Es geschieht an einem Donnerstag. Die Datenschutzbehörde veröffentlicht eine 48-seitige Verfügung, und innerhalb von 40 Minuten füllen sich die WhatsApp-Gruppen der italienischen Marketingfachleute mit dreiminütigen Audiobeiträgen von Personen, die das Dokument zwar nicht gelesen haben, aber bereits eine sehr ausgeprägte Meinung dazu vertreten. Ein Klassiker.

Ich habe das Dokument vollständig gelesen (wenn Sie mir glauben wollen!). Es heißt Verordnung Nr. 284 vom 17. April 2026, Es geht um Zählpixel in E-Mails und ist einer der technisch dichtesten regulatorischen Texte, die ich in den letzten Jahren gelesen habe (ich lese nicht oft). Es ist ein Werk für Entwickler und diejenigen, die E-Mail-Infrastrukturen verwalten.

Der Sachverhalt, auf das Wesentliche reduziert

Tracking-Pixel sind jene unsichtbaren, nur einen Pixel großen Bilder, die E-Mail-Marketing-Plattformen in Newsletter einfügen, um festzustellen, ob die E-Mail geöffnet wurde. So funktionieren sie: Der Remote-Server stellt das Bild erst dann bereit, wenn der Client es anfordert, und die Anfrage enthält alle relevanten Metadaten – IP-Adresse, User-Agent, Zeitstempel und Empfänger-ID.

Die Garante hat zwischen Oktober 2025 und Februar 2026 zwei Inspektionen bei einem E-Mail-Anbieter und einer Marketingautomatisierungsplattform durchgeführt. Textliche Schlussfolgerung der Maßnahme: Zählpixel werden verwendet "in nahezu allen Fällen". Es handelt sich nicht um eine Schätzung nach unten. Es ist eine Einschätzung.

Der entscheidende rechtliche Aspekt ist folgender: Das Pixel wird als Fall eingestuft, der unter die'Artikel 122 des Datenschutzgesetzes, d. h. dieselbe Regelung wie bei Cookies. Artikel 122 enthält ein generelles Verbot, vorbehaltlich bestimmter Ausnahmen: Niemand darf Informationen auf dem Endgerät eines Nutzers speichern oder auf diese zugreifen, ohne dessen vorherige, freiwillige, spezifische und informierte Einwilligung einzuholen. Diese Regelung besteht seit der Umsetzung der ePrivacy-Richtlinie im Jahr 2012. Was bisher fehlte, war eine ausdrückliche Leitlinie, die diese Regelung auf E-Mails anwendet. Diese liegt nun vor.

Sechs Monate ab der Veröffentlichung im Amtsblatt stehen zur Anpassung zur Verfügung. Danach treten die Sanktionsbestimmungen gemäß Artikel 83 der DSGVO in Kraft. Zwanzig Millionen oder 4% des weltweiten Umsatzes – je nachdem, welcher Betrag höher ist.

Nicht nur ein italienisches Problem

Die ePrivacy-Richtlinie ist europäisch. Sie gilt in jedem Mitgliedstaat in gleicher Weise. Die Bestimmung der italienischen Garante bezieht sich ausdrücklich auf die EDPB-Leitlinien 2/2023 vom 7. Oktober 2024, die den auf europäischer Ebene vereinbarten gemeinsamen Rahmen für den technischen Anwendungsbereich von Art. 5 Abs. 3 der ePrivacy-Verordnung darstellen. Mit anderen Worten: Die italienische Datenschutzbehörde war zwar die erste, doch die Auslegung existiert bereits auf Ebene des EDPB.

Die französische CNIL – die in Sachen Datenschutz bekanntermaßen als „Bösewichtin der Kategorie A“ gilt – wird wahrscheinlich innerhalb weniger Monate nachziehen. Die Deutschen ebenfalls. Die Iren haben zwar eher biblische Zeiträume, werden aber auch noch dazu kommen. Wer Newsletter an europäische Bürger versendet, hat ohnehin ein Problem, unabhängig davon, wo sich der Firmensitz befindet.

Der interessante technische Teil (den niemand kommentiert)

In Absatz 6 der Verordnung findet sich eine konkrete architektonische Empfehlung, die mich als Entwickler aufhorchen ließ. Die Datenschutzbehörde schlägt in Anwendung von Art. 25 DSGVO („Privacy by Design“) Folgendes vor:

"Der Absender generiert eine unlesbare und nicht sequenzielle Kennung und ordnet diese der E-Mail-Adresse des Empfängers zu, wobei diese Zuordnung in einer internen und separaten Ebene der verwendeten Plattform gespeichert wird."

