Tracking ohne Einwilligung: 7 Millionen Euro Strafe für Fnac Darty

Die französische Datenschutzbehörde CNIL hat Fnac Darty am 22. Oktober 2026 mit 7 Millionen Euro Geldbuße belegt. Der Grund: Die App der Elektronikhandelskette betrieb Tracking ohne Einwilligung. Laut CNIL-Mitteilung vom 29. Oktober schickte sie eine Nutzerkennung und die angesehenen Produkte an die Domain eines Drittanbieters, für Empfehlungen und das Training eines Algorithmus. Binnen eines Monats muss Fnac Darty nachweisen, dass das neue Tool Einwilligungen einholt. Sonst drohen 10.000 Euro Zwangsgeld pro Tag.

Was hat die CNIL gegen Fnac Darty entschieden?

Die CNIL hat zwei Gesellschaften der Fnac-Darty-Gruppe sanktioniert. FNAC DARTY PARTICIPATIONS ET SERVICES zahlt 6 Millionen Euro, FNAC DIRECT eine Million Euro. Der Beschluss trägt die Nummer SAN-2026-015 und datiert vom 22. Oktober 2026. Rechtsgrundlage ist Artikel 82 des französischen Datenschutzgesetzes. Er regelt Cookies und andere Tracker. Fnac Darty gehört laut noyb zu den größten Elektronikhändlern Frankreichs.

Die Behörde nennt drei Gründe für die Höhe. Die Unternehmen haben die Entscheidung der Nutzenden gegen das Tracking ihres Surfverhaltens nicht beachtet. Die App nutzen sehr viele Menschen. Und nach gefestigter Rechtsprechung fallen Tracker für Personalisierung und gezielte Werbung nicht unter die Ausnahmen des Artikels 82.

Die CNIL hat den Beschluss veröffentlicht. Sie nennt als Gründe die Schwere des Verstoßes, den Umfang der Verarbeitung und die Zahl der Betroffenen.

Wie lief das Tracking in der Fnac-App ab?

Das Tracking der Fnac-App lief über Anfragen an die Domain eines Drittanbieters. Das stellte die CNIL bei ihrer Prüfung im März 2024 fest. Die Anfragen liefen über eine Programmierschnittstelle. So heißt der Kanal, über den eine App Daten mit einem Server austauscht. Sie enthielten eine Kennung. Fnac hatte sie der Person zugewiesen. Dazu kamen Angaben zur Aktivität, etwa die angesehenen Produkte.

Mit diesen Daten zeigte die App personalisierte Produkte an. Grundlage war der Verlauf. Das waren Zubehör, Verbrauchsmaterial und verwandte Dienstleistungen, dazu ähnliche Produkte. Außerdem trainierte der Tracker den Empfehlungsalgorithmus.

Eine Ausnahme greift laut CNIL nicht. Die Vorgänge sollten keine elektronische Kommunikation ermöglichen oder erleichtern. Unbedingt nötig für einen ausdrücklich gewünschten Dienst waren sie auch nicht. Also brauchte es vorab eine Einwilligung.

Unbequem ist ein Punkt. Das Verhalten von Menschen, die nie gefragt wurden, diente als Trainingsmaterial. Wer so arbeitet, entscheidet über fremde Daten. Die Betroffenen reden nicht mit.

Woher stammt die Beschwerde, und was wirft noyb den Apps vor?

noyb reichte am 14. September 2023 in Frankreich drei Beschwerden ein. Sie richteten sich gegen Fnac, die Immobilien-App SeLoger und die Fitness-App MyFitnessPal. Der Vorwurf: Die Apps geben schon beim Öffnen personenbezogene Daten an Dritte weiter. Laut Beschwerde sind das die Werbe-ID von Google, Marke und Modell des Geräts sowie die lokale IP-Adresse. Das war der Vorwurf von 2023. Die Sanktion betrifft den Tracker, den die CNIL bei ihrer Prüfung fand.

Die Beschwerde gegen Fnac beschreibt einen Tracking-Test vom Mai 2023. Die Betroffene installierte die App aus dem Google Play Store. Sie öffnete die App und reagierte nicht auf den sofort eingeblendeten Banner. Laut Beschwerde enthielt die App ein Software Development Kit des Analyseunternehmens Batch. Nach der Batch-Dokumentation erfasst es standardmäßig die Werbe-ID und erweiterte Gerätedaten. Der Mitschnitt zeigte: Die App sendete Werbe-ID, Gerätemodell, Marke, Betriebssystemversion und von Batch erzeugte Kennungen fünfmal pro Minute an Batch-Server. Ob der Tracker der CNIL mit diesem Kit identisch ist, sagt deren Mitteilung nicht.

