2026 E-Mail-Tracking-Regeln: Pixel, Klicks & UTMs

Kurzfassung

• Tracking-Pixel für Öffnungen benötigen in Europa zunehmend explizite vorherige Zustimmung (Frankreich und Italien, 2026).
• Click-Tracking und empfängerspezifische UTM-Links sollten nach denselben Regeln überprüft werden.
• SecureMailMerge verwendet weder das eine noch das andere, keine Pixel, keine umgeschriebenen Links, keine Engagement-Analysen.

Seit Jahren war es einfach üblich, in jede E-Mail ein winziges Tracking-Pixel einzufügen, um Öffnungsraten zu messen.

Im Jahr 2026 ist das in Europa nicht mehr ohne Weiteres sicher. Die CNIL in Frankreich und der Garante in Italien haben Leitlinien veröffentlicht, die E-Mail-Tracking-Pixel viel stärker wie Cookies behandeln als gewöhnliche Kampagnenberichte.

Was bedeutet das konkret für dich?

Die praktische Botschaft ist einfach: Wenn eine Marketing-E-Mail ein unsichtbares Pixel verwendet, um zu erkennen, ob eine bestimmte Person die Nachricht geöffnet hat, ist oft eine vorherige Zustimmung erforderlich. Das ist eine große Veränderung für Teams, die Öffnungsraten bisher als Standard-Analyse betrachtet haben.

In diesem Leitfaden zeigen wir dir, was sich in Frankreich und Italien geändert hat, was das für Open Tracking, Click Tracking und UTM-Links bedeutet und wie SecureMailMerge personalisierte Outlook-Serienmails ganz ohne das alles versendet.

Los geht’s!

Was hat sich 2026 geändert?

Jahrelang haben viele E-Mail-Marketing-Tools ein winziges unsichtbares Bild in jede E-Mail eingefügt. Wenn der Empfänger die E-Mail öffnete, wurde das Bild vom Server des Absenders geladen und Informationen wie folgende erfasst:

• ob die E-Mail scheinbar geöffnet wurde
• wann sie geöffnet wurde
• der Empfänger-Identifikator, der an dieses Pixel angehängt ist
• IP-Adresse und ungefähre Standortangabe
• E-Mail-Client- und Geräteinformationen

Regulierungsbehörden betrachten dies nun durch die ePrivacy-Perspektive. Das Problem ist nicht nur, dass personenbezogene Daten gemäß DSGVO verarbeitet werden könnten. Das Problem ist auch, dass das Tracking-Pixel auf Informationen vom Gerät des Empfängers zugreifen oder diese auslesen kann, was es näher an ein Cookie-ähnliches Tracking heranrückt.

Deshalb ist die Einwilligung wichtig. Die französischen und italienischen Richtlinien sind kein neues DSGVO-Gesetz. Es ist eine strengere Anwendung bestehender ePrivacy- und Datenschutzregeln auf eine Praxis, die im E-Mail-Marketing zur Routine wurde.

Schauen wir uns also an, was jeder Regulierer tatsächlich gesagt hat, angefangen mit Frankreich.

Frankreich: CNIL erwartet separate Zustimmung für die meisten Open-Tracking

Die französische CNIL veröffentlichte im April 2026 ihre Empfehlung zu E-Mail-Tracking-Pixeln. Ihre Position ist derzeit eine der strengsten in Europa.

Die Kernregel lautet, dass Tracking-Pixel, die zur Messung einzelner E-Mail-Öffnungen verwendet werden, in der Regel eine vorherige Zustimmung erfordern, wenn sie einen Empfänger identifizieren. Die Zustimmung zum Erhalt eines Newsletters ist nicht automatisch eine Zustimmung zur Messung, ob diese Person ihn geöffnet hat.

Diese Unterscheidung ist wichtig. Ein Anmeldeformular, das nur „schick mir E-Mail-Updates“ sagt, kann für den Versand selbst ausreichen, aber die CNIL erwartet eine separate Grundlage für das Tracking der Interaktion des Empfängers mit diesen E-Mails.

