Die Einwilligungsausnahme der CNIL für Reichweitenmessung: die Kriterien vom Juli 2025

In Frankreich darf ein Tool zur Reichweitenmessung ohne Einwilligungsbanner laufen, wenn es die Bedingungen der französischen Datenschutzbehörde CNIL erfüllt. Am 4. Juli 2025 hat die CNIL ihre Seite „Cookies : solutions pour les outils de mesure d'audience“ aktualisiert und ein Werkzeug zur Selbstbewertung veröffentlicht, das diese Bedingungen für Anbieter ausführt. Lange führte die CNIL eine Liste geprüfter Lösungen; ihre aktuelle Seite veröffentlicht keine mehr und verweist auf die Selbstbewertung. Dieser Artikel erklärt, was sie verlangt und was Websitebetreiber prüfen sollten. Er ist eine allgemeine Information, keine Rechtsberatung.

Er betrifft Frankreich. In Deutschland gilt § 25 TDDDG, und die deutschen Aufsichtsbehörden erklären die Reichweitenmessung nicht allgemein für einwilligungsfrei; sie beurteilen jede Einrichtung im Einzelfall.

Die Regel und ihre Ausnahme

Artikel 82 des französischen Datenschutzgesetzes verlangt eine Einwilligung, bevor Informationen auf dem Gerät eines Besuchers gespeichert oder ausgelesen werden. Das betrifft Cookies, aber auch jede andere Technik: Pixel, lokalen Speicher, Fingerprinting. Eine Messung ohne Cookies entgeht der Regel also nicht von selbst.

Die Ausnahme gilt für Tracker, die für den Dienst unbedingt erforderlich sind. Die CNIL zählt die Reichweitenmessung dazu, wenn vier Bedingungen erfüllt sind:

1. Sie misst nur die Reichweite der Website, allein für den Websitebetreiber;
2. sie erzeugt nur anonyme Statistiken;
3. die Daten werden weder mit anderen Verarbeitungen verknüpft noch in nicht anonymer Form an Dritte gegeben;
4. sie kann eine Person nicht von einer Website oder App zur nächsten verfolgen.

Die CNIL empfiehlt außerdem, Besucher zu informieren (in der Datenschutzerklärung), die Lebensdauer der Tracker auf 13 Monate zu begrenzen, ohne sie bei jedem Besuch zu verlängern, und die Daten höchstens 25 Monate aufzubewahren.

Was die Selbstbewertung ergänzt

Das Werkzeug vom Juli 2025 richtet sich an Anbieter. Es zeigt, ob eine Lösung so eingerichtet werden kann, dass sie unter die Ausnahme fällt, und verlangt vom Anbieter ein Dokument nach der Vorlage der CNIL mit den nötigen Einstellungen für seine Kunden. Es beurteilt nicht, ob das Tool insgesamt der DSGVO entspricht.

Erlaubte Funktionen

Die Messung muss sich auf fünf Zwecke beschränken: Leistung messen, Navigationsprobleme erkennen, technische Leistung oder Bedienbarkeit optimieren, die benötigte Serverkapazität abschätzen und die aufgerufenen Inhalte analysieren.

Ausgeschlossene Funktionen

Alles, was dem Marketing dient, muss standardmäßig aus sein. Das Raster nennt die Leistung von Conversion-Kanälen und Werbekampagnen, die Messung von Akquisekanälen, die Bekämpfung von Werbebetrug und jede Bildung von Nutzerkohorten, um ihnen unterschiedliche Inhalte zu zeigen. A/B-Tests fallen unter den letzten Punkt.

Für eine zweifelhafte Funktion schlägt die CNIL eine einfache Frage vor: Kann die Website ohne diese Messung noch tun, worum der Besucher gebeten hat? Wirtschaftliches Interesse allein macht sie nicht „unbedingt erforderlich“.

