Die App des französischen Elektronik- und Buchhändlers Fnac schickte die angesehenen Produkte ihrer Nutzer weiter an einen externen Empfehlungsdienst, auch nachdem diese im Cookie-Banner abgelehnt hatten. Dafür verhängt die französische Datenschutzbehörde CNIL Bußgelder von zusammen 7 Millionen Euro. Ihre Begründung betrifft jeden Shop, der Empfehlungen aus dem Surfverhalten errechnet: Das ist Werbung und nur mit Einwilligung zulässig.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenDie CNIL hat die Entscheidung am 22. Oktober beschlossen und am 29. Oktober veröffentlicht.[1] 6 Millionen Euro entfallen auf die Konzerngesellschaft Fnac Darty Participations et Services, 1 Million Euro auf Fnac Direct, die fnac.com und die App in Frankreich betreibt. Beide müssen binnen eines Monats nach Zustellung belegen, dass ihr neues Empfehlungssystem eine Einwilligung einholt, wo sie nötig ist. Danach drohen 10.000 Euro Zwangsgeld je Tag.[2] Ausgelöst hat das Verfahren eine Beschwerde der Wiener Datenschutzorganisation noyb vom September 2023.[3]
Das Wichtigste in Kürze
- Die Fnac-App übermittelte nach einer Ablehnung im Cookie-Banner weiter eine Nutzerkennung und die angesehenen Produkte an einen fremden Server. Die CNIL verhängt 7 Millionen Euro und droht ein Zwangsgeld von 10.000 Euro je Tag an, falls Fnac den Nachweis schuldig bleibt.
- Personalisierte Empfehlungen, Zubehörvorschläge und das Training des Empfehlungsalgorithmus sind laut CNIL Werbung und nicht von der Einwilligungspflicht ausgenommen.
- Dient ein Tracker mehreren Zwecken, ist er schon dann einwilligungspflichtig, wenn es nur einer dieser Zwecke ist. Die deutsche Regel in § 25 TDDDG stützt sich auf dieselbe EU-Vorschrift.
Was hat die CNIL in der Fnac-App gefunden?
Prüfer der CNIL haben die App am 6. März 2024 online untersucht, so wie ein Nutzer sie nach dem Herunterladen erlebt. Schon das Banner beim ersten Start kündigte an, dass Cookies für Empfehlungen auch nach einem Klick auf den Knopf zum Fortfahren ohne Zustimmung gesetzt würden. Genau das stellten die Prüfer fest: Nach der Ablehnung gingen Anfragen an einen fremden Server, mit einer Kennung, die Fnac jedem Nutzer zuweist, und mit Angaben zu den angesehenen Produkten. Den Namen des Empfehlungsdienstes schwärzt die Entscheidung.[2]
Die App kam laut CNIL zwischen März 2023 und März 2024 in Frankreich auf mehr als 1,5 Millionen Downloads und im Schnitt 37.400 Nutzer am Tag. Beide Gesellschaften entscheiden gemeinsam über die Datenverarbeitung in der App und gelten deshalb als gemeinsam Verantwortliche. Die alte Schnittstelle hat Fnac im Dezember 2024 abgeschaltet und im Januar 2025 durch ein neues System ersetzt. Dass dieses neue System die Einwilligung korrekt einholt, sah die CNIL nicht belegt. Sie ordnete deshalb unter Androhung eines Zwangsgelds an, das nachzuweisen.[2]
Warum half das Argument mit dem Ladenregal nicht?
