Die italienische Datenschutzbehörde hat eine klare Grenzlinie gezogen: Um eines der verbreitetsten, aber am wenigsten transparenten Tools des Email-Marketings wird es künftig eng. Die Garante, Italiens Datenschutzbehörde, hat neue Richtlinien erlassen, die regeln, wie Organisationen Tracking-Pixel in Emails nutzen dürfen. Die am 17. April 2026 verabschiedeten Regeln, von Byte.Legali berichtet am 21. April, verlangen explizite Nutzerzustimmung, bevor ein Tracking-Pixel in einer kommerziellen Email aktiviert wird. Für Marketer, die auf Open-Rate-Daten angewiesen sind, bedeutet dies eine erhebliche operative Umstellung mit strenger Frist.
Was die Garante tatsächlich entschieden hat
Tracking-Pixel sind transparente Bilder, oft nur ein einzelnes Pixel, die in Emails eingebettet und auf Remote-Servern gehostet sind. Wenn ein Empfänger die Nachricht öffnet, lädt sich das Pixel automatisch herunter und ermöglicht dem Absender zu sehen, ob und wann die Email gelesen wurde, wie oft sie geöffnet wurde, von welchem Gerät aus, sowie technische Daten einschließlich der IP-Adresse.
Die Behörde beschreibt diese Technologie als besonders invasiv, vor allem wenn sie ohne volles Bewusstsein des Empfängers eingesetzt wird. Bis jetzt gab es in der italienischen Rechtsprechung keine spezifische Regelung für diese Praxis. Die Garante hat diese Lücke nun mit einem Beschluss gefüllt, der präzise technische und rechtliche Verpflichtungen für alle festlegt, die diese Tools nutzen.
Die Behörde bestätigte, dass Tracking-Pixel unter Artikel 122 des italienischen Datenschutzkodex fallen, der Technologien regelt, die auf Geräteinformationen zugreifen oder Online-Aktivitäten überwachen. In der Praxis bedeutet dies, dass Email-Tracking-Pixel in die gleiche regulatorische Kategorie wie Browser-Cookies fallen und den gleichen Zustimmungsanforderungen unterliegen.
Zustimmung muss vorherig, freiwillig und spezifisch sein
Im Zentrum des Regelwerks steht die klare Erwartung, dass Organisationen vor der Nutzung von Tracking-Pixeln in den meisten Fällen vorherige, informierte Zustimmung einholen müssen. Die Sprache der Garante ist eindeutig: Zustimmung kann nicht diskret in einer Datenschutzerklärung versteckt oder aus dem allgemeinen Opt-in des Abonnenten für Marketing-Emails angenommen werden.
Gute Nachricht für Marketer, die mit Zustimmungsmüdigkeit kämpfen: Die Garante erlaubt eine gewisse Konsolidierung. Die Zustimmung zu Tracking-Pixeln kann in die umfassendere Zustimmung zum Empfang von Werbekommunikation integriert werden, wodurch mehrere redundante Anfragen vermieden werden. Bedingung ist, dass die Anfrage neutral formuliert ist, ohne Druck, und der Abonnent klar darüber informiert wird, dass Tracking involviert ist.
Besonderer Wert wird auf "granulare" Widerrufsmöglichkeit gelegt: Nutzer müssen wählen können, ob sie weiterhin Emails ohne Tracking erhalten oder die Kommunikation ganz beenden möchten, ohne Nachteile oder Serviceeinschränkungen zu befürchten. Dieser Opt-out-Mechanismus muss über einen standardisierten Link oder ein Symbol in der Fußzeile jeder Email erreichbar sein und zu einer dedizierten Einstellungsseite führen.
Wer muss sich an die Regeln halten
Der Geltungsbereich ist weit. Die Richtlinien gelten für Anbieter von Diensten der Informationsgesellschaft, Organisationen, die öffentlich zugängliche Online-Services anbieten, Email-Provider, Massen-Email-Plattformen und generell alle Einrichtungen, die Tracking-Pixel nutzen. Das umfasst ESPs, Newsletter-Betreiber und jedes Unternehmen, das kommerzielle Emails an italienische Einwohner versendet.
Durch eigene Inspektionen der Garante zwischen Oktober 2025 und Februar 2026 wurde festgestellt, dass Tracking-Pixel praktisch in allen digitalen Kommunikationskampagnen vorhanden sind. Dieses Ausmaß bedeutet, dass nur wenige Absender befreit sein werden.
