2026 E-Mail-Tracking-Regeln: Pixel, Klicks und UTMs

Kurzfassung

• Open tracking pixels in Europa benötigen zunehmend explizite vorherige Zustimmung (Frankreich und Italien, 2026).
• Click tracking und empfängerspezifische UTM-Links sollten nach denselben Regeln überprüft werden.
• SecureMailMerge fügt keines von beiden hinzu, keine Pixel, keine umgeschriebenen Links, keine Engagement-Analysen.

Seit Jahren war es einfach üblich, in jede E-Mail ein winziges Tracking-Pixel einzufügen, um die Öffnungsraten zu messen.

Im Jahr 2026 ist das in Europa stillschweigend nicht mehr sicher. Die CNIL in Frankreich und der Garante in Italien haben Leitlinien veröffentlicht, die E-Mail-Tracking-Pixel viel stärker wie Cookies behandeln als gewöhnliche Kampagnenberichte.

Was bedeutet das eigentlich für dich?

Die praktische Botschaft ist einfach: Wenn eine Marketing-E-Mail ein unsichtbares Pixel verwendet, um zu erkennen, ob eine bestimmte Person die Nachricht geöffnet hat, ist oft eine vorherige Zustimmung erforderlich. Das ist eine große Veränderung für Teams, die Öffnungsraten bisher als Standard-Analytics behandelt haben.

In diesem Leitfaden zeigen wir dir, was sich in Frankreich und Italien geändert hat, was das für Open Tracking, Click Tracking und UTM-Links bedeutet und wie SecureMailMerge personalisierte Outlook-Serienmails ohne all das versendet.

Lass uns loslegen!

Was hat sich 2026 geändert?

Jahrelang haben viele E-Mail-Marketing-Tools ein winziges unsichtbares Bild in jede E-Mail eingefügt. Wenn der Empfänger die E-Mail öffnete, wurde das Bild vom Server des Absenders geladen und Informationen wie diese aufgezeichnet:

• ob die E-Mail scheinbar geöffnet wurde
• wann sie geöffnet wurde
• der Empfänger-Identifikator, der an dieses Pixel angehängt ist
• IP-Adresse und ungefähre Standortangabe
• E-Mail-Client- und Geräteinformationen

Regulierungsbehörden betrachten dies jetzt durch die ePrivacy-Perspektive. Das Problem ist nicht nur, dass personenbezogene Daten gemäß der DSGVO verarbeitet werden könnten. Das Problem ist auch, dass das Tracking-Pixel auf Informationen vom Gerät des Empfängers zugreifen oder diese auslesen kann, was es näher an ein Cookie-ähnliches Tracking heranrückt.

Deshalb ist Zustimmung wichtig. Die französischen und italienischen Richtlinien sind kein neues DSGVO-Gesetz. Es ist eine strengere Anwendung bestehender ePrivacy- und Datenschutzregeln auf eine Praxis, die im E-Mail-Marketing zur Routine wurde.

Schauen wir uns also an, was jeder Regulierer tatsächlich gesagt hat, angefangen mit Frankreich.

Frankreich: CNIL erwartet separate Zustimmung für die meisten Open-Tracking

Die CNIL in Frankreich veröffentlichte im April 2026 ihre Empfehlung zu E-Mail-Tracking-Pixeln. Ihre Position ist derzeit eine der strengsten in Europa.

Die Kernregel lautet, dass Tracking-Pixel, die verwendet werden, um individuelle E-Mail-Öffnungen zu messen, in der Regel eine vorherige Zustimmung erfordern, wenn sie einen Empfänger identifizieren. Die Zustimmung zum Erhalt eines Newsletters ist nicht automatisch eine Zustimmung zur Messung, ob diese Person ihn geöffnet hat.

Diese Unterscheidung ist wichtig. Ein Anmeldeformular, das nur sagt “send me email updates” (sende mir E-Mail-Updates), kann für den Versand selbst ausreichen, aber die CNIL erwartet eine separate Grundlage für das Tracking der Interaktion des Empfängers mit diesen E-Mails.

In einer konservativen Umsetzung bedeutet das, die Entscheidungen zu trennen:

Choice	What it covers
Receive marketing emails	Erlaubnis zum Versand des Newsletters oder der Kampagne
Allow engagement tracking	Erlaubnis zur Messung von Öffnungen und möglicherweise anderen Interaktionen

Die CNIL erkennt nur wenige enge betriebliche Fälle an, in denen das Tracking von der Zustimmung ausgenommen sein kann, wie zum Beispiel zur Sicherung der Benutzer-Authentifizierung und für begrenzte Zustellbarkeitsaufgaben (Anpassung der Versandhäufigkeit oder Stopp von E-Mails an inaktive Empfänger). Marketing-Analysen, Lead-Scoring, Sendzeit-Optimierung, Betrugserkennung und Automatisierung basierend auf Öffnungen erfordern alle eine Zustimmung.