In einer konservativen Umsetzung bedeutet das, die Auswahlmöglichkeiten zu trennen:

Auswahl	Was sie abdeckt
Marketing-E-Mails erhalten	Erlaubnis zum Versand des Newsletters oder der Kampagne
Engagement-Tracking erlauben	Erlaubnis zur Messung von Öffnungen und möglicherweise anderen Interaktionen

Die CNIL erkennt nur wenige enge operative Fälle an, in denen das Tracking von der Zustimmung ausgenommen sein kann, wie z. B. die Sicherung der Benutzer-Authentifizierung und begrenzte Zustellbarkeitsaufgaben (Anpassung der Versandfrequenz oder Stopp von E-Mails an inaktive Empfänger). Marketing-Analysen, Lead-Scoring, Versandzeit-Optimierung, Betrugserkennung und Automatisierung basierend auf Öffnungen erfordern alle eine Zustimmung.

Es gibt auch eine Übergangsfrist. Für Kontakte, die vor der Empfehlung gesammelt wurden, setzte die CNIL eine Frist bis zum 14. Juli 2026, um die Empfänger zu informieren und ihnen die Möglichkeit zu geben, der Pixel-Nutzung zu widersprechen; Kontakte, die ab dem 14. April 2026 hinzugefügt werden, müssen von Anfang an durch eine konforme Zustimmung abgedeckt sein.

Für Hintergrundinformationen siehe die Zusammenfassungen von Inside Privacy und Hogan Lovells.

Italien: ähnliche Richtung, mit praktischen Unterschieden

Der italienische Garante hat im April 2026 Leitlinien zu Tracking-Pixeln verabschiedet, mit einer sechsmonatigen Umsetzungsfrist. Die gemeldete Einhaltungsfrist ist der 28. Oktober 2026.

Italiens Position ist in der wichtigsten Hinsicht ähnlich wie die Frankreichs: Das individuelle Öffnen von E-Mails mittels Pixeln benötigt im Allgemeinen eine vorherige Zustimmung, wenn es für Marketing oder Verhaltensanalysen verwendet wird.

Es gibt zwei praktische Unterschiede, die erwähnenswert sind:

• Italien scheint offener dafür zu sein, Marketing- und Tracking-Zustimmungen zu bündeln, solange die Formulierung klar, freiwillig und nicht irreführend ist.
• Italien lässt ausdrücklich mehr Raum für wirklich aggregierte und anonymisierte Statistiken, bei denen Empfänger nicht identifiziert werden können.

Das macht das Pixel-Tracking nicht risikofrei. Es bedeutet, dass die Gestaltung von Zustimmung und Analyse je nach Rechtsgebiet unterschiedlich sein kann. Für europäische Kampagnen ist das sicherere Betriebsmodell, davon auszugehen, dass individuelles Open-Tracking eine klare Opt-in-Zustimmung benötigt.

Für Hintergrundinformationen siehe die Zusammenfassungen von Global Policy Watch und iubenda.

Wie sieht es mit Klick-Tracking aus?

Open-Pixel bekommen die Aufmerksamkeit. Aber wie sieht es mit den Links in deiner E-Mail aus?

Die französischen und italienischen Richtlinien konzentrieren sich hauptsächlich auf Open-Tracking-Pixel. Klick-Tracking wird nicht so explizit behandelt.

Klick-Tracking funktioniert jedoch oft, indem der ursprüngliche Link durch einen Redirect-Link ersetzt wird, der von der E-Mail-Plattform kontrolliert wird. Wenn der Empfänger klickt, kann die Plattform den Empfänger, die Kampagne, den Zeitstempel, die Ziel-URL, Gerätedetails und manchmal den IP-abgeleiteten Standort erfassen, bevor die Person zur endgültigen Seite weitergeleitet wird.