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellflux_2 pro 1k 16:9PromptA plain wooden front door stands slightly ajar with a brass latch, and a blank paper tag hangs from the handle on a string. Warm lamp light from the hallway spills across the stone threshold and onto the steps outside. Photorealistic style image. Mood: calm, deliberate, protective. Avoid: watermark, signature, blurry, low quality, distorted, deformed.

Rechtlich stützt noyb die Beschwerde auf Artikel 5 Absatz 3 der europäischen ePrivacy-Richtlinie und Artikel 82 des französischen Datenschutzgesetzes. Dieser setzt die Richtlinie um. Beide erlauben den Zugriff auf Daten im Endgerät nur mit Einwilligung. Ausgenommen ist, was allein der elektronischen Kommunikation dient oder für einen ausdrücklich gewünschten Dienst unbedingt nötig ist. Genau diese Ausnahme hat die CNIL im Fnac-Fall verneint.

Zwei der drei Apps zeigten laut noyb gar keinen Einwilligungsbanner. Die dritte blendete einen ein. Die Übertragung begann trotzdem, bevor jemand etwas anklicken konnte. Ausgewertet wurde der Datenverkehr mit der PiRogue Tool Suite der Defensive Lab Agency.

Die Werbe-ID ist eine eindeutige Kennung. Sie ist an das Gerät einer Person gebunden. Laut noyb können Werbetreibende und andere Dritte damit einzelne Nutzende herausgreifen. Später sprechen sie diese gezielt an. Manche Anbieter verfolgen das Verhalten sogar außerhalb ihrer eigenen App. Sie reichern die Daten mit weiteren Informationen über das Leben der Betroffenen an.

noyb forderte die CNIL auf, die Löschung aller unrechtmäßig verarbeiteten Daten anzuordnen. Alle Empfänger sollten informiert werden. Wegen der Schwere der Vorwürfe und der womöglich vielen Betroffenen regte noyb außerdem eine Geldbuße an. Als weitere Rechtsgrundlagen nennt die Beschwerde die Artikel 5, 6 und 25 der Datenschutz-Grundverordnung.

Forschung von Konrad Kollnig und anderen zeigt laut noyb: Nur 3,5 Prozent aller Apps ließen Nutzenden eine echte Wahl, die Einwilligung abzulehnen. Die Juristin Ala Krinickytė sagte 2023, bei mobilen Apps habe es anders als bei Websites fast keine Durchsetzung gegeben. Ihre Kollegin Lisa Steinfeld Leiser nennt solches Tracking nach dem Beschluss weiterhin weit verbreitet. Sie hofft, dass er den Ton für Fälle illegalen Trackings setzt. noyb kündigte weitere Beschwerden gegen Anbieter mobiler Apps an.

Seit wann kontrolliert die CNIL Tracking in mobilen Apps?

Die CNIL hat am 13. Mai 2025 die endgültige Fassung ihrer Empfehlungen für mobile Apps veröffentlicht. Sie will diese ab 2025 bei ihren Kontrollen berücksichtigen. Beschlossen wurde der Text mit der Beratung Nr. 2024-061 vom 18. Juli 2024. Ein Entwurf ging im Juli 2023 in die öffentliche Konsultation. Die Empfehlungen richten sich an alle Beteiligten: App-Anbieter, Entwickelnde, Anbieter von Software Development Kits, Betriebssystemhersteller und App-Stores.

Als Grund nennt die CNIL den Datenzugriff. Apps greifen auf mehr unterschiedliche und teils sensiblere Daten zu als Websites, etwa auf Echtzeit-Standort, Fotos und Gesundheitsdaten. An einer einzelnen App sind oft viele Beteiligte aktiv, die Daten erheben oder weitergeben können. Menschen in Frankreich luden 2023 im Schnitt 30 Apps herunter. Sie nutzten ihr Smartphone täglich dreieinhalb Stunden, so die CNIL unter Berufung auf data.ai.

