2026 E-Mail-Tracking-Regeln: Pixel, Klicks und UTMs

Kurzfassung

• Open tracking pixels in Europa benötigen zunehmend explizite vorherige Zustimmung (Frankreich und Italien, 2026).
• Click tracking und empfängerspezifische UTM-Links sollten nach denselben Regeln überprüft werden.
• SecureMailMerge fügt keine dieser Funktionen hinzu: keine Pixel, keine umgeschriebenen Links, keine Engagement-Analysen.

Seit Jahren war es einfach üblich, in jede E-Mail ein winziges Tracking-Pixel einzufügen, um die Öffnungsraten zu messen.

Im Jahr 2026 ist das in Europa nicht mehr ohne weiteres erlaubt. Die CNIL in Frankreich und der Garante in Italien haben Leitlinien veröffentlicht, die E-Mail-Tracking-Pixel viel mehr wie Cookies behandeln als gewöhnliche Kampagnenberichte.

Was bedeutet das konkret für dich?

Die praktische Botschaft ist einfach: Wenn eine Marketing-E-Mail ein unsichtbares Pixel verwendet, um zu erkennen, ob eine bestimmte Person die Nachricht geöffnet hat, ist oft eine vorherige Zustimmung erforderlich. Das ist eine große Veränderung für Teams, die Öffnungsraten bisher als Standard-Analyse betrachtet haben.

In diesem Leitfaden zeigen wir dir, was sich in Frankreich und Italien geändert hat, was das für Open Tracking, Click Tracking und UTM-Links bedeutet und wie SecureMailMerge personalisierte Outlook-Serienmails ganz ohne diese Funktionen versendet.

Los geht’s!

Was hat sich 2026 geändert?

Jahrelang haben viele E-Mail-Marketing-Tools ein winziges unsichtbares Bild in jede E-Mail eingefügt. Wenn der Empfänger die E-Mail öffnete, wurde das Bild vom Server des Absenders geladen und Informationen wie diese erfasst:

• ob die E-Mail scheinbar geöffnet wurde
• wann sie geöffnet wurde
• der Empfänger-Identifikator, der an dieses Pixel angehängt ist
• IP-Adresse und ungefähre Standortangabe
• E-Mail-Client- und Geräteinformationen

Regulierungsbehörden prüfen das jetzt unter den EU-Cookie-Regeln (der ePrivacy-Richtlinie). Das Problem ist nicht nur, dass personenbezogene Daten gemäß der DSGVO verarbeitet werden könnten. Das Problem ist auch, dass das Tracking-Pixel auf Informationen vom Gerät des Empfängers zugreifen oder diese auslesen kann, was es näher an ein Cookie-ähnliches Tracking heranrückt.

Deshalb ist Zustimmung wichtig. Die französischen und italienischen Leitlinien sind kein neues DSGVO-Gesetz. Es ist eine strengere Anwendung der bestehenden ePrivacy- und Datenschutzregeln auf eine Praxis, die im E-Mail-Marketing zur Routine wurde.

Schauen wir uns also an, was jede Regulierungsbehörde tatsächlich gesagt hat, angefangen mit Frankreich.

Frankreich: CNIL erwartet separate Einwilligung für die meisten Open-Tracking

Die französische CNIL hat ihre Empfehlung zu E-Mail-Tracking-Pixeln am 12. März 2026 verabschiedet und am 14. April 2026 veröffentlicht. Ihre Position ist streng.

Die Kernregel lautet, dass Tracking-Pixel, die verwendet werden, um das individuelle Öffnen von E-Mails zu messen, in der Regel eine vorherige Einwilligung erfordern, wenn sie einen Empfänger identifizieren. Die Einwilligung zum Erhalt eines Newsletters ist nicht automatisch eine Einwilligung zur Messung, ob diese Person ihn geöffnet hat.

Diese Unterscheidung ist wichtig. Ein Anmeldeformular, das nur sagt “send me email updates” (sende mir E-Mail-Updates), kann für den Versand selbst ausreichend sein, aber die CNIL erwartet eine separate Grundlage für das Tracking der Interaktion des Empfängers mit diesen E-Mails.