Das bedeutet, dass Klick-Tracking immer noch Verhaltensdaten über einen identifizierbaren Empfänger erzeugen kann. Auch wenn die aktuellen 2026-Richtlinien expliziter auf Pixel eingehen, sollten Datenschutzteams Klick-Tracking unter denselben ePrivacy- und DSGVO-Prinzipien überprüfen:

• Ist das Tracking notwendig oder nur für Analysen nützlich?
• Wird der Empfänger klar informiert?
• Ist der Klick einer namentlich bekannten oder identifizierbaren Person zugeordnet?
• Wird für Marketing-Analysen, Lead-Scoring oder Automatisierung eine Einwilligung benötigt?
• Kann die Kampagne mit normalen Links funktionieren?

Für einen konservativen EU-Ansatz sollten Open-Tracking und Klick-Tracking als Engagement-Analysen behandelt werden, die durch eine klare Tracking-Einwilligung abgedeckt sein sollten.

Werden UTM-Parameter auch abgedeckt?

Da wird es etwas undurchsichtiger.

UTM-Parameter sind nuancierter als offene Pixel oder klickbasierte Redirect-Tracking. Ein einfacher Kampagnen-Link wie ?utm_source=newsletter&utm_campaign=july_update identifiziert normalerweise die Kampagne, nicht den einzelnen Empfänger. Wenn die Website keine Cookies verwendet, keine Gerätekennung speichert und die UTM-Werte nur für anonyme aggregierte Analysen nutzt, ist das Datenschutzrisiko geringer.

Das bedeutet nicht, dass UTM-Links automatisch außerhalb des Gesetzes liegen. Die französischen und italienischen Leitlinien von 2026 beziehen sich hauptsächlich auf E-Mail-Tracking-Pixel, aber ältere ePrivacy-Regeln deckten bereits das Speichern von Informationen auf oder den Zugriff auf Informationen von einem Gerät des Nutzers ab. Der Europäische Datenschutzausschuss hat auch erklärt, dass URL-Tracking unter Artikel 5(3) der ePrivacy-Richtlinie fallen kann. Einfach gesagt: Regulierungsbehörden können Tracking-Links weiterhin im Rahmen des bestehenden „Cookie-Gesetzes“ betrachten, auch wenn kein Cookie verwendet wird.

Die entscheidende Frage ist, ob die UTM-Konfiguration wirklich eine anonyme Kampagnenmessung oder ein Empfänger-spezifisches Tracking ist. UTM-Parameter werden risikoreicher, wenn sie eine Empfänger-ID, E-Mail-Hash, CRM-ID, Lead-Score oder einen Wert enthalten, der den Besuch oder Klick einer Person zuordnen lässt. Selbst kampagnenbezogene UTMs können Teil eines Einwilligungsproblems werden, wenn die Landingpage sie mit Analyse-Cookies, Fingerprinting, angemeldeten Nutzerdaten oder Werbepixeln kombiniert.

Warum Öffnungsraten sowieso weniger zuverlässig sind

Hier ist der Clou: Selbst wenn die Einwilligung kein Thema wäre, ist das Tracking von Öffnungen nicht mehr das verlässliche Signal, das es früher einmal war.

Die rechtliche Änderung ist nicht der einzige Grund, das Tracking von Öffnungen zu überdenken. Öffnungsraten sind weniger zuverlässig geworden, weil moderne E-Mail-Clients und Datenschutz-Tools Bilder vorladen, Bildanfragen proxyen, Bilder blockieren oder Netzwerkdetails verbergen können.

Das bedeutet, dass ein „Öffnen“ nicht immer bedeutet, dass ein Mensch die Nachricht gelesen hat, und ein fehlendes Öffnen nicht immer heißt, dass die Nachricht ignoriert wurde.