Es gibt auch ein Übergangsfenster. Für Kontakte, die vor der Empfehlung gesammelt wurden, setzte die CNIL eine Frist bis zum 14. Juli 2026, um die Empfänger zu informieren und ihnen die Möglichkeit zu geben, der Nutzung von Pixeln zu widersprechen; Kontakte, die ab dem 14. April 2026 hinzugefügt werden, müssen von Anfang an durch eine konforme Zustimmung abgedeckt sein.

Für Hintergrundinformationen siehe die Zusammenfassungen von Inside Privacy und Hogan Lovells.

Italien: ähnliche Richtung, mit praktischen Unterschieden

Der italienische Garante hat im April 2026 Leitlinien zu Tracking-Pixeln verabschiedet, mit einer sechsmonatigen Umsetzungsfrist. Die gemeldete Einhaltungsfrist ist der 28. Oktober 2026.

Die Position Italiens ist in der wichtigsten Hinsicht ähnlich wie die Frankreichs: individuelles E-Mail-Öffnungs-Tracking via Pixel benötigt im Allgemeinen eine vorherige Zustimmung (prior consent), wenn es für Marketing oder Verhaltensanalysen verwendet wird.

Es gibt zwei praktische Unterschiede, die erwähnenswert sind:

• Italien scheint offener dafür zu sein, Marketing- und Tracking-Zustimmung zu bündeln, solange die Formulierung klar, freiwillig und nicht irreführend ist.
• Italien lässt ausdrücklich mehr Raum für wirklich aggregierte und anonymisierte Statistiken, bei denen Empfänger nicht identifiziert werden können.

Das macht das Pixel-Tracking nicht risikofrei. Es bedeutet, dass die Gestaltung von Zustimmung und Analyse je nach Rechtsgebiet unterschiedlich sein kann. Für europäische Kampagnen ist das sicherere Betriebsmodell anzunehmen, dass individuelles Open-Tracking eine klare Opt-in-Zustimmung benötigt.

Für Hintergrundinformationen siehe die Zusammenfassungen von Global Policy Watch und iubenda.

Was ist mit Click-Tracking?

Open pixels bekommen die Schlagzeilen. Aber was ist mit den Links in deiner E-Mail?

Die französischen und italienischen Richtlinien konzentrieren sich hauptsächlich auf Open-Tracking-Pixel. Click-Tracking wird nicht so explizit behandelt.

Click-Tracking funktioniert jedoch oft, indem der ursprüngliche Link durch einen Redirect-Link ersetzt wird, der von der E-Mail-Plattform kontrolliert wird. Wenn der Empfänger klickt, kann die Plattform den Empfänger, die Kampagne, den Zeitstempel, die Ziel-URL, Gerätedetails und manchmal den IP-abgeleiteten Standort aufzeichnen, bevor die Person zur endgültigen Seite weitergeleitet wird.

Das bedeutet, dass Click-Tracking immer noch Verhaltensdaten über einen identifizierbaren Empfänger erstellen kann. Auch wenn die aktuellen 2026-Richtlinien expliziter zu Pixeln sind, sollten Datenschutzteams Click-Tracking unter denselben ePrivacy- und DSGVO-Prinzipien überprüfen:

• Ist das Tracking notwendig oder nur nützlich für Analytics?
• Ist der Empfänger klar informiert?
• Ist der Klick mit einer namentlich genannten oder identifizierbaren Person verknüpft?
• Wird eine Einwilligung für Marketing-Analytics, Lead-Scoring oder Automatisierung benötigt?
• Kann die Kampagne mit gewöhnlichen Links statt mit Tracking-Links funktionieren?

Für einen konservativen EU-Ansatz sollten Open-Tracking und Click-Tracking als Engagement-Analytics behandelt werden, die durch eine klare Tracking-Einwilligung abgedeckt sein sollten.

Werden UTM-Parameter auch abgedeckt?

Da wird es etwas komplizierter.

UTM-Parameter sind nuancierter als Open-Pixel oder Klick-Tracking über Redirects. Ein einfacher Kampagnen-Link wie ?utm_source=newsletter&utm_campaign=july_update identifiziert normalerweise die Kampagne, nicht den einzelnen Empfänger. Wenn die Website keine Cookies verwendet, keine Gerätekennung speichert und die UTM-Werte nur für anonyme aggregierte Analysen nutzt, ist das Datenschutzrisiko geringer.