In einer konservativen Umsetzung bedeutet das, die Auswahlmöglichkeiten zu trennen:

Wahl	Was sie abdeckt
Receive marketing emails	Erlaubnis, den Newsletter oder die Kampagne zu senden
Allow engagement tracking	Erlaubnis, Öffnungen und potenziell andere Interaktionen zu messen

Die CNIL erkennt nur wenige eng gefasste operative Fälle an, in denen das Tracking von der Einwilligung ausgenommen sein kann, wie zum Beispiel die Sicherung der Benutzer-Authentifizierung und begrenzte Zustellbarkeitsaufgaben (Anpassung der Versandfrequenz, Stopp von E-Mails an inaktive Empfänger oder Anpassung des Kommunikationskanals). Die Messung der Kampagnenleistung, der Aufbau von Empfängerprofilen und die Betrugserkennung erfordern in der Regel eine Einwilligung.

Es gibt auch ein Übergangsfenster. Für Kontakte, die vor der Empfehlung gesammelt wurden, hat die CNIL eine Frist bis zum 14. Juli 2026 gesetzt, um die Empfänger zu informieren und ihnen die Möglichkeit zu geben, der Nutzung von Pixeln zu widersprechen; alle anderen Kontakte müssen sofort durch eine konforme Einwilligung abgedeckt sein.

Für Hintergrundinformationen siehe die Zusammenfassungen von Inside Privacy und Hogan Lovells.

Italien: ähnliche Richtung, mit praktischen Unterschieden

Der italienische Garante hat im April 2026 Leitlinien zu Tracking-Pixeln verabschiedet. Die Übergangsfrist für bestehende Kontakte endet Ende Oktober 2026, sechs Monate nachdem die Leitlinien am 29. April 2026 im italienischen Amtsblatt veröffentlicht wurden.

Italiens Position ist in der wichtigsten Hinsicht ähnlich wie die Frankreichs: individuelles E-Mail-Öffnungs-Tracking via Pixel benötigt in der Regel eine vorherige Zustimmung wenn es für Marketing oder Verhaltensanalysen verwendet wird.

Es gibt zwei praktische Unterschiede, die erwähnenswert sind:

• Italien scheint offener dafür zu sein, Marketing- und Tracking-Zustimmung zu bündeln, solange die Formulierung klar, freiwillig und nicht irreführend ist.
• Italien lässt mehr expliziten Spielraum für wirklich aggregierte und anonymisierte Statistiken, bei denen jeder Empfänger denselben Pixel erhält und technische Daten anonymisiert werden.

Das macht Pixel-Tracking nicht risikolos. Es bedeutet, dass die Gestaltung von Zustimmung und Analyse je nach Rechtsgebiet unterschiedlich sein kann. Für europäische Kampagnen ist das sicherere Betriebsmodell anzunehmen, dass individuelles Open-Tracking eine klare Opt-in-Zustimmung benötigt.

Für Hintergrundinformationen siehe die Zusammenfassungen von Global Policy Watch und iubenda.

Wie sieht es mit Click-Tracking aus?

Open pixels bekommen die Aufmerksamkeit. Aber was ist mit den Links in deiner E-Mail?

Die französischen und italienischen Richtlinien konzentrieren sich hauptsächlich auf Open-Tracking-Pixel. Click-Tracking wird nicht so explizit behandelt.

Click-Tracking funktioniert jedoch oft, indem der ursprüngliche Link durch einen Redirect-Link ersetzt wird, der von der E-Mail-Plattform kontrolliert wird. Wenn der Empfänger klickt, kann die Plattform den Empfänger, die Kampagne, den Zeitstempel, die Ziel-URL, Gerätedetails und manchmal den IP-abgeleiteten Standort erfassen, bevor die Person zur endgültigen Seite weitergeleitet wird.

Das bedeutet, dass Click-Tracking weiterhin Verhaltensdaten über einen identifizierbaren Empfänger erzeugen kann. Auch wenn die aktuellen 2026-Richtlinien bei Pixeln expliziter sind, sollten Datenschutzteams Click-Tracking unter denselben Cookie-Regeln und DSGVO-Prinzipien überprüfen:

• Ist das Tracking notwendig oder nur nützlich für Analytics?
• Wird der Empfänger klar informiert?
• Ist der Klick einer namentlich bekannten oder identifizierbaren Person zugeordnet?
• Wird eine Einwilligung für Marketing-Analytics oder Automatisierung benötigt?
• Kann die Kampagne mit normalen Links funktionieren?

