Tracking zu Werbezwecken oder zur Personalisierung von Inhalten und Empfehlungssystemen setzt regelmäßig eine wirksame Einwilligung der betroffenen Personen voraus. Unternehmen müssen deshalb sicherstellen, dass entsprechende Technologien erst nach einer zulässigen Zustimmung eingesetzt werden.
Die französische Datenschutzbehörde CNIL hat am 22. Oktober 2026 gegen den Elektronik- und Handelskonzern Fnac Darty ein Bußgeld in Höhe von sieben Millionen Euro verhängt. Nach einer umfangreichen Prüfung stellte die Behörde unzulässiges Tracking fest.
Beschwerde der noyb wegen unzulässiger Nutzerprofilerstellung
Ausgangspunkt des Verfahrens ist eine Beschwerde des Datenschutzvereins noyb gegen die Fnac Darty und die Apps MyFitnessPal und SeLoger aus dem Jahr 2023.
Nach Angaben von noyb begann bereits unmittelbar nach dem Öffnen der jeweiligen App die Erfassung von personenbezogenen Daten und deren Weitergabe an Dritte. Dazu gehörten unter anderem die eindeutige Werbe-ID von Google (AdID), Angaben zum Modell und Hersteller des verwendeten Geräts sowie die lokale IP-Adresse. Solche Informationen können dazu genutzt werden, Nutzer wiederzuerkennen und detaillierte Profile über ihr Verhalten und ihre Interessen zu erstellen. Diese Profile ermöglichen anschließend insbesondere personalisierte Werbung und können damit unmittelbar wirtschaftlichen Zwecken dienen.
Nach Auffassung von noyb erfolgte diese Datenverarbeitung, bevor die Nutzer wirksam in das Tracking eingewilligt hatten. Schließlich leitete die französische Datenschutzbehörde eigene Untersuchungen ein.
Personalisierte Werbung ohne Einwilligung
Die CNIL stellte fest, dass während der Nutzung der App Informationen über das Nutzungsverhalten an die Domain eines Drittanbieters übermittelt wurden. Dazu gehörten unter anderem eine dem Nutzer von FNAC zugewiesene Kennung sowie Angaben zu angesehenen Produkten.
Auf Grundlage dieser Informationen konnte das Nutzungsverhalten ausgewertet werden. Der App-Anbieter war dadurch in der Lage, Angebote zu personalisieren und Produkte anzuzeigen, die zu bereits angesehenen oder gekauften Artikeln passten oder diesen ähnlich waren. Zugleich konnten die erhobenen Daten dazu genutzt werden, den Empfehlungsalgorithmus weiter zu trainieren.
Nach Auffassung der CNIL fielen diese Vorgänge nicht unter die Ausnahmen des Art. 82 des französischen Datenschutzgesetzes. Art. 82 regelt dabei den Zugriff auf Informationen sowie die Speicherung dieser Informationen im Endgerät eines Nutzers. Grundsätzlich müssen Nutzer über die Zwecke klar und vollständig informiert werden und anschließend dem Vorgang einwilligen. Ausnahmen von dieser Erforderlichkeit bestehen, wenn der Zugriff oder die Speicherung unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich angeforderten Online-Dienst bereitzustellen oder eine elektronische Kommunikation zu ermöglichen oder zu erleichtern.
Das Tracking zu Zwecken der personalisierten Werbung oder des Trainings des Empfehlungsalgorithmus fällt nicht unter diese Ausnahme. Die Verarbeitung durch die FNAC war nicht unbedingt notwendig, sodass eine Einwilligung der betroffenen Personen im Voraus erforderlich ist. Ohne eine solche Zustimmung durften die entsprechenden Informationen nicht verarbeitet werden.
Tracking nur mit wirksamer Einwilligung
Die CNIL verhängte wegen des Verstoßes gegen Art. 82 des französischen Datenschutzgesetzes ein Bußgeld in Höhe von sieben Millionen Euro. Zudem muss FNAC das Tracking ohne wirksame Einwilligung unterlassen. Soll die Verarbeitung fortgeführt werden, muss das Unternehmen innerhalb eines Monats nachweisen, dass das neue eingesetzte Tool eine erforderliche Einwilligung wirksam einholt.
Tracking ist dabei nicht grundsätzlich unzulässig. Entscheidend ist, dass Nutzer ausreichend informiert werden und bei Erforderlichkeit wirksam einwilligen. In der Praxis erfolgt dies häufig über sogenannte Consent- oder Cookie-Banner.
Vergleichbare Anforderungen an den Zugriff auf Informationen im Endgerät enthält in Deutschland § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Werden zusätzlich personenbezogene Daten verarbeitet, etwa durch die Analyse des Nutzungsverhaltens, greifen auch die Vorgaben der DSGVO. Dann muss insbesondere eine tragfähige Rechtsgrundlage vorliegen. Bei einer Einwilligung sind zudem die Anforderungen des Art. 7 DSGVO zu beachten, etwa zur Nachweisbarkeit und Widerruflichkeit.
Fazit
Tracking für personalisierte Werbung und Training von Empfehlungssystemen haben klare rechtliche Grenzen. Unternehmen müssen prüfen, ob eine Einwilligung erforderlich ist und diese wirksam einholen. Gerade bei der Analyse des Nutzungsverhaltens greifen regelmäßig nicht nur Vorgaben zum Endgerätezugriff, sondern auch die Anforderungen der DSGVO.
Wie die CNIL außerdem den Einsatz von Tracking-Pixel in E-Mails bewertet lesen Sie in unserem Beitrag vom 28.05.2026.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
