auszuschließen, aber Öffnungen sind zunehmend keine menschlichen Signale. Und die Techniken, die erforderlich sind, um nicht-menschliche Aktivitäten zu filtern, können ihrerseits die Art der Verarbeitung auf individueller Ebene erfordern, die eine Einwilligung benötigt. 

Es ist ein wahrer Teufelskreis, Sie benötigen sauberere Daten, um die Vorschriften einzuhalten, aber die Bereinigung der Daten erfordert möglicherweise eine Einwilligung. Die Regulierungsbehörden haben dies noch nicht vollständig geklärt, und diese Lücke ist von Bedeutung. Wir beobachten dies genau. 

Nicht nutzlos, aber weniger zuverlässig und wahrscheinlich weniger zuverlässig, als Sie es gerne hätten. 

Wenn das Öffnungs-Tracking an eine Einwilligung gebunden ist, werden Sie nur Daten von Empfängern sehen, die sich für das Tracking entschieden haben. Diese Gruppe wird wahrscheinlich klein und selbstselektierend sein, verzerrt zugunsten Ihrer engagiertesten Abonnenten, was sie statistisch unzuverlässig macht, um Rückschlüsse auf Ihre breitere Zielgruppe zu ziehen. Legen Sie maschinengenerierte Öffnungen darüber und Sie erhalten Metriken, die gleichzeitig verzerrt und aufgebläht sind. 

In der Praxis wirkt sich dies auf öffnungsbasierte Automatisierungen, Re-Engagement-Abläufe, Tests der Betreffzeile, Segmentierung, Personalisierungslogik und das Engagement-Scoring aus. Nichts davon wird über Nacht zusammenbrechen. Aber wenn Ihr Programm stark auf Öffnungsdaten setzt, lohnt es sich zu überprüfen, welche Entscheidungen sich verschlechtern würden, wenn dieses Signal enger und verrauschter würde, als es ohnehin schon ist. 

Es mag sich anfühlen, als würde etwas Neues weggenommen. In Wirklichkeit ist es eine Beschleunigung von etwas, das bereits im Gange ist. Öffnungen wurden bereits unzuverlässig. Jetzt werden sie selektiv und unzuverlässig. Die Programme, die dies am wenigsten spüren werden, sind diejenigen, die ohnehin auf Klicks, Konversionen, Antworten und explizite Aktionen der Nutzer ausgerichtet sind. 

Möglicherweise! Und mit der Zeit vielleicht für die gesamte EU. 

Die französischen und italienischen Rahmenbedingungen sind nicht gleich, und ein an der CNIL ausgerichteter Ansatz erfüllt möglicherweise nicht die italienischen Anforderungen. Für Absender mit einer nennenswerten Zielgruppenkonzentration in beiden Märkten stellt eine identische Behandlung ein echtes Risiko dar. 

Für viele Absender ist der sauberste Weg die Ausrichtung an den strengeren Standard für den gesamten EU-Versand. Es reduziert die Fragmentierung, verringert das Risiko, zwischen zwei beweglichen Zielen gefangen zu werden, und positioniert Sie ziemlich gut, falls andere EU-Regulierungsbehörden ähnliche Richtlinien veröffentlichen, was, da sich sowohl die CNIL als auch die Garante auf denselben EDSA-Rahmen stützen, eine einigermaßen sichere Vorhersage ist. 

Dieser Blog konzentriert sich auf die jüngsten Richtlinien von CNIL und Garante, aber in anderen Gerichtsbarkeiten gelten ähnliche Prinzipien. In Großbritannien schreiben PECR- und ICO-Richtlinien vergleichbare Anforderungen für cookieähnliche Technologien vor, einschließlich Tracking-Pixeln. Absender mit Zielgruppen in Kanada, den USA oder anderen Märkten sollten auch ihre Verpflichtungen gemäß CASL, CAN-SPAM und neuen staatlichen Datenschutzgesetzen berücksichtigen. Der Trend zu mehr Transparenz und Einwilligung beim digitalen Tracking ist nicht auf die EU beschränkt. 

Als Ihre Versandplattform fungieren Sinch Mailgun und Mailjet als Datenverarbeiter. Im Rahmenwerk der CNIL sind wir der „E-Mail-Dienstanbieter“. Sie, der Absender, sind der Datenverantwortliche. 

Das bedeutet, dass die Verpflichtung, die Einwilligung des Empfängers einzuholen, zu speichern und nachzuweisen, bei Ihnen liegt, nicht weil wir die Verantwortung abschieben, sondern weil Sie die Beziehung zum Empfänger haben. Sie wissen, was in Ihrem Anmeldeformular stand. Sie wissen, woher diese Adressen stammen. Wir nicht. 