Für einen konservativen EU-Ansatz sollten Open-Tracking und Click-Tracking als Engagement-Analytics behandelt werden, die durch eine klare Tracking-Einwilligung abgedeckt sein sollten.

Werden UTM-Parameter auch abgedeckt?

Da wird es etwas komplizierter.

UTM-Parameter sind nuancierter als Open-Pixel oder Klick-Tracking über Redirects. Ein einfacher Link auf Kampagnenebene wie ?utm_source=newsletter&utm_campaign=july_update identifiziert normalerweise die Kampagne, nicht den einzelnen Empfänger. Wenn die Website keine Cookies verwendet, keine Gerätekennung speichert und die UTM-Werte nur für anonyme aggregierte Analysen nutzt, ist das Datenschutzrisiko geringer.

Das bedeutet nicht, dass UTM-Links automatisch außerhalb des Gesetzes liegen. Die französischen und italienischen Richtlinien von 2026 beziehen sich hauptsächlich auf E-Mail-Tracking-Pixel, aber ältere Cookie-Regeln (ePrivacy) deckten bereits das Speichern von Informationen auf oder den Zugriff auf Informationen von einem Gerät des Nutzers ab. Der Europäische Datenschutzausschuss hat außerdem erklärt, dass URL-Tracking unter die EU-Cookie-Regeln (die ePrivacy-Richtlinie) fallen kann. Einfach gesagt: Regulierungsbehörden können Tracking-Links weiterhin im Rahmen der bestehenden “Cookie-Gesetz”-Regelungen betrachten, selbst wenn kein Cookie verwendet wird.

Die entscheidende Frage ist, ob das UTM-Setup wirklich eine anonyme Kampagnenmessung oder ein Empfänger-spezifisches Tracking ist. UTM-Parameter werden risikoreicher, wenn sie eine Empfänger-ID, einen E-Mail-Hash, eine CRM-ID, einen Lead-Score oder einen Wert enthalten, der den Besuch oder Klick einer Person zuordnen lässt. Selbst reine Kampagnen-UTMs können Teil eines Einwilligungsproblems werden, wenn die Landingpage sie mit Analyse-Cookies, Fingerprinting, angemeldeten Nutzerdaten oder Werbepixeln kombiniert.

Warum Öffnungsraten sowieso weniger zuverlässig sind

Hier ist der Clou: Selbst wenn die Einwilligung kein Thema wäre, ist das Tracking von Öffnungen nicht mehr das zuverlässige Signal, das es früher war.

Die rechtliche Änderung ist nicht der einzige Grund, das Tracking von Öffnungen zu überdenken. Öffnungsraten sind weniger zuverlässig geworden, weil moderne E-Mail-Clients und Datenschutz-Tools Bilder vorladen, Bildanfragen proxyen, Bilder blockieren oder Netzwerkdetails verbergen können.

Das bedeutet, dass ein “open” nicht immer bedeutet, dass ein Mensch die Nachricht gelesen hat, und ein fehlendes Öffnen nicht immer heißt, dass die Nachricht ignoriert wurde.

Für beziehungsbasierte Outlook mail merge kommen bessere Signale oft von:

• Antworten
• direkten Kundenreaktionen
• gebuchten Meetings
• ausgefüllten Formularen
• zurückgesendeten Dokumenten
• abgeschlossenen Geschäftsprozessen
• Trends bei Abmeldungen oder Beschwerden

Diese Ergebnisse sind normalerweise aussagekräftiger, als zu versuchen, Absichten aus einem versteckten Pixel abzuleiten.

Was Word und Outlook von sich aus machen

Bevor du ein Tool hinzufügst, hilft es zu wissen, was Microsoft 365 dir schon bietet.