Das bedeutet nicht, dass UTM-Links automatisch außerhalb des Gesetzes liegen. Die französischen und italienischen Leitlinien von 2026 beziehen sich hauptsächlich auf E-Mail-Tracking-Pixel, aber ältere ePrivacy-Regeln deckten bereits das Speichern von Informationen auf oder den Zugriff auf Informationen von einem Gerät des Nutzers ab. Der Europäische Datenschutzausschuss hat außerdem erklärt, dass URL-Tracking unter Artikel 5(3) der ePrivacy-Richtlinie fallen kann. Einfach gesagt: Regulierungsbehörden können Tracking-Links weiterhin im Rahmen des bestehenden „Cookie-Gesetzes“ betrachten, auch wenn kein Cookie verwendet wird.

Die entscheidende Frage ist, ob das UTM-Setup wirklich eine anonyme Kampagnenmessung oder ein Empfänger-spezifisches Tracking ist. UTM-Parameter werden risikoreicher, wenn sie eine Empfänger-ID, einen E-Mail-Hash, eine CRM-ID, einen Lead-Score oder einen Wert enthalten, der den Besuch oder Klick einer Person zuordnen lässt. Selbst reine Kampagnen-UTMs können Teil eines Einwilligungsproblems werden, wenn die Landingpage sie mit Analyse-Cookies, Fingerprinting, angemeldeten Nutzerdaten oder Werbe-Pixeln kombiniert.

Warum Öffnungsraten sowieso weniger zuverlässig sind

Hier ist der Clou: Selbst wenn Einwilligung kein Thema wäre, ist Open Tracking nicht mehr das zuverlässige Signal, das es früher war.

Die rechtliche Änderung ist nicht der einzige Grund, Open Tracking zu überdenken. Öffnungsraten sind weniger zuverlässig geworden, weil moderne E-Mail-Clients und Datenschutz-Tools Bilder vorladen, Bildanfragen über Proxy-Server leiten, Bilder blockieren oder Netzwerkdetails verbergen können.

Das bedeutet, dass ein „open“ (Öffnung) nicht immer bedeutet, dass ein Mensch die Nachricht gelesen hat, und ein fehlendes „open“ nicht immer heißt, dass die Nachricht ignoriert wurde.

Für beziehungsbasierte Outlook mail merge kommen bessere Signale oft von:

• Antworten
• direkten Kundenreaktionen
• gebuchten Meetings
• ausgefüllten Formularen
• zurückgesendeten Dokumenten
• abgeschlossenen Geschäftsprozessen
• Abmelde- oder Beschwerdetrends

Diese Ergebnisse sind in der Regel aussagekräftiger, als zu versuchen, Absichten aus einem versteckten Pixel abzuleiten.

Wie SecureMailMerge das Tracking handhabt

Wo passt SecureMailMerge da eigentlich rein?

SecureMailMerge unterstützt kein Open Tracking oder Click Tracking.

Das bedeutet:

• Es wird kein unsichtbares Tracking-Pixel in deine E-Mail eingefügt
• Es wird kein einzigartiges Open-Tracking-Bild pro Empfänger generiert
• Keine Links werden über eine Tracking-Weiterleitung umgeschrieben
• Es werden keine Open-, Click-, Geräte- oder Standort-Analysen von SecureMailMerge gesammelt
• Es wird kein Empfänger-Engagement-Profil in SecureMailMerge erstellt

Das ist Absicht. SecureMailMerge ist für Microsoft 365 Nutzer konzipiert, die personalisierte Serienmail-Kampagnen aus Outlook senden wollen und dabei die Kampagnendaten in ihrem eigenen Microsoft 365 Workflow behalten möchten.

Empfänger-Tabellen werden lokal auf deinem Computer innerhalb der Add-in-Erfahrung verarbeitet. E-Mails werden aus deinem Postfach gesendet, und Antworten bleiben in Outlook. Das ist nützlich für interne Kommunikation, Kundenbenachrichtigungen, transaktionale Updates, Rechnungen, Zertifikate, compliance-sensible Nachrichten und andere Sendungen, bei denen Tracking-Pixel unnötig oder unerwünscht wären.

Mehr über den Umgang mit Daten im Produkt erfährst du im SecureMailMerge IT security guide.

Sind Outlook-Lesebestätigungen dasselbe wie Tracking-Pixel?

Nein. Outlook-Lesebestätigungen und versteckte Tracking-Pixel sind unterschiedlich.

Eine Lesebestätigung ist eine Standard-E-Mail-Funktion, bei der der E-Mail-Client des Empfängers möglicherweise fragt, ob eine Bestätigung an den Absender gesendet werden soll. Der Empfänger oder seine Organisation kann dies oft ablehnen oder deaktivieren. Es ist ein sichtbares Verhalten, das vom E-Mail-System gesteuert wird.

Ein Tracking-Pixel ist typischerweise unsichtbar. Es wird als entferntes Bild geladen und kann den Empfänger ohne direkte Aufforderung im E-Mail-Client identifizieren.