Was wir tun können: flexible Kontrollen auf Ebene des Kontos, Unterkontos und API-Schlüssels bereitstellen, dokumentieren, wie unsere Systeme funktionieren, und unsere Plattform weiterentwickeln, während sich dieser Bereich entwickelt. Unsere Rechts-, Produkt- und Zustellbarkeits-Teams überwachen aktiv die zu diesem Thema herausgegebenen Richtlinien, und wir werden klar kommunizieren, bevor wir Änderungen am Plattformverhalten vornehmen. 

Was wir nicht tun können: wissen, ob Ihre Empfänger dem Tracking zugestimmt haben, es sei denn, Sie teilen es uns mit. Jedes zukünftige einwilligungsorientierte Verhalten auf Plattformebene hängt davon ab, dass dieses Signal von Ihnen kommt. Das ist keine Plattformbeschränkung, die wir umgehen können, sondern eine strukturelle Realität, wie die DSGVO und ePrivacy Verantwortlichkeiten zuweisen. Ebenso liegt die Entscheidung, ob das Tracking für den von Ihnen gesendeten E-Mail-Verkehr aktiviert oder deaktiviert wird, bei Ihnen.  

Dies ist der Moment, sich zu organisieren, anstatt reaktiv zu handeln. 

Überprüfen Sie Ihre Nutzung von Öffnungsdaten. Bilden Sie ab, wo Öffnungen in Ihre Systeme einfließen, einschließlich Automatisierungs-Trigger, Analysen-Dashboards, Segmentierung, Personalisierung und Zustellbarkeits entscheidungen. Verstehen Sie, was sich verschlechtern würde, wenn dieses Signal an eine Einwilligung gebunden oder sogar enger würde. 

Überprüfen Sie Ihre Einwilligungsabläufe und Datenschutz-Dokumentation. Erwähnen die Anmeldeformulare das Tracking? Beschreibt Ihre Datenschutzerklärung es klar? Die CNIL empfiehlt, dass die Einwilligung für das Pixel-Tracking nach Möglichkeit bei der Erfassung der E-Mail-Adresse eingeholt wird. 

Sehen Sie sich an, woher Ihre Liste stammt. Fragen Sie sich bei jeder Adresse, die nicht über Ihre eigenen Formulare und Abläufe eingegangen ist, z. B. gemietet, co-registriert oder von Partnern bereitgestellt, ob Sie die individuelle Einwilligung nachweisen können. Ein Vertrag allein reicht nicht wirklich aus. (Und wie immer müssen Sie auch die Richtlinien, auch einhalten) 

Ermitteln Sie Ihre EU-Präsenz. Frankreich und Italien haben die unmittelbarsten Abonnements zur Durchsetzung. Wenn Sie nennenswerte Sendungen in einen der beiden Märkte haben, haben diese für Sie Priorität. 

Entscheiden Sie, ob Sie das Tracking aktivieren oder deaktivieren möchten. Die Deaktivierung des gesamten Öffnungs-Trackings kann betriebliche Probleme verursachen, ohne Ihre Compliance-Positionierung zu verbessern – der einzige Weg, dies herauszufinden, besteht darin, Ihre Nutzung der Informationen zu untersuchen. Verstehen Sie zuerst das Gesamtbild dessen, was die jüngsten Richtlinien für Sie bedeuten, und handeln Sie dann. 

Dies ist nicht das vollständige Ende des E-Mail-Trackings, aber es ist ein Zeichen dafür, dass die E-Mail sich in dasselbe Modell bewegt, nach dem das Web-Tracking seit Jahren erfolgreich funktioniert: klarerer Zweck, mehr Transparenz, mehr Kontrolle durch den Nutzer. 

Der Unterschied ist das Timing. Das Web-Tracking musste im Nachhinein auf Vorschriften reagieren. E-Mail darf sich vorbereiten, und das ist eine wirklich bessere Position. 

Dieser Wandel war bereits im Gange. Zwischen Apple MPP, Security-Scans und dem sich wandelnden Verhalten im Posteingang verloren Öffnungsraten bereits lange vor dem Eingreifen einer Regulierungsbehörde an Zuverlässigkeit. Diese Richtlinie macht es offiziell: Die Zukunft des E-Mail-Engagements liegt in bewussten Signalen, nicht in passiven. Klicks. Konversionen. Antworten. Aktionen, die etwas bedeuten, wenn sie passieren. 

Es gibt heute keine Durchsetzungs-Kampagnen, aber die Richtung ist klar: Die Kluft zwischen der aktuellen Funktionsweise des E-Mail-Trackings und den Erwartungen der Regulierungsbehörden ist real, und das Schließen dieser Kluft wird Zeit, Koordination und ein gewisses architektonisches Umdenken erfordern. 

Die gute Nachricht ist, dass Sie es kommen sehen können. 

Das ist eine viel bessere Position, als es im Nachhinein herauszufinden. 

Autor: Alison Gootee Deliverability Specialist at Sinch Mailgun