Aufsichtsbehörden erlassen Leitlinien zur Nutzung von Tracking-Pixel in E-Mails

Tracking-Pixel dürfen nicht ohne die vorherige Einwilligung der Empfänger in E-Mails verwendet werden. Ein mögliches berechtigtes Interesse kommt gerade nicht in Betracht, um den Einsatz von Tracking-Pixel zu legitimieren. Dies liegt nach übereinstimmendem Bekunden europäischer Datenschutzbehörden daran, dass für den Einsatz von Tracking-Pixel nicht die Vorgaben der DSGVO, sondern spezialgesetzliche Anforderungen zu beachten sind.

Die italienische Datenschutzaufsicht (Garante Per La Protezione Die Dati Personali) sowie die französische Datenschutzaufsicht haben kürzlich hilfreiche Leitlinien zum Einsatz von Tracking-Pixel beim Versand von E-Mails (Commission Nationale Informatique & Libertés) veröffentlicht. Der Zusammenschluss der deutschen Datenschutzaufsichtsbehörden (Datenschutzkonferenz) hat bereits im Dezember letzten Jahres im Rahmen einer Pressemitteilung angekündigt, aufgrund zahlreicher Beschwerden dieses Jahr eine eigene Orientierungshilfe für Tracking-Pixel zu erarbeiten.

Wie funktionieren Tracking-Pixel beim E-Mail-Versand?

Tracking-Pixel sind unsichtbare, meist 1x1-Pixel große Bilddateien. Beim Öffnen einer E-Mail wird zum Anzeigen der Bilddatei meist automatisch eine Anfrage an den Server gesendet, auf dem die Bilddatei vorgehalten wird. Der Absender einer E-Mail samt eingebundenem Tracking-Pixel kann technisch dadurch Öffnungszeitpunkt, IP-Adresse, Gerätetyp und Anzahl der Öffnungen erfassen und auswerten. Für den Empfänger erfolgt dieser Prozess „unsichtbar“. Spezielle Kenntnisse sind erforderlich, um einen Verbindungsaufbau zu dem externen Tracking-Server wahrnehmbar zu machen.

Welche praktische Relevanz haben Tracking-Pixel beim E-Mail-Versand?

Tracking-Pixel finden typischerweise Verwendung in Werbemails, Transaktionsmails und Service-Kommunikation mit Kunden. Hauptsächlich erfolgt das Tracking zum Messen von Öffnungsraten von E-Mails und im weiteren Kontext zu Marketingzwecken (vgl. S. 5 der italienischen Leitlinie, S. 2 u. 5 der französischen Leitlinie).

Grundsatz: Einwilligungspflicht

Die italienische und französische Datenschutzaufsicht messen Tracking-Pixel an den Vorgaben der von der EU erlassenen ePrivacy-Richtlinie. In Deutschland ist diese ua in § 25 TDDDG umgesetzt, welcher gemeinhin als „Cookie-Paragraph“ bekannt ist. Ebenso wie beim Einsatz von technisch nicht zwingend erforderlichen Cookies ergibt sich für den Einsatz von Tracking-Pixel grundsätzlich das Erfordernis einer Einwilligung nach den Maßstäben der DSGVO. (vgl. S. 3 f. der italienischen Leitlinie, S. 3 ff. der französischen Leitlinie).

Die erforderliche Einwilligung muss danach informiert erfolgen. Das heißt, dass die Empfänger der E-Mail schon vor Erteilung der Zustimmung transparent über die beabsichtigte Datenverarbeitung gem. Arts. 12, 13 DSGVO informiert werden müssen.

Ausnahme: Einwilligungsfreie Verwendungsmöglichkeiten

Beide Aufsichtsbehörden beschreiben auch, welche Anwendungsfälle ausnahmsweise keiner Einwilligung bedürfen. Nach der italienischen Datenschutzaufsicht sind anonyme statistische Messungen von Öffnungsraten mit dem alleinigen Ziel der Verbesserung der Zustellungsrate von E-Mails erlaubt. Dabei geht es also ausschließlich darum, einen ordnungsgemäßen Versand sicherzustellen und etwa die Einordnung als „Spam“ zu verhindern (vgl. S. 4, 8 f. der italienischen Leitlinie). Die französische Datenschutzaufsicht sieht hingegen nur und sogar individuelle Zustellbarkeitsmessungen als einwilligungsfrei, wenn damit etwa die Bereinigung inaktiver Empfänger aus einem Newsletter verfolgt wird. (vgl. S. 5 der französischen Leitlinie).

Übereinstimmend sehen beide Datenschutzbehörden zudem den Einsatz von Tracking-Pixel, wenn er aus Sicherheitsgründen erforderlich ist. Als Beispiel wird der Einsatz in Authentifizierungsmails angeführt, um ein Gerät wiederzuerkennen (vgl. S. 8 f. der italienischen Leitlinie, S. 5 der französischen Leitlinie).

Umsetzungshinweise der italienischen und französischen Datenschutzaufsicht

Beide Datenschutzaufsichtsbehörden weisen darauf hin, dass eine mögliche Einwilligung zum Tracking per Tracking-Pixel etwa zusammen mit einer Marketingeinwilligung eingeholt werden könne. Zu beachten ist, dass ein granularer Widerruf der Tracking-Einwilligung bei gleichzeitigem Bestand der Marketing-Einwilligung möglich bleiben muss (vgl. S. 10 f. der italienischen Leitlinie, S. 9 f. der französischen Leitlinie).

Unsere Handlungsempfehlung

Wer individuelle Tracking-Pixel in E-Mails verwenden möchte, sollte sicherstellen, dass die erforderliche Einwilligung eingeholt wird. Die Datenschutzinformationen sollten diesbezüglich aktuell gehalten werden und können beispielweise in einer Datenschutzerklärung auf der eigenen Website untergebracht werden. Wo es schon etablierte Prozesse zur Einholung von Marketing-Einwilligungen zB zum Newsletter-Versand gibt, lässt sich die Einwilligungsoption mit überschaubarem Aufwand einbinden.

Ungünstig ist die Ausgangslage sicherlich dann, wenn sich der Werbeversand von E-Mails auf die gesetzlich privilegierte Direktwerbung gegenüber Bestandskunden stützt. In dieser Konstellation darf zwar der E-Mail-Versand ohne Einwilligung erfolgen, allerdings gilt das nicht für die Einbindung des Tracking-Pixels.

Große E-Mail-Provider bzw. deren Clients wie Gmail, Outlook oder Apple Mail haben ohnehin standardmäßig Maßnahmen zum Schutz gegen Tracking-Pixel implementiert. In der Standardkonfiguration von Outlook werden externe Bilder bis zu einer manuellen Aufforderung durch die Empfänger etwa blockiert. Bei Gmail wird die IP-Adresse der Empfänger durch anbietereigene Proxy-Server verschleiert. Auch Apple Mail verschleiert die IP-Adresse. Vor diesem Hintergrund der eingeschränkten Aussagekraft der Daten, die von Tracking-Pixel beim E-Mail-Versand erfasst werden, mag ein Verzicht auf die Verwendung von Tracking-Pixel oder zumindest eine Beschränkung auf einwilligungsfreie Anwendungsfälle sinnvoll erscheinen. Bis die Datenschutzkonferenz eine eigene Orientierungshilfe veröffentlicht hat, ist für deutsche Unternehmen zu großer Vorsicht zu raten.