Fnac berief sich auf die Ausnahme für Zugriffe, die für einen ausdrücklich gewünschten Dienst unbedingt nötig sind. Die Empfehlungen ordneten das große Sortiment so, wie es die Regalgänge in einem Laden tun, argumentierte der Händler. Die CNIL prüfte die vier Zwecke des Trackers einzeln. Personalisierte Vorschläge aus dem Surfverhalten und Zubehör zum angesehenen Produkt sollen laut Entscheidung zum Kauf bewegen und sind damit Werbung. Auch das Training des Empfehlungsalgorithmus mit dem Verhalten der Nutzer dient diesem Ziel und ist einwilligungspflichtig.[2]
Nur bei ähnlichen Produkten, die nach einer Suche das Gesuchte ergänzen, hielt die CNIL eine Ausnahme theoretisch für möglich. Gerettet hat das Fnac nicht, denn alle vier Zwecke liefen über denselben Tracker. Ein Tracker mit mehreren Zwecken ist nur dann einwilligungsfrei, wenn es jeder einzelne Zweck ist. So hatte die CNIL schon im Dezember 2022 gegen Microsoft entschieden: 60 Millionen Euro für einen Cookie der Suchmaschine Bing, der mehreren Zwecken diente.[2]
Wie die CNIL die vier Zwecke bewertet
| Zweck | Begründung der CNIL | Ergebnis |
|---|---|---|
| Personalisierte Vorschläge aus dem Surfverhalten | Werbung | Einwilligung nötig |
| Zubehör und ergänzende Produkte | soll zum Zusatzkauf bewegen | Einwilligung nötig |
| Ähnliche Produkte nach einer Suche | käme theoretisch für die Ausnahme infrage, läuft aber über denselben Tracker | Einwilligung nötig |
| Training des Empfehlungsalgorithmus | dient den kommerziellen Empfehlungen | Einwilligung nötig |
Ein Tracker mit mehreren Zwecken ist nur dann einwilligungsfrei, wenn es jeder einzelne Zweck ist. Die Entscheidung ist nicht rechtskräftig, Fnac kann binnen zwei Monaten nach Zustellung Rechtsmittel einlegen.
Gilt das auch für Shops in Deutschland?
Die CNIL hat nach französischem Recht entschieden, Artikel 82 des französischen Datenschutzgesetzes (Loi Informatique et Libertés) setzt aber Artikel 5 Absatz 3 der ePrivacy-Richtlinie um, der EU-Datenschutzrichtlinie für elektronische Kommunikation. In Deutschland übernimmt das § 25 TDDDG. Er nimmt von der Einwilligungspflicht nur aus, was unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann.[4] Die Formulierung entspricht der französischen. Deutsche Aufsichtsbehörden sind an die CNIL nicht gebunden, ihre Begründung liefert aber eine Auslegung derselben Richtlinie, die Datenschützer und Gerichte heranziehen können.
Die Grenze verläuft nach der Logik der Entscheidung bei Daten über das Verhalten einzelner Nutzer. Fnac selbst plant laut Entscheidung eine Trennung: personalisierte Vorschläge nur nach Einwilligung, allgemeine Vorschläge zum gerade angesehenen Produkt ohne Tracker, das Training nur noch mit vorher anonymisierten Nutzungsdaten.[2] WooCommerce, das verbreitete Shop-Plugin für WordPress, zeigt den Unterschied im eigenen Code. Die Liste „Zuletzt angesehene Produkte“ speichert bis zu 15 Produktnummern in einem Cookie, das mit dem Schließen des Browsers verfällt, und nur, wenn der Betreiber diese Anzeige eingebunden hat. Daten an Dritte gehen dabei nicht.[5] Ob eine solche Liste ohne Einwilligung zulässig ist, hat die CNIL nicht entschieden. Empfehlungsdienste, die Klicks an einen fremden Server melden und ihr Modell daran trainieren, entsprechen dagegen dem Fall Fnac.
Eine Lockerung ist nicht in Sicht. Der Rat der EU hält in seiner Verhandlungsposition zum Digital Omnibus, dem EU-Paket zur Vereinfachung der Digitalregeln, an der Einwilligung als Regel fest. Er nennt sechs einwilligungsfreie Zwecke, darunter Reichweitenmessung für eigene Zwecke und kontextuelle Werbung. Personalisierte Produktempfehlungen stehen laut PPC Land nicht darauf.[6] Wie der Ratstext Wartefristen nach einer Ablehnung regelt, fasst die Meldung Cookie-Banner: EU-Staaten wollen nach einem Nein nur vier Monate Pause zusammen.
Ein Klick auf Ablehnen gilt für jeden Tracker in der App, auch für den, der Produkte empfiehlt.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Shop-Betreiber jetzt prüfen?
- Datenverkehr nach dem Nein testen: Lehnen Sie im eigenen Shop und in der eigenen App alle optionalen Cookies ab und beobachten Sie, welche Anfragen danach noch an fremde Server gehen. So sind die Prüfer der CNIL vorgegangen.
- Empfehlungsdienste einordnen: Klären Sie mit dem Anbieter Ihrer Produktempfehlungen, ob er Kennungen und Klicks einzelner Nutzer erhält und sein Modell damit trainiert. Dann darf der Dienst erst nach einer Einwilligung laden.
- Zwecke trennen: Allgemeine Vorschläge zum angesehenen Produkt lassen sich oft ohne Nutzerdaten berechnen. Laufen sie über denselben Tracker wie personalisierte Vorschläge, ist nach der CNIL-Logik der ganze Tracker einwilligungspflichtig.
