Der Kern: Besucheridentifikation auf Unternehmensebene fällt nicht unter personenbezogene Daten. Sie identifizieren das Unternehmen hinter einem Website-Besuch, nicht die einzelne Person. Dies macht es rechtlich anders als Systeme, die personenbezogene Daten sammeln. Dennoch ist es wichtig zu verstehen, was erlaubt ist und was nicht, und wie Sie dies vollständig DSGVO-konform umsetzen.
Was ist Besucheridentifikation und wie funktioniert sie?
Besucheridentifikation ist eine Technologie, die Unternehmen anhand ihrer Website-Besuche identifiziert. Dies geschieht über IP-Adressen und Netzwerk-Metadaten. Eine IP-Adresse wird über öffentliche Registrierungen und Netzwerkdaten mit einem Unternehmen verknüpft.
Moderne Systeme verwenden cookielose Technologie. Das bedeutet: keine Cookies, kein Device-Fingerprinting, kein Cross-Site-Tracking. Das Einzige, was geschieht, ist, dass die IP-Informationen mit einer Unternehmensdatenbank abgeglichen werden. Das Ergebnis: Sie sehen, welches Unternehmen Ihre Seite besucht hat, welche Seiten es angesehen hat und wie oft es zurückgekehrt ist.
Der Unterschied zur persönlichen Identifikation ist entscheidend. Die Besucheridentifikation über Leadinfo zeigt ausschließlich Unternehmensname, Branche, Größe und Standort. Es wird kein Name, keine E-Mail-Adresse oder persönliche Kennung erfasst. Diese Unterscheidung bestimmt, ob die DSGVO anwendbar ist.
Unternehmensdaten vs. personenbezogene Daten unter der DSGVO
Die DSGVO schützt personenbezogene Daten: Informationen, die direkt oder indirekt auf eine natürliche Person zurückführbar sind. Beispiele: Name, E-Mail-Adresse, Telefonnummer, aber auch eine eindeutige Cookie-Kennung.
Unternehmensdaten fallen nicht darunter. Informationen wie Unternehmensname, Handelsregisternummer, Branche, Mitarbeiterzahl und Geschäftsadresse sind nicht auf eine Einzelperson zurückführbar. Dies sind öffentliche Unternehmensdaten, die frei zugänglich sind.
Ist eine IP-Adresse ein personenbezogenes Datum?
Eine IP-Adresse kann ein personenbezogenes Datum sein, abhängig vom Kontext. Für einen Internetanbieter, der die IP einem bestimmten Haushalt zuordnen kann, ist es ein personenbezogenes Datum. Für Sie als Website-Administrator in der Regel nicht — es sei denn, Sie sammeln zusätzliche Daten, mit denen Sie die IP einer Person zuordnen können.
Bei der B2B-Besucheridentifikation wird die IP-Adresse nur verwendet, um das Unternehmen zu identifizieren. Es wird kein persönliches Profil erstellt. Die Datenschutzbehörden und die Rechtsprechung bestätigen: Die Unterscheidung zwischen B2B und B2C ist entscheidend für die rechtliche Qualifikation.
Berechtigtes Interesse als Rechtsgrundlage
Wenn die Besucheridentifikation Unternehmensdaten verarbeitet, benötigen Sie keine ausdrückliche Einwilligung. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse.
Dies bedeutet drei Dinge:
- Sie haben ein legitimes geschäftliches Interesse: Einblick in welche Unternehmen Interesse zeigen.
- Die Verarbeitung ist verhältnismäßig: nur Unternehmensebene, keine persönliche Identifikation.
- Die Interessen des Besuchers werden nicht unverhältnismäßig beeinträchtigt: es gibt keinen Eingriff in die Privatsphäre.
Die Interessenabwägung ist einfach. Sie möchten wissen, welche Unternehmen Ihre Website besuchen, um gezielte Nachverfolgung zu betreiben. Der Besucher bleibt als Person anonym. Das Unternehmen ist in öffentlichen Handelsregistern einsehbar.
Transparenzanforderungen
Sie müssen transparent sein. Dies bedeutet:
- Datenschutzerklärung: erklären Sie, dass Sie Besucheridentifikation verwenden und warum.
- Opt-out-Möglichkeit: bieten Sie Unternehmen die Möglichkeit, sich abzumelden.
- Klare Zweckbindung: verwenden Sie die Daten nur für Vertrieb und Marketing, nicht für andere Zwecke.
Weitere Informationen zur DSGVO-Konformität finden Sie auf der DSGVO-Seite von Leadinfo.
Cookielose Besucheridentifikation und DSGVO-Compliance
Cookies fallen unter die ePrivacy-Richtlinie (auch Cookie-Gesetz genannt). Diese erfordert Einwilligung für nicht notwendige Cookies. Cookielose Besucheridentifikation umgeht dies vollständig.