Im Klartext: Die URL des Pixels darf die E-Mail-Adresse des Empfängers nicht enthalten. Weder im Klartext noch in Base64 noch in anderen Formaten, die sich leicht zurückverfolgen lassen. Es muss sich um eine undurchsichtige, separat generierte Kennung handeln, deren Zuordnung zur E-Mail-Adresse in einer internen Datenbank gespeichert ist und die niemals über das öffentliche Netz übertragen wird.

Gut: Schauen Sie sich an, wie Ihre Plattform dies handhabt. Öffnen Sie den HTML-Code eines aktuellen Newsletters und suchen Sie nach dem Tag <img> des Tracking-Pixels und prüfen Sie, welche URL dabei entsteht. Sollten Sie darin Ihre E-Mail-Adresse, einen nicht "gesalzenen" Hash oder eine beliebige Zeichenfolge finden, die sich innerhalb von dreißig Sekunden auf Ihre Adresse zurückführen lässt, ist diese Plattform noch nicht bereit. Und dies ist die Standardeinstellung bei weitaus mehr Plattformen, als Sie vermuten würden.

Dies ist der Teil der Maßnahme, der – abgesehen von allgemeinen Anmerkungen – echte technische Arbeit erfordert – und nicht etwa ein "Privacy Compliance"-Plugin, das man kurzerhand aus dem Repository herunterlädt.

Was Sie ohne Zustimmung tun können (die drei Ausnahmen)

Die Bestimmung ist nicht der erste Absatz eines dystopischen Romans. In Absatz 5 werden drei Fälle aufgeführt, in denen keine Zustimmung erforderlich ist.

Anonyme aggregierte Statistiken. Sie können die Gesamt-Öffnungsrate einer Kampagne messen, ohne eine Einwilligung einzuholen, vorausgesetzt, Sie verwenden für alle Empfänger ein identisches Pixel (kein eindeutiges Pixel pro Nutzer) und anonymisieren IP-Adressen und Client-Daten. Ergebnis: Sie wissen, dass eine Kampagne von „34%“ geöffnet wurde, wissen jedoch nicht, von wem. Eine runde Zahl, keinerlei individuelle Profilerstellung.

Sicherheit und Authentifizierung. Passwortrücksetzung, Kontobestätigung, Datenübertragbarkeit, Bearbeitung von GDPR-Anfragen. Hier wird das Pixel verwendet, um zu überprüfen, ob die Nachricht beim richtigen Haus angekommen und die Verzichtserklärung vollständig ist.

Obligatorische institutionelle oder dienstliche Mitteilungen. Vertragsänderungen, Benachrichtigungen über Datenschutzverletzungen, Fristerinnerungen, Phishing-Warnungen. Legitim.

Was nicht Die Verarbeitung ohne Einwilligung ist der Normalfall: Ich verfolge, wer die E-Mail öffnet, um festzustellen, ob der Betreff funktioniert, passe die Versandhäufigkeit an das Interesse des Einzelnen an, erstelle Profile darüber, wer „heiß“ und wer „kalt“ ist, und personalisiere den nächsten Versand. Das ist genau das, was Mailchimp, Brevo, ActiveCampaign, HubSpot, Klaviyo, FluentCRM und Substack tun – sofort einsatzbereit, standardmäßig, vom ersten Tag an.

Das falsche Problem, dass jemand bereits verkauft

Sobald die Verfügung herauskam, hat mein Anwalt Alessandro Vercellotti — der sich mit Digitalrecht befasst und sich beruflich mit diesen Themen auskennt — hat auf einen Punkt hingewiesen, der es wert ist, wiederholt zu werden. Es gibt bereits Agenturen, die das "strenge doppelte Einwilligungsverfahren" anbieten: ein Kontrollkästchen für den Newsletter, ein separates für das Tracking, wobei beide bei der Anmeldung obligatorisch sind. Kosten der Maßnahme: erheblich hoch. Dringlichkeit: sehr hoch.

Das Problem ist, dass die Datenschutzbehörde das Gegenteil geschrieben hat.

Der Text von Absatz 6 ist eindeutig: Zustimmung zum Tracking kann unter die allgemeinere Einwilligung zum Newsletter fallen, sofern die Anfrage neutral ist und sofern – und das ist der entscheidende Punkt – der Widerruf detailliert erfolgen kann. Ein Kontrollkästchen bei der Anmeldung ist in Ordnung, doch anschließend muss der Nutzer die Möglichkeit haben, ausschließlich das Tracking zu deaktivieren, ohne den Newsletter zu verlieren. Ein Einstellungsmenü, das über die Fußzeile jeder E-Mail zugänglich ist. Punkt.

Wie Vercellotti bereits sagte, hat derjenige, der die doppelte Zustimmung verkauft, das Dokument entweder nicht gelesen oder er setzt darauf, dass Sie es nicht lesen werden. In beiden Fällen gilt die gleiche Regel: Holen Sie eine zweite Meinung ein, bevor Sie Angebote unterschreiben (vielleicht fragen Sie ihn, wer wirklich gut ist).