Das einfache Seriendruck in Word und Outlook fügt keine Tracking-Pixel hinzu und ändert deine Links nicht. Word kann eine Liste in einzelne E-Mails zusammenführen, die über Outlook auf Windows oder Mac gesendet werden. Es ist nicht in der neuen Outlook-Version oder Outlook im Web verfügbar. Outlook kann auch eine einzelne Nachricht verzögern, und eine Regel kann gesendete Mails bis zu 120 Minuten zurückhalten.

Was sie dir nicht geben, ist viel Kontrolle über eine personalisierte Kampagne. Der Seriendruck von Word hat keine Möglichkeit, jeder Empfängerin oder jedem Empfänger eine andere Datei anzuhängen, keine CC- oder BCC-Felder und keine Planung für den gesamten Seriendruck.

Sind Outlook-Lesebestätigungen dasselbe wie Tracking-Pixel?

Nein. Outlook-Lesebestätigungen und versteckte Tracking-Pixel sind unterschiedlich.

Eine Lesebestätigung ist eine Standard-E-Mail-Funktion, bei der der E-Mail-Client des Empfängers möglicherweise fragt, ob eine Bestätigung an den Absender gesendet werden soll. Der Empfänger oder seine Organisation kann dies oft ablehnen oder deaktivieren. Es ist ein sichtbares Verhalten, das vom E-Mail-System gesteuert wird.

Ein Tracking-Pixel ist typischerweise unsichtbar. Es wird als Remote-Bild geladen und kann den Empfänger ohne direkte Aufforderung im E-Mail-Client identifizieren.

Für einen tieferen Vergleich siehe Email Tracking vs Outlook Read Receipts Explained.

Warum du SecureMailMerge immer noch brauchst

Word und Outlook vermeiden Tracking, aber sie sind umständlich für personalisierte Sendungen mit individuellen Anhängen, CC- und BCC-Empfängern sowie Terminplanung. SecureMailMerge schließt diese Lücke direkt in Outlook, sodass du den No-Tracking-Ansatz beibehältst, ohne auf diese Funktionen verzichten zu müssen. Es wird ein Microsoft 365 Business- oder Education-Postfach benötigt.

Wie SecureMailMerge das Tracking handhabt

Wo passt SecureMailMerge da eigentlich rein?

SecureMailMerge unterstützt kein Open Tracking oder Click Tracking.

Das bedeutet:

• Es wird kein unsichtbares Tracking-Pixel in deine E-Mail eingefügt
• Es wird kein einzigartiges Open-Tracking-Bild pro Empfänger generiert
• Keine Links werden über eine Tracking-Weiterleitung umgeschrieben
• Es werden keine Open-, Click-, Geräte- oder Standort-Analysen von SecureMailMerge gesammelt
• Es wird kein Empfänger-Engagement-Profil innerhalb von SecureMailMerge erstellt

Das ist Absicht. SecureMailMerge ist für Microsoft 365-Nutzer konzipiert, die personalisierte Serienmail-Kampagnen aus Outlook senden wollen und dabei die Kampagnendaten in ihrem eigenen Microsoft 365-Workflow behalten möchten.

Empfänger-Tabellen werden lokal auf deinem Computer innerhalb der Add-in-Oberfläche verarbeitet. E-Mails werden aus deinem Postfach gesendet, und Antworten bleiben in Outlook. Das ist nützlich für interne Kommunikation, Kundenbenachrichtigungen, transaktionale Updates, Rechnungen, Zertifikate, compliance-sensible Nachrichten und andere Sendungen, bei denen Tracking-Pixel unnötig oder unerwünscht wären.

SecureMailMerge kann auch die Standardoptionen von Outlook verwenden, wie zum Beispiel Lesebestätigungen, wenn diese von Microsoft 365 und dem Mail-System des Empfängers unterstützt werden. Das ist nicht dasselbe wie Pixel-Tracking oder Link-Weiterleitung.

Erfahre mehr über die Datenverarbeitung des Produkts im SecureMailMerge IT security guide.

Praktische Checkliste für europäische E-Mail-Versender

Nicht sicher, wo Du anfangen sollst? Hier ist eine schnelle Checkliste, die Du heute durchgehen kannst.

