7 Millionen Euro Strafe für Tracking in der Fnac-App
Die französische Datenschutzbehörde CNIL hat Fnac Darty zu 7 Millionen Euro verurteilt, weil die App das Surfverhalten ohne Einwilligung an einen Empfehlungsdienst schickte und ein Nein der Nutzer ignorierte. Warum das auch für Shops und Apps in Deutschland ein Weckruf ist.
Cookie-Banner auf Websites sind inzwischen Alltag. In Apps dagegen laufen viele Tracker noch erstaunlich unbehelligt mit. Dass Datenschutzbehörden auch dort genau hinsehen, zeigt eine Entscheidung der französischen Aufsicht CNIL, die am 29. Oktober 2026 veröffentlicht wurde: Der Elektronikhändler Fnac Darty muss insgesamt 7 Millionen Euro zahlen, weil seine App das Verhalten der Nutzer ohne deren Einwilligung auswertete.
Was die App gemacht hat
Laut CNIL schickte die Fnac-App über eine Schnittstelle Daten an die Domain eines Drittanbieters: eine von Fnac vergebene Nutzerkennung und Aktivitätsdaten wie die angesehenen Produkte. Damit wurden personalisierte Produktempfehlungen ausgespielt, etwa passendes Zubehör, Verbrauchsmaterial oder ähnliche Artikel. Außerdem wurde mit den Daten der Empfehlungsalgorithmus trainiert.
Zwei Punkte wiegen dabei besonders schwer:
- Keine Einwilligung: Solche Tracker fallen nach Auffassung der CNIL nicht unter die Ausnahmen für technisch unbedingt notwendige Dienste. Sie hätten nur mit vorheriger Zustimmung der Nutzer laufen dürfen.
- Ein Nein wurde ignoriert: Lehnten Nutzer das Tracking in der App ab, beachtete die App diese Entscheidung nicht.
Die Strafe im Detail
Die Entscheidung trägt das Datum 22. Oktober 2026. Das Bußgeld teilt sich auf zwei Gesellschaften auf: 6 Millionen Euro für die Fnac Darty Participations et Services, 1 Million Euro für Fnac Direct. Zusätzlich müssen beide Unternehmen innerhalb eines Monats nachweisen, dass ihr neues Werkzeug die Einwilligung dort einholt, wo sie nötig ist. Sonst drohen 10.000 Euro Zwangsgeld pro Tag Verzug. Bei der Höhe berücksichtigte die CNIL unter anderem, dass die App von sehr vielen Menschen genutzt wird und das Nein der Nutzer missachtet wurde.
Ausgelöst von noyb
Ins Rollen gebracht hat den Fall die Datenschutzorganisation noyb. Sie hatte im September 2023 in Frankreich Beschwerden gegen drei Apps eingereicht, neben Fnac Darty auch gegen SeLoger und MyFitnessPal. Die CNIL prüfte die Fnac-App im März 2024. noyb-Juristin Lisa Steinfeld Leiser sieht in der Entscheidung ein Signal über den Einzelfall hinaus:
„Diese Art des Trackings ist zwar nach wie vor weit verbreitet. Dennoch hoffen wir, dass diese Entscheidung einen neuen Maßstab für Fälle von unrechtmäßigem Tracking setzt.“
Die rechtliche Grundlage ist in Frankreich Artikel 82 des Datenschutzgesetzes, das die europäische ePrivacy-Richtlinie umsetzt. In Deutschland regelt dasselbe Paragraf 25 TDDDG. Die Logik ist also übertragbar: Was auf dem Endgerät gespeichert oder von dort ausgelesen wird und nicht unbedingt nötig ist, braucht eine Einwilligung, egal ob im Browser oder in der App. Wie teuer fehlende Einwilligungen werden können, hat zuletzt auch das Rekordbußgeld gegen Xandr gezeigt. Gleichzeitig ringt die EU noch darum, welche Cookies künftig ohne Zustimmung erlaubt sein sollen.
Was das für Ihr Unternehmen heißt
- Apps genauso prüfen wie Websites: Viele Unternehmen haben ihr Cookie-Banner im Griff, aber nie nachgesehen, welche SDKs in der eigenen App Daten senden. Ein Netzwerk-Mitschnitt beim ersten Start zeigt schnell, wer schon vor jeder Zustimmung angefunkt wird.
- Empfehlungsdienste sind keine Pflichttechnik: Personalisierte Produktvorschläge und Trainingsdaten für Algorithmen gelten nicht als unbedingt notwendig. Dafür braucht es eine Einwilligung.
- Das Nein muss technisch wirken: Ein Einwilligungsdialog, dessen Ablehnung im Hintergrund nichts abschaltet, ist schlimmer als keiner. Testen Sie gezielt den Weg „Ablehnen“.
- Daten für KI-Training gesondert betrachten: Wer Nutzungsdaten zum Training eigener Empfehlungs- oder KI-Modelle verwendet, braucht dafür eine tragfähige Rechtsgrundlage und sollte das im Verzeichnis der Verarbeitungstätigkeiten sauber dokumentieren.
- Dienstleister in die Pflicht nehmen: Agenturen und App-Entwickler bauen Tracker oft standardmäßig ein. Lassen Sie sich auflisten, welche Drittanbieter in Ihrer App eingebunden sind und wann sie Daten erhalten.
Fazit
Der Fall Fnac zeigt, dass Aufsichtsbehörden das Thema Tracking nicht mehr nur im Browser verfolgen. Apps mit eingebauten Empfehlungs- und Analysediensten sind ein naheliegendes nächstes Ziel, und die noyb-Beschwerden gegen weitere Apps wie SeLoger und MyFitnessPal liegen ebenfalls bei der CNIL. Wenn Sie wissen möchten, was Ihre App oder Ihr Shop im Hintergrund wirklich verschickt, sprechen Sie mich gern an.
