CNIL: Fragen und Antworten zur Empfehlung über Tracking-Pixel in E-Mails

Hintergrund

Die CNIL (französische Datenschutzbehörde) hat die wichtigsten Fragen von Fachleuten zur Umsetzung ihrer Empfehlung zur Verwendung von Tracking-Pixeln in E-Mails beantwortet. Die Initiative zielt darauf ab, die Anwendung dieser Empfehlung zu klären, die sich zwar auf Pixel konzentriert, aber auch Prinzipien umfasst, die auf andere Tracking-Technologien, wie „liens traçants“ (Tracking-Links), anwendbar sind.
Diese Links, die es ermöglichen, Aktionen (wie Klicks) dem Empfänger der Nachricht zuzuordnen, beinhalten Lese- und/oder Schreibvorgänge auf dem Endgerät des Nutzers. Folglich unterliegen sie zusätzlich zur DSGVO Artikel 82 des französischen Gesetzes „Informatique et Libertés“, wie in den Leitlinien Nr. 02/2023 des Europäischen Datenschutzausschusses (EDSA) festgelegt.
Die Empfehlung gilt für alle Arten von E-Mails, unabhängig vom Absender oder Empfänger (Kunden, Interessenten, Mitarbeiter). Die Notwendigkeit, eine Einwilligung einzuholen, hängt von den spezifischen Zwecken des Trackings ab, mit einigen Ausnahmen für Vorgänge, die für einen vom Nutzer angeforderten Dienst unbedingt erforderlich sind.

Warum es wichtig ist

Diese Klarstellung der CNIL ist für Datenschutzbeauftragte (DPO) und IT-Verantwortliche von grundlegender Bedeutung, da sie die Pflichten bezüglich der Einwilligung für die Verwendung von Tracking-Technologien in E-Mail-Kommunikationen bekräftigt und erweitert. Die Notwendigkeit, eine Einwilligung einzuholen, ist ein Eckpfeiler der DSGVO und der Datenschutzkonformität, und die CNIL verdeutlicht deren Anwendung auch für Tracking-Links, die Lese-/Schreibvorgänge auf dem Endgerät des Nutzers mit sich bringen, im Einklang mit Artikel 82 des französischen Gesetzes und den Leitlinien des EDSA.
Die Erweiterung der Zuständigkeit der CNIL, die auch außerhalb der EU ansässige Akteure kontrollieren und sanktionieren kann, wenn das Tracking Personen auf französischem Territorium betrifft, unterstreicht die Bedeutung einer grenzüberschreitenden Konformität. Für Dienstleister (z. B. E-Mail-Versandplattformen) ergeben sich aus ihrer Qualifizierung als Verantwortliche oder Auftragsverarbeiter spezifische Pflichten (Art. 28 DSGVO), die von ihnen verlangen, Lösungen zu entwickeln, die die Konformität ihrer Kunden erleichtern und somit das Risiko von Sanktionen mindern.

Was zu tun ist

• Die Verwendung von Tracking-Pixeln und Tracking-Links in E-Mails bewerten und feststellen, ob sie für einen vom Nutzer angeforderten Dienst unbedingt erforderlich sind.
• Die ausdrückliche Einwilligung für die Verwendung von nicht unbedingt erforderlichen Tracking-Pixeln und Tracking-Links gemäß der DSGVO einholen.
• Angemessene Sicherheitsmaßnahmen für die Datenverarbeitungsvorgänge im Zusammenhang mit Tracking-Pixeln und Tracking-Links implementieren, wie gemäß Art. 28 der DSGVO bei der Rolle als Auftragsverarbeiter erforderlich.
• Dienstleister müssen ihre Lösungen so gestalten, dass sie es Kunden ermöglichen, die Vorschriften einzuhalten, indem sie Funktionen zur Deaktivierung von Trackern und zur differenzierten Verwaltung der Empfänger auf Basis der Einwilligung anbieten.
• Den Verantwortlichen bei der Einhaltung seiner Pflichten unterstützen, wenn man als Auftragsverarbeiter agiert, indem man die notwendigen Informationen und Tools bereitstellt.

Was zu vermeiden ist

• Nicht davon ausgehen, dass Tracking-Links automatisch von der Einwilligungspflicht befreit sind, insbesondere wenn sie nicht unbedingt für einen angeforderten Dienst erforderlich sind.
• Die Anwendung von Artikel 82 des Gesetzes 'Informatique et Libertés' für Lese-/Schreibvorgänge auf dem Endgerät des Nutzers nicht ignorieren.
• Die Zuständigkeit der CNIL nicht vernachlässigen, auch wenn die Organisation nicht in Frankreich oder der EU ansässig ist, falls Nutzer auf französischem Territorium getrackt werden.
• Keine E-Mail-Versandlösungen verwenden, die keine einfache Verwaltung der Einwilligung und der Deaktivierung von Trackern durch die Empfänger ermöglichen.

Praktische Auswirkungen

Organisationen müssen ihre E-Mail-Marketing- und Kommunikationspraktiken überprüfen, um sicherzustellen, dass die Verwendung von Pixeln und Tracking-Links der DSGVO und dem französischen Gesetz entspricht. Dies beinhaltet eine Kartierung der Tracking-Zwecke, eine Bewertung der Notwendigkeit und die angemessene Verwaltung der Einwilligung. Dienstleister müssen sicherstellen, dass ihre Plattformen die Konformität der Kunden unterstützen, indem sie beispielsweise Optionen für die granulare Einwilligung und die Deaktivierung von Trackern anbieten, wodurch rechtliche und reputationelle Risiken gemindert werden.

Zu vermeidende Fehler

• Tracker weiterhin ohne eine gültige und dokumentierte Rechtsgrundlage verwenden, was zu Sanktionen führen kann.
• Die extraterritoriale Wirkung von Datenschutzvorschriften nicht berücksichtigen und die für Nutzer in verschiedenen Ländern geltenden Regeln ignorieren.
• Nutzern keinen einfachen und zugänglichen Mechanismus zur Verfügung stellen, um ihre Einwilligung zum Tracking zu erteilen oder zu widerrufen.

Fragen zur Selbsteinschätzung

• Welche Tracking-Pixel und Tracking-Links verwenden wir derzeit in unserer E-Mail-Kommunikation und für welche spezifischen Zwecke?
• Haben wir eine gültige und dokumentierte Rechtsgrundlage (hauptsächlich die Einwilligung) für jede Art von Tracking, die nicht unbedingt für den Dienst erforderlich ist?
• Sind unsere Prozesse zur Einholung und Verwaltung der Einwilligung klar, transparent, dokumentiert und bieten sie einen einfachen Widerruf der Einwilligung?
• Unterstützen unsere E-Mail-Marketing-Dienstleister und andere Kommunikationsplattformen unsere Konformität vollständig, indem sie geeignete Funktionen zur Verwaltung der Einwilligung und der Tracker anbieten?
• Sind wir uns der spezifischen Pflichten des französischen Gesetzes 'Informatique et Libertés' (Art. 82) und der Zuständigkeit der Aufsichtsbehörden für Empfänger in Frankreich bewusst?

Verweise

Nationales Recht: GDPR art. 28 · Linee guida n° 02/2023 del CEPD · Loi Informatique et Libertés art. 82