von Wolfscastle, Team
Cyfire mahnt Newsletter mit Öffnungs- und Klick-Tracking ohne eigene Einwilligung ab. Was beanstandet wird und wie Sie Ihr Versand-Tool prüfen.
Wer im Newsletter misst, wer die Mail öffnet und welche Links er anklickt, braucht dafür eine eigene Einwilligung. Mit diesem Vorwurf verschickt die Kanzlei Cyfire derzeit Abmahnungen an Händler. Der Händlerbund hat am 1. Oktober 2026 darüber berichtet.
Dieser Artikel fasst zusammen, was bisher über die Abmahnungen bekannt ist und welche Rechtslage dahintersteht. Er ersetzt keine Rechtsberatung.
Laut Händlerbund geht es um unsichtbare Tracking-Pixel, mit denen Versender das Öffnungs- und Klickverhalten auswerten. Die Abmahner sehen darin einen eigenen Verarbeitungsvorgang. Dabei würden über externe Server IP-Adressen, Öffnungszeiten und Gerätedaten erfasst, und dafür sei eine separate Einwilligung nötig.
Den Versand selbst beanstanden die Abmahner nach dem Bericht oft nicht, sofern ein Nachweis über die Anmeldung vorliegt. Gefordert werden eine strafbewehrte Unterlassungserklärung und die Erstattung außergerichtlicher Kosten im mittleren dreistelligen Bereich. Wen die Kanzlei vertritt, nennt der Händlerbund nicht.
Auf seiner Infoseite zu Cyfire schreibt der Händlerbund, dass die Kanzlei im Datenschutz seit Neuestem vermehrt Werbe-E-Mails ohne nachweisbaren Double-Opt-in rügt. Dazu kommen Öffnungs- und Klick-Tracking ohne gesonderte Einwilligung und unvollständige Auskünfte nach Art. 15 DSGVO. Sonst geht es bei Cyfire laut derselben Seite meist um Urheberrechte an Fotos. In Datenschutzfällen sei die Forderung nach Übergabe an Cyfire auf über 900 Euro gestiegen. Die Fristen lägen häufig bei nur etwa einer Woche.
Die IT-Recht Kanzlei ordnet Öffnungs- und Klick-Tracking unter § 25 TDDDG ein. Die Vorschrift erlaubt das Speichern und Auslesen von Informationen auf dem Endgerät nur mit Einwilligung des Nutzers. Beim Öffnungs-Tracking lädt die E-Mail eine kleine Grafik vom Server des Versenders, einen sogenannten Web-Beacon. Daran sieht der Versender, ob, wann und von wem die Mail geöffnet wurde. Beim Klick-Tracking führen individualisierte Links zuerst auf den Server des Versenders. Der registriert den Klick und leitet weiter.
Ob schon der Klick ein Zugriff auf das Endgerät ist, hält die Kanzlei für strittig. Im Ergebnis spiele das keine Rolle, weil zumindest die Links mit Empfängerkennung gespeichert würden. Die Ausnahme für erforderliche Vorgänge in § 25 Abs. 2 Nr. 2 TDDDG greift nach ihrer Einschätzung beim Tracking wahrscheinlich nicht. Wer aus den Daten Profile bildet, braucht zusätzlich eine Rechtsgrundlage nach der DSGVO, in der Regel ebenfalls eine Einwilligung.
Der Händlerbund schreibt außerdem, dass die Datenschutzbehörden der Länder für das Tracking von E-Mail-Öffnungen eine aktive Zustimmung für nötig halten. Eine Veröffentlichung einer deutschen Behörde dazu haben wir bei unserer Recherche nicht gefunden. Die Orientierungshilfe der Datenschutzkonferenz für digitale Dienste (Version 1.2, Stand November 2024) geht auf E-Mails nicht ausdrücklich ein. Auch ein Gerichtsurteil speziell zu Zählpixeln im Newsletter ist uns nicht bekannt.
Die französische Datenschutzbehörde CNIL hat am 14. April 2026 eine Empfehlung zu Tracking-Pixeln in E-Mails veröffentlicht. Sie unterscheidet Pixel, die eine Einwilligung brauchen, von solchen, die davon ausgenommen sind. Ausgenommen ist die individuelle Messung der Zustellbarkeit bei E-Mails zu einem Dienst, den der Empfänger angefordert hat. Als Beispiele nennt die CNIL Bestellbestätigungen, Versandbenachrichtigungen und Passwort-Zurücksetzungen. Die Daten dürfen dann nur für diesen Zweck genutzt werden. Für Adressen, die vor der Veröffentlichung erhoben wurden, galt eine Übergangsfrist von drei Monaten.
Die Empfehlung stützt sich auf Artikel 82 des französischen Datenschutzgesetzes, nicht auf deutsches Recht. Sie zeigt aber, wie eine europäische Aufsichtsbehörde die Frage beantwortet.
Händler dürfen Bestandskunden unter bestimmten Bedingungen ohne Einwilligung Werbung für ähnliche Waren schicken (§ 7 Abs. 3 UWG). Dieses Privileg deckt laut IT-Recht Kanzlei weder die Messung von Öffnungen und Klicks noch Profiling. Der Händlerbund sieht das genauso. Ein Hinweis im Checkout reiche nicht, nötig sei eine gesonderte Checkbox für die Analyse. Die IT-Recht Kanzlei ergänzt, dass eine solche Abfrage im Bestellvorgang nicht an den Kauf gekoppelt sein darf (Art. 7 Abs. 4 DSGVO).
Ein Cookie-Banner hilft nach Einschätzung des Händlerbunds ebenfalls nicht. Er erscheint frühestens beim ersten Klick auf einen Link im Newsletter. Das Tracking beginnt aber schon beim Öffnen der Mail.
Aus den Hinweisen von Händlerbund und IT-Recht Kanzlei ergeben sich diese Fragen:
Liegt schon eine Abmahnung auf dem Tisch, rät der Händlerbund, nicht sofort zu zahlen oder zu unterschreiben. Die Unterlassungserklärung sei oft zu weit gefasst.
Ob Ihre Einwilligungstexte rechtlich passen, klären Sie mit Ihrer Rechtsberatung oder Ihrem Händlerverband. Wir sehen uns mit Ihnen an, welche Tracking-Funktionen Ihr Shop und Ihr Newsletter-Tool tatsächlich nutzen, und setzen die nötigen Änderungen technisch um. Mehr dazu unter technische Beratung.
Wenn wir uns Ihren Newsletter-Versand ansehen sollen, schreiben Sie uns.
Ab 10.02.2027 stellt Let’s Encrypt Zertifikate mit 64 Tagen Laufzeit aus, ab 2028 mit 45 Tagen. Worauf Sie bei der automatischen Verlängerung achten sollten.
WeiterlesenEine Stelle reicht für den Gewährleistungshinweis, „lebenslang“ reicht nicht fürs GARAN-Label. Dazu die Änderungen in Shopware 6.7.15.1.
WeiterlesenWir sind bereit, Ihre digitalen Herausforderungen anzunehmen - ob E-Commerce, Web-App oder komplexes Ökosystem.
Wolfscastle arbeitet vollständig remote, aber immer auf Augenhöhe und mit direkter Kommunikation - ohne Umwege und zwischengeschaltete Projektmanager.