Informationen gehören klar, zugänglich und zum richtigen Zeitpunkt in die App. Nutzende sollen verstehen, ob eine angefragte Berechtigung für die Funktion wirklich nötig ist. Bei der Einwilligung sind die Empfehlungen eindeutig. Apps müssen sie für Daten einholen, die für den Betrieb nicht nötig sind, etwa für gezielte Werbung. Erzwingen dürfen sie die Zustimmung nicht. Nutzende müssen ablehnen oder widerrufen können, so einfach, wie sie zustimmen. Außerdem klärt die CNIL, wie die Einwilligung mit den technischen Berechtigungen des Betriebssystems zusammenspielt, etwa für Kontakte, Standort, Mikrofon und Kamera.

Erstmals rief die CNIL für diese Arbeit die französische Wettbewerbsbehörde an. Deren Stellungnahme datiert vom 4. Dezember 2023. Die CNIL begründet das mit der wachsenden Verzahnung von Datenschutz- und Wettbewerbsrecht. In der Endfassung trennt sie klarer zwischen verpflichtenden Regeln und Empfehlungen.

Ab dem frühen Frühjahr 2025 kündigte die CNIL eine eigene Kontrollkampagne zu mobilen Apps an. Sie ergänzt frühere Kontrollen, darunter die Schwerpunkte von 2023 zu Apps mit Tracking ohne Einwilligung. Ob das Fnac-Verfahren dazugehört, nennen die Mitteilungen nicht. Die Prüfung der Fnac-App fand im März 2024 statt, also vor der Kampagne. Bei der Umsetzung will die CNIL die Branche unter anderem mit Webinaren begleiten.

Was bedeutet der Beschluss für Händler und Nutzende, und was bleibt offen?

Der Beschluss gilt für Fnac Darty in Frankreich. Der Maßstab stammt aus europäischem Recht. Das Unternehmen ist laut noyb auch in Spanien, Italien, Portugal, Belgien und der Schweiz aktiv. Aus der Mitteilung der CNIL ergibt sich keine Pflicht, in Deutschland etwas zu ändern.

Für Händler legt die Begründung der CNIL eine Prüffrage nahe. Dient ein Tracker der Kommunikation, oder ist er für einen ausdrücklich gewünschten Dienst unbedingt nötig? Trifft beides nicht zu, braucht er Zustimmung. Sie muss vor dem Datenfluss vorliegen. Tracking für Produktempfehlungen und das Training von Empfehlungssystemen fällt nach dieser Begründung nicht unter die Ausnahme. Wer ein fremdes Software Development Kit einbaut, bleibt mitverantwortlich. Die Empfehlungen der CNIL verteilen die Pflichten über die ganze Kette.

Nutzende können selbst ansetzen:

• Beim ersten Start einer App prüfen, ob die Frage nach der Einwilligung vor dem Datenfluss kommt.
• Tracking ablehnen, wenn die App die Wahl lässt, und die Werbe-ID in den Systemeinstellungen zurücksetzen oder einschränken.
• Eine erteilte Einwilligung widerrufen: Laut CNIL muss das so einfach sein wie das Zustimmen.
• Bei Verdacht auf Tracking ohne Zustimmung die zuständige Datenschutzaufsicht einschalten.

Auch bei anderen Anbietern steht Werbung als Verarbeitungszweck unter Druck. Das Landgericht Köln entschied, dass Snapchat die My-AI-Chats nicht ohne Rechtsgrundlage für Werbung nutzen darf. Das Urteil ist nicht rechtskräftig. Wie weit die Verantwortung für fehlende Einwilligungen reicht, zeigt der Fall Xandr und die Einwilligung bei Grindr. Gegen die KI-Plattform Outlier erhebt noyb ebenfalls Vorwürfe, über die wir berichtet haben. Dort gibt es bisher keine behördliche Entscheidung.

Offen ist, ob die Unternehmen die Auflage fristgerecht erfüllen und ob sie den Beschluss anfechten. Weder die Mitteilung von noyb noch die der CNIL nennt eine Reaktion des Unternehmens. Zu den Beschwerden gegen SeLoger und MyFitnessPal enthält die noyb-Mitteilung keine Angaben. Die Originale sind die Mitteilung der CNIL zur Sanktion gegen Fnac Darty und die Einordnung von noyb zu diesem Fall.

Die Frist beginnt mit der Zustellung des Beschlusses. Das Datum nennen die Mitteilungen nicht. Nach Ablauf zeigt sich, ob die Fnac-App Tracking nur noch nach Zustimmung startet.