SecureMailMerge kann die Standardoptionen von Outlook verwenden, wie zum Beispiel read receipts (Lesebestätigungen), wenn sie von Microsoft 365 und dem Mail-System des Empfängers unterstützt werden. Das ist nicht dasselbe wie das Hinzufügen von Tracking-Pixeln oder Link-Weiterleitungen von Drittanbietern. Für einen tieferen Vergleich siehe Email Tracking vs Outlook Read Receipts Explained.

Praktische Checkliste für europäische E-Mail-Versender

Nicht sicher, wo Du anfangen sollst? Hier ist eine schnelle Checkliste, die Du heute durchgehen kannst.

Wenn Deine Organisation Marketing- oder Newsletter-E-Mails an europäische Empfänger sendet, überprüfe jetzt Deinen E-Mail-Stack:

1. Prüfe, ob Deine Plattform standardmäßig Open-Tracking-Pixel einfügt.
2. Prüfe, ob Links über Tracking-Domains umgeschrieben werden.
3. Trenne die Einwilligung zur E-Mail-Abonnements von der Einwilligung zur Engagement-Analyse, wo nötig.
4. Überprüfe bestehende Automatisierungen, die Opens, Klicks, Lead Scores oder Engagement-Segmente verwenden.
5. Bevorzuge aggregierte, anonymisierte Berichte, wenn individuelles Tracking nicht notwendig ist.
6. Aktualisiere Datenschutzhinweise und Anmeldeformulare, damit Empfänger verstehen, was gemessen wird.
7. Bewahre den Nachweis der Einwilligung auf und ermögliche eine einfache Widerrufsmöglichkeit.
8. Frage Deine Rechtsberatung, wie Frankreich, Italien und Deine Ziel-Länder Deine Kampagnen beeinflussen.

Dieser Artikel ist allgemeine Information, keine Rechtsberatung. Die richtige Umsetzung hängt von Deinem Publikum, Zweck, Einwilligungstext, Datenflüssen, Anbietern und nationalen ePrivacy-Regeln ab.

FAQ

Benötigen E-Mail-Open-Tracking-Pixel in Europa eine Einwilligung?

Oft ja. Im Jahr 2026 vertraten Frankreichs CNIL und Italiens Garante die Ansicht, dass individuelles E-Mail-Open-Tracking über Pixel in der Regel eine vorherige Einwilligung erfordert, wenn es für Marketinganalysen oder Verhaltens-Tracking verwendet wird.

Ist das ein neues GDPR-Gesetz?

Nein. Die Richtlinie wendet bestehende ePrivacy- und GDPR-Prinzipien auf Tracking-Pixel in E-Mails an. Das Gesetz ist nicht neu, aber die Erwartungen der Regulierungsbehörden sind jetzt klarer.

Deckt die Newsletter-Einwilligung auch das Open-Tracking ab?

Nicht unbedingt. Die CNIL in Frankreich stellt besonders klar, dass die Einwilligung zum Erhalt eines Newsletters nicht automatisch die Einwilligung bedeutet, zu verfolgen, ob die Person ihn geöffnet hat.

Ist Click-Tracking verboten?

Die Richtlinie von 2026 ist beim Open-Tracking-Pixel expliziter als beim Click-Tracking. Click-Tracking kann jedoch weiterhin Empfänger identifizieren und Verhalten messen, daher sollte es unter den ePrivacy- und GDPR-Prinzipien geprüft werden.

Verfolgt SecureMailMerge Öffnungen oder Klicks?

Nein. SecureMailMerge fügt keine Open-Tracking-Pixel ein und schreibt keine Links für Click-Tracking um. Es konzentriert sich auf Outlook-Mail-Merge, Personalisierung, Anhänge, Planung und Microsoft 365 Versand.

Gibt es ein CNIL-konformes E-Mail-Tool ohne Tracking-Pixel?

Die CNIL-Einwilligungspflicht wird durch Open- und Click-Tracking ausgelöst, daher umgeht ein Tool, das keines von beiden hinzufügt, diese Pflicht. SecureMailMerge fügt keine Open-Pixel ein und schreibt keine Links um, was bedeutet, dass kein pixelbasiertes Tracking vorliegt, für das eine separate Einwilligung eingeholt werden müsste. Du musst weiterhin Marketing-Einwilligungen und Datenschutzhinweise für den Versand selbst handhaben, aber der zusätzliche Pixel-Einwilligungsschritt entfällt.

Welches E-Mail-Tool erfüllt die Regeln des italienischen Garantes ohne Open-Tracking?

Dasselbe Prinzip gilt. Die Regeln des Garantes vom 28. Oktober 2026 richten sich gegen Pixel, die identifizieren, wer eine Nachricht geöffnet hat. SecureMailMerge sendet aus deinem eigenen Microsoft 365-Postfach ohne Open- oder Click-Tracking, daher erzeugt es keine Empfänger-Level-Engagement-Daten, die diese Richtlinien regeln.