Wenn Deine Organisation Marketing- oder Newsletter-E-Mails an europäische Empfänger sendet, überprüfe jetzt Deinen E-Mail-Stack:

1. Prüfe, ob Deine Plattform standardmäßig Open-Tracking-Pixel einfügt.
2. Prüfe, ob Links über Tracking-Domains umgeschrieben werden.
3. Trenne die Einwilligung zur E-Mail-Abonnement von der Einwilligung zur Engagement-Analyse, wo nötig.
4. Überprüfe bestehende Automatisierungen, die Opens, Klicks, Lead Scores oder Engagement-Segmente verwenden.
5. Bevorzuge aggregierte, anonymisierte Berichte, wenn individuelles Tracking nicht notwendig ist.
6. Aktualisiere Datenschutzhinweise und Anmeldeformulare, damit Empfänger verstehen, was gemessen wird.
7. Bewahre den Nachweis der Einwilligung auf und ermögliche eine einfache Widerrufsmöglichkeit.
8. Frage Deine Rechtsberatung, wie Frankreich, Italien und Deine Ziel-Länder Deine Kampagnen beeinflussen.

Dieser Artikel ist allgemeine Information, keine Rechtsberatung. Die richtige Umsetzung hängt von Deinem Publikum, Zweck, Einwilligungstext, Datenflüssen, Anbietern und nationalen ePrivacy-Regeln ab.

FAQ

Brauchen E-Mail-Open-Tracking-Pixel in Europa eine Einwilligung?

Oft ja. Im Jahr 2026 haben die CNIL in Frankreich und der Garante in Italien beide die Auffassung vertreten, dass individuelles E-Mail-Open-Tracking über Pixel in der Regel eine vorherige Einwilligung erfordert, wenn es für Marketing-Analysen oder Verhaltens-Tracking verwendet wird.

Ist das ein neues DSGVO-Gesetz?

Nein. Die Richtlinien wenden bestehende ePrivacy- und DSGVO-Prinzipien auf Tracking-Pixel in E-Mails an. Das Gesetz ist nicht neu, aber die Erwartungen der Aufsichtsbehörden sind jetzt klarer.

Deckt die Newsletter-Einwilligung auch das Open-Tracking ab?

Nicht unbedingt. Die CNIL in Frankreich macht besonders deutlich, dass die Einwilligung zum Erhalt eines Newsletters nicht automatisch die Einwilligung bedeutet, zu verfolgen, ob die Person ihn geöffnet hat.

Ist Click-Tracking verboten?

Die Richtlinien von 2026 sind expliziter bezüglich Open-Tracking-Pixel als beim Click-Tracking. Dennoch kann Click-Tracking Empfänger identifizieren und Verhalten messen, daher sollte es unter den Cookie-Regeln und DSGVO-Prinzipien überprüft werden.

Verfolgt SecureMailMerge Opens oder Klicks?

Nein. SecureMailMerge fügt keine Open-Tracking-Pixel ein und schreibt keine Links für Click-Tracking um. Es konzentriert sich auf Outlook-Mail-Merge, Personalisierung, Anhänge, Planung und Microsoft 365 Versand.

Gibt es ein CNIL-konformes E-Mail-Tool ohne Tracking-Pixel?

Die CNIL-Einwilligungspflicht betrifft Tracking-Pixel, die Opens messen, daher vermeidet ein Tool, das keine hinzufügt, diese Pflicht. SecureMailMerge fügt keine Open-Pixel ein und schreibt keine Links um, was bedeutet, dass kein pixelbasiertes Tracking vorliegt, für das eine separate Einwilligung eingeholt werden müsste. Die Marketing-Einwilligung und Datenschutzhinweise für den Versand selbst müssen weiterhin beachtet werden, aber der zusätzliche Pixel-Einwilligungsschritt entfällt.

Welches E-Mail-Tool erfüllt die Regeln des Garante in Italien ohne Open-Tracking?

Dasselbe Prinzip gilt. Die Richtlinien des Garante, mit einer Übergangsfrist für bestehende Kontakte, die Ende Oktober 2026 endet, richten sich gegen Pixel, die identifizieren, wer eine Nachricht geöffnet hat. SecureMailMerge sendet aus deinem eigenen Microsoft 365 Postfach ohne Open- oder Click-Tracking, daher erzeugt es keine Empfänger-bezogenen Engagement-Daten, die diese Richtlinien regeln.