Was sich geändert hat
- Die CNIL verhängte Geldbussen von insgesamt 7 Millionen Euro wegen Verstössen gegen Artikel 82 des französischen Datenschutzgesetzes.
- Eine durch NOYB ausgelöste Überprüfung ergab API-Aufrufe, die Nutzeridentifikatoren und Browserdaten ohne Einwilligung der Nutzer an eine Drittanbieter-Domain übermittelten.
- Die CNIL erliess eine Konformitätsanordnung, verbunden mit einem Zwangsgeld von 10'000 Euro pro Tag nach Ablauf einer einmonatigen Frist ab Zustellung.
Betreiber mobiler Anwendungen und E-Commerce-Unternehmen, die in der Europäischen Union tätig sind, sehen sich einer strengen Durchsetzung bezüglich der Einwilligung von Nutzern für Tracking-Technologien gegenüber. Am 22. Oktober 2026 erliess die französische Datenschutzbehörde (CNIL) den Beschluss SAN-2026-015 und verhängte eine Geldbusse von insgesamt 7 Millionen Euro gegen FNAC DARTY PARTICIPATIONS ET SERVICES (6 Millionen Euro) und FNAC DIRECT (1 Million Euro) wegen Nichteinhaltung der Regeln für Tracker gemäss Artikel 82 des französischen Datenschutzgesetzes (loi Informatique et Libertés).
Die Durchsetzungsmassnahme geht auf eine Beschwerde der gemeinnützigen Organisation None Of Your Business (NOYB) zurück, die im März 2024 zu einer Überprüfung der mobilen Anwendung der Unternehmen durch die CNIL führte. Die Ermittler der CNIL stellten fest, dass die Anwendung einen Tracker einsetzte, der den Browserverlauf der Nutzer erfasste, um personalisierte Produktempfehlungen anzuzeigen und Empfehlungsalgorithmen zu trainieren, obwohl die Nutzer einem solchen Tracking nicht zugestimmt hatten. Eine technische Analyse ergab, dass API-Anfragen an eine Drittanbieter-Domain gerichtet wurden, über die von FNAC zugewiesene Nutzeridentifikatoren zusammen mit Aktivitätsdaten wie angesehenen Produkten übermittelt wurden.
Der Ausschuss für Sanktionen (formation restreinte) der CNIL vertrat die Auffassung, dass diese Vorgänge unter keine der in Artikel 82 des französischen Datenschutzgesetzes vorgesehenen Ausnahmen von der Einwilligungspflicht fielen. Das Tracking diente weder ausschliesslich der Erleichterung der elektronischen Kommunikation noch war es unbedingt erforderlich, um einen vom Nutzer ausdrücklich angeforderten Online-Kommunikationsdienst bereitzustellen. Folglich erforderten diese Aktivitäten die vorherige Einwilligung der Nutzer.
Zur Begründung der Sanktion führte die CNIL die Nichtbeachtung der ausdrücklichen Ablehnung des Trackings durch die Nutzer, die grosse Nutzerbasis der Anwendung sowie die gefestigte behördliche Praxis an, wonach kommerzielle Personalisierungs- und Targeting-Tracker einer vorherigen Einwilligung bedürfen. Darüber hinaus erliess die CNIL eine Anordnung, mit der die Unternehmen verpflichtet werden, innerhalb eines Monats nach Zustellung des Entscheids konforme Einwilligungsmechanismen nachzuweisen, verbunden mit einem Zwangsgeld von 10'000 Euro pro Tag im Verzugsfall. Die Sanktion wurde aufgrund der Schwere und des Umfangs des Verstosses sowie der Gesamtzahl der betroffenen Nutzer veröffentlicht.
Wer betroffen sein kann
Nutzer der mobilen FNAC-Anwendung, E-Commerce-Händler und Herausgeber mobiler Apps, die in Frankreich und der EU tätig sind.
Grenzüberschreitender Kontext
Wendet die in französisches Recht umgesetzten EU-ePrivacy-Einwilligungsregeln (Artikel 82 des Datenschutzgesetzes) auf mobile Anwendungen und grenzüberschreitendes API-Tracking durch Drittanbieter an.
Was als Nächstes zu prüfen ist
- Konsultieren Sie die Délibération SAN-2026-015 du 22 octobre 2026 auf Légifrance.
- Prüfen Sie die Richtlinien und Empfehlungen der CNIL zu Cookies und Trackern in mobilen Anwendungen.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.