- Banner-Text abgleichen: Ein Banner, das ankündigt, bestimmte Cookies auch nach einer Ablehnung zu setzen, ersetzt keine Einwilligung. Genau dieser Hinweis stand in der Fnac-App.
- Apps nicht vergessen: Die Regeln gelten für eingebundene Software-Bausteine in Apps genauso wie für Cookies im Browser. Die CNIL hielt Fnac vor, die Pflichten seien seit Jahren bekannt.
Fnac kann binnen zwei Monaten nach Zustellung beim Conseil d’État, dem obersten französischen Verwaltungsgericht, Rechtsmittel einlegen; rechtskräftig ist die Entscheidung bis dahin nicht.[2] Eine Stellungnahme des Unternehmens enthalten weder die Entscheidung noch die Mitteilung der CNIL. noyb hatte im September 2023 zugleich Beschwerden gegen die Apps SeLoger und MyFitnessPal eingereicht.[3] Wie Consent-Tools mit Werbe- und Messdiensten zusammenspielen, beschreibt der Beitrag Google Consent Mode v2: Was Shops jetzt tun müssen. Passende Werkzeuge für die Datenschutzerklärung listet der Vergleich der Datenschutzerklärung-Generatoren, Dienstleister für Suchmaschinenwerbung der SEA-Agentur-Vergleich.
FAQ: CNIL verhängt 7 Millionen Euro gegen Fnac: Personalisierte Produktempfehlungen brauchen eine Einwilligung
Wofür verhängt die CNIL 7 Millionen Euro gegen Fnac?
Die Fnac-App schickte laut CNIL eine Nutzerkennung und die angesehenen Produkte an einen fremden Empfehlungsdienst, auch nachdem Nutzer im Cookie-Banner abgelehnt hatten. Die CNIL wertet das als Verstoß gegen die Einwilligungspflicht für Tracker. Die Entscheidung ist noch nicht rechtskräftig.
Brauchen Produktempfehlungen im Shop eine Einwilligung?
Laut CNIL ja, sobald sie auf dem Surfverhalten einzelner Nutzer beruhen oder ein Modell mit deren Verhalten trainieren. Das gilt auch für Zubehörvorschläge. Allgemeine Vorschläge zum angesehenen Produkt will Fnac künftig ohne Tracker anzeigen.
Gilt die Entscheidung auch in Deutschland?
Unmittelbar nicht, sie betrifft Fnac in Frankreich. § 25 TDDDG setzt aber dieselbe EU-Vorschrift um und nimmt ebenfalls nur aus, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Deutsche Aufsichtsbehörden können die Begründung heranziehen.
Was passiert, wenn ein Tracker mehrere Zwecke hat?
Dann ist er laut CNIL einwilligungspflichtig, sobald es auch nur einer der Zwecke ist. Fnac scheiterte daran: Ähnliche Produkte hätten womöglich ohne Einwilligung angezeigt werden dürfen, liefen aber über denselben Tracker wie die personalisierten Vorschläge.
Quellen
6 Quellen anzeigenQuellen ausblenden
- CNILCookies et application mobile : sanctions de 7 millions d’euros à l’encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT, Mitteilung vom 29. Oktober 2026
- LégifranceDélibération SAN-2026-015 du 22 octobre 2026, Entscheidung der Formation restreinte der CNIL, veröffentlicht am 29. Oktober 2026
- noybnoyb-Erfolg: €7 Millionen Strafe für französischen Elektronikhändler Fnac Darty
- Gesetze im Internet§ 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen, abgerufen am 29. Oktober 2026
- WooCommerce auf GitHubQuellcode wc-product-functions.php, Funktion für zuletzt angesehene Produkte, abgerufen am 29. Oktober 2026
- PPC LandCNIL fines Fnac €7m after its app tracked users who refused consent, 29. Oktober 2026, mit Angaben zur Ratsposition zum Digital Omnibus vom 21. Oktober 2026
Mehr Newshunger?
- Cookie-Banner: EU-Staaten wollen nach einem Nein nur vier Monate Pause
- Safari 27.2: Cookies von Websites hinter CDN oder Shop-Plattform bleiben wieder länger als sieben Tage gespeichert
- Cookie-Banner abschaffen: Ein Datenschutz-Bündnis drängt Brüssel zum Browsersignal
- Brüssel wollte Cookie-Banner abschaffen, doch Berlin bremst
- Google Ads: KI fasst in Suchanzeigen nur positive Bewertungen zusammen