Enge Ausnahmen bleiben bestehen
Die Behörde hat sich gegen ein komplettes Verbot ausgesprochen. Es bleiben begrenzte Ausnahmen für sicherheitsbezogene Nutzungen, streng erforderliche technische Funktionen und bestimmte institutionelle oder Service-Kommunikationen. Selbst in diesen Fällen müssen Organisationen die Grundsätze der Verhältnismäßigkeit und Datensparsamkeit einhalten.
Statistische Nutzung von Pixeln erfordert vollständige Anonymisierung der Daten, um jede individuelle Identifizierung auszuschließen. Wenn deine Open-Rate-Auswertungen aggregiert und nicht identifizierbar sind, können sie außerhalb der Zustimmungsanforderung fallen, aber individuelle Engagement-Tracking-Daten tun dies nicht.
Sechs Monate zur Umsetzung
Die Garante hat eine Übergangsfrist von sechs Monaten ab Veröffentlichung der Richtlinien in der Gazzetta Ufficiale (Italiens Amtsblatt) gesetzt, innerhalb der alle betroffenen Parteien ihre Praktiken anpassen müssen. Die Uhr läuft noch nicht formal, da die Veröffentlichung in der Gazzetta Ufficiale zum Zeitpunkt des Beschlusses noch ausstehend war, aber Teams sollten dies als unmittelbare Priorität behandeln.
Die Garante verlangt die Anwendung von Datenschutz durch Design und durch Standard-Einstellungen, was Datenverantwortliche verpflichtet, Datenschutz von Anfang an in die Systemgestaltung einzubauen. Empfohlene Maßnahmen umfassen die Verwendung anonymer Identifikatoren, die Trennung personenbezogener Daten von Tracking-Systemen und die Begrenzung der Verbreitung erfasster Informationen.
Das ist nicht Italien, das isoliert handelt. Die französische Datenschutzbehörde (CNIL) startete im Juni 2025 eine öffentliche Konsultation zu Tracking-Pixeln in Emails, die möglicherweise auch für einfaches Email-Open-Tracking explizite Zustimmung verlangt. Die Richtung bei europäischen Regulatoren ist konsistent: Email-Tracking auf Einzelebene ohne klare vorherige Zustimmung ist kein Graubereich mehr.
Was Email-Marketer jetzt tun sollten
Für jedes Team, das an italienische Abonnenten versendet oder grenzüberschreitende EU-Kampagnen verwaltet, ist die Compliance-Checkliste eindeutig:
- Überprüfe deine Zustimmungsabläufe. Stelle sicher, dass deine Anmeldeformulare die Nutzung von Tracking-Pixeln explizit offenlegen, nicht nur Email-Marketing allgemein.
- Füge granulare Opt-out-Kontrollen hinzu. Jede Email-Fußzeile benötigt einen Mechanismus, mit dem Abonnenten Tracking deaktivieren können, ohne ihr Abonnement zu verlieren.
- Überprüfe deine ESP-Verträge. Wenn dein Email-Service-Provider Tracking-Pixel zu seinen eigenen Zwecken einsetzt, wie zur Verbesserung der Zustellbarkeit oder Listenqualität, können sowohl du als auch der Provider als gemeinsame Datenverantwortliche eingestuft werden, was gemeinsame Dokumentations- und Offenlegungsverantwortung auslöst.
- Anonymisiere aggregierte Auswertungen. Wenn du nur Campaign-Level-Open-Daten benötigst, spart ein Wechsel zu anonymisierten Aggregaten die Zustimmungsanforderung für diese Verarbeitung.
- Dokumentiere alles. Unter GDPR Artikel 7.1 musst du nachweisen können, dass Nutzer Zustimmung gegeben haben. Systeme sollten einen individuellen Datensatz der Zustimmung jedes Abonnenten zusammen mit den Umständen seiner Erteilung speichern.
Der Beschluss der Garante geht auch mit separaten Durchsetzungsmaßnahmen einher: Die Behörde verhängte gleichzeitig gegen Poste Italiane eine Geldbuße von 6,6 Millionen Euro und gegen Postepay 5,8 Millionen Euro für rechtswidrige Datenverarbeitung. Die Botschaft ist klar. Regulatoren schreiben nicht nur Regeln auf, sie setzen sie durch.
