Die französische CNIL hat am 18. Dezember 2025 eine abschließende Empfehlung verabschiedet und diese am 18. Januar 2026 im Amtsblatt veröffentlicht. Damit sind neue Regeln in Kraft getreten, die fundamentale Änderungen für das E-Mail-Tracking mit sich bringen. Die CNIL startete im Juni 2025 eine öffentliche Konsultation zu Tracking-Pixeln in E-Mails und verlangt potenziell explizite Zustimmung selbst für einfaches Open-Tracking. Für jeden Marketer und Growth Manager, der auf Open-Raten als Schlüsselmetrik angewiesen ist, bedeutet dies eine grundlegende Verschiebung bei der Erfassung und Nutzung von Engagement-Daten.
Die Doppelte Consent-Anforderung ändert alles
Die CNIL schreibt vor, dass Nutzer zwei unabhängige Zustimmungen geben müssen: eine für den Erhalt von Marketing-E-Mails und eine separate, eigenständige Zustimmung speziell für Tracking-Pixel. Das ist keine untergeordnete behördliche Feinheit. Es bedeutet, dass eine Zustimmung in einer einzigen Checkbox mit dem Label "Ich akzeptiere Marketing-E-Mails" nicht mehr die Nutzung von Tracking-Pixeln abdeckt.
Die Doppelt-Consent-Anforderung zwingt Organisationen, zwei separate Genehmigungen einzuholen: Zustimmung zum E-Mail-Erhalt gemäß Artikel 13 der ePrivacy-Richtlinie und separate Zustimmung für Tracking gemäß Artikel 5.3, derselben Bestimmung, die auch Cookies reguliert. Diese Unterscheidung macht die verbreitete Praxis ungültig, Tracking-Consent in Newsletter-Anmeldungen zu bundeln. Eine Checkbox mit "Ich akzeptiere Marketing-E-Mails" deckt Tracking-Pixel-Einsatz nicht ab. Jede Aktivität benötigt ein eigenes explizites Opt-in.
Das betrifft E-Mail-Kampagnen-Segmentierung, Personalisierung und Lead-Scoring. Wenn Sie Opens tracken, um Engagement zu messen, Kontakte als aktiv markieren oder die Versendungsfrequenz basierend auf Open-Verhalten anpassen, benötigen Sie jetzt dokumentierte Nachweise separater Zustimmung für dieses Tracking.
Was ist mit rückwirkender Consent-Widerrufung?
Einer der technisch anspruchsvollsten Aspekte betrifft Widerrufsrechte. Abmelde- und Consent-Widerruf-Links müssen unmittelbare rückwirkende Geltung haben, selbst für bereits versendete Nachrichten. Diese Anforderung stellt besondere Implementierungsherausforderungen dar, da Organisationen technische Infrastruktur entwickeln müssen, die Pixel-Aktivierung verhindert, selbst wenn Nutzer nach Consent-Widerruf früher erhaltene E-Mails erneut öffnen.
Das bedeutet, Ihr E-Mail-Tracking-System kann Daten nicht einfach speichern und archivieren. Stattdessen müssen Sie Pixel-Aktivierung stoppen, wenn ein Nutzer Tracking-Consent widerruft, auch bei E-Mails, die vor dem Widerruf versendet wurden. Klassische Tracking-Pixel sind statisch: einmal in eine E-Mail eingebettet, funktionieren sie immer gleich. Die neuen Regeln erfordern faktisch dynamische Tracking-Systeme, die den Consent-Status im Moment des Pixel-Ladens prüfen, nicht nur beim Versand.
Ausnahmen sind enger als erhofft
Die CNIL erlaubt zwar Tracking ohne explizite Zustimmung, aber nur unter bestimmten Bedingungen. Ausnahmen gelten möglicherweise für Pixel rein zu technischen Zwecken (Sicherheit, Authentifizierung) oder für aggregierte, anonymisierte Messungen von Open-Raten. Allerdings erfordern individualisierte Identifikation von E-Mail-Öffnungen, Zielgruppensegmentierung nach Öffnungsverhalten oder Personalisierung basierend auf individuellen Interaktionen explizite Zustimmung. Allerdings benötigt die Messung aggregierter Open-Raten auf Kampagnen- oder Domänen-Ebene keine zusätzliche Zustimmung.
Diese Unterscheidung ist wichtig für Deliverability-Teams. Sie können individuelle Open-Daten nicht zur Identifikation inaktiver Segmente nutzen, selbst nicht für operative Zwecke.
B2B ist die größte Unbekannte
Der B2B-Sektor wird am stärksten betroffen sein, da er nun unter die Consent-Anforderung fällt, während kommerzielle B2B-E-Mails generell noch unter das Opt-out-System fallen. Viele B2B-Marketer haben Workflows um Open-Tracking ohne explizite Zustimmung aufgebaut, gestützt auf Soft-Opt-in-Regelungen für Business-E-Mails. Dieser Schutz gilt unter der CNIL-Regelung nicht mehr für Tracking-Pixel.
Compliance-Durchsetzung und praktische Schritte
Die CNIL wird bei anfänglicher Durchsetzung wahrscheinlich kulant sein und erst Verwarnungen erteilen, bevor Bußgelder folgen. Aber Organisationen haben faktisch bis Januar 2026 Zeit, compliant zu werden. Nach diesem Datum wird Durchsetzung deutlich wahrscheinlicher. Da dieses Datum bereits verstrichen ist, ist Compliance nicht mehr optional.
Die CNIL betonte auf ihrer EMDay 2025 Konferenz, dass Organisationen nicht auf abschließende Empfehlungen warten sollten. Die rechtliche Verpflichtung zur Consent-Erfassung für E-Mail-Tracking besteht seit GDPR-Implementierung 2018.
Was Marketer und Growth Teams jetzt tun sollten
Beginnen Sie mit einem Audit, welche Daten Sie tatsächlich tracken und welche Marketing-Entscheidungen davon abhängen. Organisationen müssen Nutzer-Consent bei behördlichen Prüfungen jederzeit nachweisen können, mit detaillierten Dokumentationen wann Consent erfasst wurde, für welches Tracking-Tracking er galt und wie der Consent-Mechanismus präsentiert wurde.
Aktualisieren Sie Ihre Signup-Flows, um separate Consent-Erfassung für Tracking zu implementieren. Überarbeiten Sie Automation-Workflows, die auf individuellen Open-Daten basieren, um entweder nur mit consent-versehenen Segmenten zu arbeiten oder auf anonymisierte Aggregate-Metriken auszuweichen. Für existierende Kontaktdatenbanken ohne dokumentiertes Tracking-Consent haben Sie zwei Optionen: Tracking dieser Kontakte stoppen oder die Praxis völlig einstellen, außer Sie können Consent nachweisen.
Das regulatorische Umfeld verschiebt sich überall in der EU, und Frankreichs CNIL setzt das Tempo. Was fünf Jahre lang Standard-Praxis war, ist jetzt Compliance-Risiko. Organisationen, die früh zu separaten Consent-Mechanismen und consent-bewussten Tracking-Systemen übergehen, haben Zeit, Workflows und Messaging anzupassen, bevor Durchsetzung intensiviert wird.