Die vier Folgen, ohne Süßstoff

1. Die Öffnungsrate als KPI befindet sich auf der Intensivstation

Ein Teil Ihrer Abonnenten wird in das Segment "Newsletter ja, Tracking nein" fallen. Für diese Gruppe lässt sich die Öffnungsrate nicht mehr messen. Wenn Sie dem Kunden auf Basis der Öffnungsrate eine Rechnung stellen, sollten Sie noch heute damit beginnen, ein alternatives Modell zu entwickeln: Klicks auf relevante Links, direkte Antworten, nachgelagerte Konversionen. Die Öffnungsrate bleibt als technischer Indikator für die Zustellung bestehen. Als Indikator für das Engagement verliert sie jedoch an Bedeutung.

2. Das Einstellungspanel ist Code, nicht Compliance

Das in der Verordnung vorgeschriebene detaillierte Widerrufsformular ist kein Kontrollkästchen in der E-Mail. Es handelt sich um eine eigenständige Seite, die über die Fußzeile verlinkt ist, mit dem CRM verbunden ist, die Auswahl des Nutzers als Abonnenteneigenschaft speichert und das Verhalten der Pixel-Einbindung beim Versand anpasst. Wenn Ihre Plattform derzeit weder eine Benutzeroberfläche noch einen Entwickler-Hook bereitstellt, um das Pixel bedingt zu unterdrücken, bauen Sie technische Schulden in rasantem Tempo auf.

3. Die Strafen sind nicht mehr die 30.000 Euro Theater

Bis zu 4% des weltweiten Umsatzes. Niemand fängt an der Obergrenze an, aber das Umfeld für die Durchsetzung ist heiß: in derselben Woche, in der diese Leitlinien veröffentlicht wurden, verhängte die Garante eine Sanktion von 12,5 Millionen für Poste Italiane und Postepay in einem anderen Fall (ThreatMetrix-Funktion in den BancoPosta-Apps). Die Behörde bleibt wachsam.

4. Ihre E-Mail-Plattform ist der erste Engpass

Drei Überprüfungen, die Sie noch heute durchführen können, ohne jemanden anrufen zu müssen. Öffnen Sie den HTML-Code eines aktuellen Newsletters und sehen Sie sich die URL des Pixels an: Enthält diese die E-Mail-Adresse des Empfängers (im Klartext oder in Formaten, die sich leicht zurückverfolgen lassen)? Falls ja, entspricht die Plattform nicht den „Privacy-by-Design“-Kriterien der Datenschutzbehörde. Öffnen Sie das Admin-Panel und versuchen Sie, dieselbe Kampagne an zwei Segmente mit unterschiedlichen Tracking-Richtlinien zu versenden: Gelingt Ihnen dies, ohne die Kampagne zu duplizieren? Falls nicht, entspricht der Workflow nicht den neuen Vorschriften. Suchen Sie in der Dokumentation nach dem Hook oder Filter, der es ermöglicht, das Pixel bedingt pro Abonnent zu unterdrücken: Gibt es diesen? Falls nicht, wenden Sie sich umgehend an den Support der Plattform.

Sechs Monate. Was nicht sechs Monate sind

In der Softwarebranche wissen wir eine Sache, die das Gesetz oft ignoriert: Entwicklungszeiträume sind nicht linear. Wenn eine Anpassung Datenbank-Audits, Informationsaktualisierungen, CRM-Eingriffe, den Aufbau eines Einstellungspanels, eine mögliche Plattformmigration, eine erneute Zustimmungskampagne, End-to-End-Tests und eine Überwachung nach der Einführung erfordert - dann sind sechs Monate ein straffer Zeitplan. Nicht breit.

Diejenigen, die im Spätsommer anfangen, arbeiten in Eile. Diejenigen, die im Oktober beginnen, kommen spät. Diejenigen, die zu spät kommen, nehmen das, was vom Markt übrig bleibt, und das ist in der Regel nicht das Beste: starre Plattformen, übereilte Ratschläge, Flickschusterei. Wer zuerst kommt, hat die Wahl. Plattform, Partner, Architektur, Zeitplan.

Quellen

Wenn Sie einen aktiven Newsletter haben und bisher nur die dreiminütigen Audios gelesen haben, ist dies das richtige Zeichen. Das Maß ist da, Sie brauchen weniger als einen Nachmittag, um es zu lesen, und es enthält alles, was Sie brauchen, um zu wissen, wo Sie anfangen sollen. In sechs Monaten wird sich das Gespräch verändern. Nicht zum Besseren für diejenigen, die es hinausgezögert haben.