Für beziehungsbasierte Outlook-Serienmails kommen bessere Signale oft von:

• Antworten
• direkten Kundenreaktionen
• gebuchten Terminen
• ausgefüllten Formularen
• zurückgesendeten Dokumenten
• abgeschlossenen Geschäftsprozessen
• Abmelde- oder Beschwerdetrends

Diese Ergebnisse sind in der Regel aussagekräftiger, als zu versuchen, Absichten aus einem versteckten Pixel abzuleiten.

Wie SecureMailMerge das Tracking handhabt

Wo passt SecureMailMerge da eigentlich rein?

SecureMailMerge unterstützt kein Open-Tracking oder Click-Tracking.

Das bedeutet:

• Es wird kein unsichtbares Tracking-Pixel in deine E-Mail eingefügt
• Es wird kein einzigartiges Open-Tracking-Bild pro Empfänger generiert
• Keine Links werden über eine Tracking-Weiterleitung umgeschrieben
• SecureMailMerge sammelt keine Open-, Click-, Geräte- oder Standort-Analysen
• Es wird kein Empfänger-Engagement-Profil innerhalb von SecureMailMerge erstellt

Das ist Absicht. SecureMailMerge ist für Microsoft 365-Nutzer entwickelt, die personalisierte Serienmail-Kampagnen aus Outlook senden wollen und dabei die Kampagnendaten in ihrem eigenen Microsoft 365-Workflow behalten möchten.

Empfängerspreadsheets werden lokal auf deinem Computer innerhalb des Add-in-Erlebnisses verarbeitet. E-Mails werden aus deinem Postfach gesendet, und Antworten bleiben in Outlook. Das ist nützlich für interne Kommunikation, Kundenbenachrichtigungen, transaktionale Updates, Rechnungen, Zertifikate, compliance-sensible Nachrichten und andere Sendungen, bei denen Tracking-Pixel unnötig oder unerwünscht wären.

Mehr zur Datenverarbeitung des Produkts findest du im SecureMailMerge IT-Sicherheitsleitfaden.

Sind Outlook-Lesebestätigungen dasselbe wie Tracking-Pixel?

Nein. Outlook-Lesebestätigungen und versteckte Tracking-Pixel sind unterschiedlich.

Eine Lesebestätigung ist eine Standard-E-Mail-Funktion, bei der der E-Mail-Client des Empfängers möglicherweise fragt, ob eine Bestätigung an den Absender gesendet werden soll. Der Empfänger oder seine Organisation kann dies oft ablehnen oder deaktivieren. Es ist ein sichtbares Verhalten, das vom E-Mail-System gesteuert wird.

Ein Tracking-Pixel ist typischerweise unsichtbar. Es wird als entferntes Bild geladen und kann den Empfänger ohne direkte Aufforderung im E-Mail-Client identifizieren.

SecureMailMerge kann die Standardoptionen von Outlook verwenden, wie z. B. Lesebestätigungen, wenn sie von Microsoft 365 und dem E-Mail-System des Empfängers unterstützt werden. Das ist nicht dasselbe wie das Hinzufügen von Tracking-Pixeln oder Link-Weiterleitungen von Drittanbietern. Für einen tieferen Vergleich siehe Email Tracking vs Outlook Read Receipts Explained.

Praktische Checkliste für europäische E-Mail-Versender

Nicht sicher, wo Du anfangen sollst? Hier ist eine schnelle Checkliste, die Du heute durchgehen kannst.