Technische Kriterien nach Ziel

Ziel	Was das Raster verlangt
Ein einziger Zweck, die Reichweitenmessung	Anleitungen, um Funktionen außerhalb des Rahmens abzuschalten; minimierte HTTP-Header (etwa die Hauptversion des Browsers); höchstens drei Arten von Ereignissen: Anwesenheit auf einer Seite, Nutzung einer Funktion (Klick auf Schaltfläche oder Link, mit Label), Ladezeit, Scrollen oder Verweildauer
Der Anbieter ist Auftragsverarbeiter	Ein Vertrag nach Artikel 28 DSGVO; keine Zusammenführung von Rohdaten mehrerer Kunden; keine Weiterverwendung für eigene Zwecke; eine Kontaktstelle
Keine Verfolgung außerhalb der Website	Keine Kunden-ID (CRM), keine UTM-Tags oder Kampagnen-IDs aus URLs; Referrer nur als Domain; keine Integration mit Tools Dritter; ein First-Party-Cookie, falls es eines gibt; die IP-Adresse höchstens für die Stadt genutzt und dann um mindestens ein Byte gekürzt; ein Fingerabdruck mit einem Website- und einem Zeitanteil; keine Formulare, die personenbezogene Daten erfassen; keine einheitliche Reichweitenmessung
Nur anonyme Statistiken	Berichte und Exporte auf den nächsten Zehner gerundet oder eine Analyse, die ihre Anonymität belegt; keine Filterkombination, die einen Nutzer isoliert; keine Sitzungsaufzeichnung
Das Widerspruchsrecht	Eine Widerspruchs-Schaltfläche oder ein Link in der Datenschutzerklärung; ein dauerhaft beachteter Widerspruch (Widerspruchs-Cookie oder Fingerabdruck auf einer Sperrliste)

Nennt das Raster eine bestimmte technische Maßnahme, ist sie eine Empfehlung: Der Anbieter darf eine andere anwenden, wenn er zeigt, dass sie dasselbe Ziel erreicht, und das in seiner Dokumentation sagt.

Die häufigsten Fallen

• UTM-Tags. Ein Bericht pro Kampagne oder Newsletter ist Marketing. Die Parameter müssen verworfen werden, nicht nur am Bildschirm ausgeblendet.
• Kleine Zahlen. Ein Bericht, gefiltert auf eine Stadt und einen Browser, kann eine einzige Person beschreiben. Daher das Runden auf Zehner und ausgeblendete Zeilen.
• Das Besuchsprotokoll. Den Weg eines bestimmten Besuchers zu sehen, auch ohne Namen, heißt einen einzelnen Nutzer zu verfolgen.
• Integrationen. Die Anbindung an ein Werbenetzwerk, ein CRM oder einen anderen Dienst führt aus dem Rahmen.
• Die Standardeinstellungen. Die meisten Tools sind im Auslieferungszustand nicht ausgenommen. Google Analytics gehörte nie zu den Tools, die die CNIL dafür als geeignet ansah.

Was der Websitebetreiber prüft

1. Fordern Sie beim Anbieter sein Dokument zur Selbstbewertung an und wenden Sie die genannten Einstellungen an.
2. Ergänzen Sie die Widerspruchs-Schaltfläche in Ihrer Datenschutzerklärung und beschreiben Sie dort die Messung.
3. Prüfen Sie, dass die Speicherdauer 25 Monate nicht übersteigt.
4. Erfassen Sie die anderen Tracker der Website: Werbung, eingebettete Videos, Widgets. Sie brauchen weiterhin eine Einwilligung und damit ein Banner.
5. Denken Sie daran, dass die Selbstbewertung die CNIL nicht bindet, die eine Website kontrollieren kann. Ein Anbieter darf sich nicht „zertifiziert“ oder „von der CNIL validiert“ nennen und ihr Logo nicht verwenden; er darf sagen, dass seine Lösung „unter die Ausnahme fallen kann“.

Für Statsdot ist das Dokument unsere CNIL-Selbstbewertung, und die Einstellungen passen in einen Haken, den CNIL-Ausnahmemodus. Zu anderen Tools siehe Matomo und die CNIL-Ausnahme und Ist Google Analytics in Frankreich illegal?.