Wenn Deine Organisation Marketing- oder Newsletter-E-Mails an europäische Empfänger sendet, überprüfe jetzt Deinen E-Mail-Stack:

1. Prüfe, ob Deine Plattform standardmäßig Open-Tracking-Pixel einfügt.
2. Prüfe, ob Links über Tracking-Domains umgeschrieben werden.
3. Trenne die Einwilligung zur E-Mail-Abonnement von der Einwilligung zur Engagement-Analyse, wo nötig.
4. Überprüfe bestehende Automatisierungen, die Öffnungen, Klicks, Lead Scores oder Engagement-Segmente verwenden.
5. Bevorzuge aggregierte, anonymisierte Berichte, wenn individuelles Tracking nicht notwendig ist.
6. Aktualisiere Datenschutzhinweise und Anmeldeformulare, damit Empfänger verstehen, was gemessen wird.
7. Bewahre den Nachweis der Einwilligung auf und ermögliche eine einfache Widerrufsmöglichkeit.
8. Frage Deinen Rechtsberater, wie Frankreich, Italien und Deine Ziel-Länder Deine Kampagnen beeinflussen.

Dieser Artikel ist allgemeine Information, keine Rechtsberatung. Die richtige Umsetzung hängt von Deinem Publikum, Zweck, Einwilligungstext, Datenflüssen, Anbietern und nationalen ePrivacy-Regeln ab.

FAQ

Benötigen E-Mail-Tracking-Pixel für das Öffnen eine Einwilligung in Europa?

Oft ja. Im Jahr 2026 haben die CNIL in Frankreich und der Garante in Italien beide die Auffassung vertreten, dass individuelles E-Mail-Öffnungstracking über Pixel in der Regel eine vorherige Einwilligung erfordert, wenn es für Marketinganalysen oder Verhaltens-Tracking verwendet wird.

Ist das ein neues DSGVO-Gesetz?

Nein. Die Richtlinie wendet bestehende ePrivacy- und DSGVO-Prinzipien auf Tracking-Pixel in E-Mails an. Das Gesetz ist nicht neu, aber die Erwartungen der Aufsichtsbehörden sind jetzt klarer.

Deckt die Einwilligung zum Newsletter auch das Öffnungstracking ab?

Nicht unbedingt. Die CNIL in Frankreich macht besonders deutlich, dass die Einwilligung zum Erhalt eines Newsletters nicht automatisch die Einwilligung bedeutet, zu verfolgen, ob die Person ihn geöffnet hat.

Ist Klick-Tracking verboten?

Die Richtlinie von 2026 ist expliziter bezüglich Öffnungstracking-Pixeln als beim Klick-Tracking. Klick-Tracking kann jedoch weiterhin Empfänger identifizieren und Verhalten messen, daher sollte es unter den ePrivacy- und DSGVO-Prinzipien geprüft werden.

Verfolgt SecureMailMerge Öffnungen oder Klicks?

Nein. SecureMailMerge fügt keine Öffnungstracking-Pixel ein und schreibt keine Links für Klick-Tracking um. Der Fokus liegt auf Outlook-Serienbriefen, Personalisierung, Anhängen, Terminplanung und dem Versand über Microsoft 365.

Gibt es ein CNIL-konformes E-Mail-Tool ohne Tracking-Pixel?

Die CNIL-Einwilligungspflicht wird durch Öffnungs- und Klick-Tracking ausgelöst, daher umgeht ein Tool, das keines von beiden hinzufügt, diese Pflicht. SecureMailMerge fügt keine Öffnungspixel ein und schreibt keine Links um, was bedeutet, dass kein pixelbasiertes Tracking vorliegt, für das eine separate Einwilligung eingeholt werden müsste. Die Marketing-Einwilligung und Datenschutzhinweise für den Versand selbst müssen weiterhin beachtet werden, aber der zusätzliche Pixel-Einwilligungsschritt entfällt.

Welches E-Mail-Tool erfüllt die Regeln des italienischen Garantes ohne Öffnungstracking?

Dasselbe Prinzip gilt. Die Regeln des Garantes vom 28. Oktober 2026 richten sich gegen Pixel, die identifizieren, wer eine Nachricht geöffnet hat. SecureMailMerge versendet über dein eigenes Microsoft 365-Postfach ohne Öffnungs- oder Klick-Tracking, sodass keine Empfänger-bezogenen Engagement-Daten entstehen, die diese Richtlinien regulieren.