Wie funktioniert cookielose Technologie?
- Netzwerk-Metadaten: Die IP-Adresse und zugehörige Netzwerkdaten werden analysiert.
- ASN-Mapping: Autonomous System Numbers verknüpfen IP-Bereiche mit Organisationen.
- Kein Fingerprinting: Es wird keine eindeutige Browser- oder Gerätekennung erstellt.
- Keine Tracking-Cookies: Es wird nichts im Browser des Besuchers gespeichert.
Dies macht cookielose Identifikation ohne Einwilligung rechtmäßig. Sie bleiben innerhalb der Grenzen der DSGVO und ePrivacy.
ISO 27001 und EU-Hosting als Vertrauenssignale
Compliance geht über juristische Texte hinaus. Zuverlässige Anbieter bieten:
- ISO 27001:2022-Zertifizierung: jährlich geprüfte Informationssicherheit.
- EU-only Hosting: Daten bleiben innerhalb europäischer Grenzen (Irland, Frankfurt).
- Transparente Auftragsverarbeitungsvereinbarung: klare Vereinbarungen zur Datenverarbeitung.
Dies eliminiert Risiken wie US-Datentransfers (Schrems II-Problematik) und gewährleistet vollständige Einhaltung europäischer Gesetzgebung.
Praxisbeispiel: Leadinfo und DSGVO-Konformität
Leadinfo ist ein Beispiel für DSGVO-konforme Besucheridentifikation. Der Kern:
- Nur Unternehmensidentifikation: keine Namen, E-Mail-Adressen oder persönliche Daten.
- Cookielos: keine Einwilligung erforderlich unter ePrivacy.
- EU-Hosting: Server in Irland und Frankfurt, keine US-Transfers.
- ISO 27001:2022 zertifiziert: jährliche Audits durch LRQA.
- Transparentes Opt-out: Jedes Unternehmen kann sich innerhalb von 48 Stunden abmelden.
Dieses Modell zeigt, dass Besucheridentifikation vollständig rechtmäßig ist, sofern Sie nur Daten auf Unternehmensebene verarbeiten, transparent über Ihre Datenschutzerklärung sind, ein Opt-out anbieten und mit einem ISO-zertifizierten, EU-gehosteten Anbieter arbeiten.
Ergebnis: Sie erhalten wertvolle Erkenntnisse ohne DSGVO-Risiken.
Wichtigste Compliance-Anforderungen
Möchten Sie Besucheridentifikation DSGVO-konform einsetzen? Achten Sie auf diese Punkte:
- Klare Datenschutzerklärung: Erklären Sie, dass Sie Besucheridentifikation verwenden, basierend auf berechtigtem Interesse, und dass Sie nur Unternehmensdaten verarbeiten.
- Funktionierendes Opt-out: Stellen Sie sicher, dass Unternehmen sich abmelden können und setzen Sie dies innerhalb von 48 Stunden um.
- EU-Hosting und ISO 27001: Wählen Sie einen Anbieter, der europäische Standards erfüllt und jährlich geprüft wird.
- Interessenabwägung dokumentieren: Nehmen Sie dies in Ihr Verarbeitungsverzeichnis auf (Art. 30 DSGVO).
- Keine persönlichen Kennungen: Verarbeiten Sie niemals Namen, E-Mail-Adressen oder andere direkte personenbezogene Daten über Besucheridentifikation.
Diese Schritte garantieren, dass Sie innerhalb der Grenzen der DSGVO und ePrivacy bleiben. Sie minimieren rechtliche Risiken und bauen Vertrauen bei Besuchern auf.
Häufig gestellte Fragen
Ist Besucheridentifikation unter der DSGVO erlaubt?
Ja, Besucheridentifikation ist unter der DSGVO zulässig, sofern Sie nur Unternehmensdaten verarbeiten und keine persönliche Identifikation durchführen. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse. Sie müssen jedoch transparent über Ihre Datenschutzerklärung sein und eine Opt-out-Möglichkeit bieten.
Muss ich eine Einwilligung für Besucheridentifikation einholen?
Nein, wenn Sie cookielose Technologie verwenden und nur Identifikation auf Unternehmensebene anwenden, ist keine Einwilligung erforderlich. Die ePrivacy-Richtlinie (Cookie-Gesetz) erfordert nur Einwilligung für Cookies. Cookielose Besucheridentifikation fällt nicht darunter. Sie müssen jedoch klar in Ihrer Datenschutzerklärung kommunizieren.
Fällt eine IP-Adresse unter personenbezogene Daten?
Eine IP-Adresse kann ein personenbezogenes Datum sein, abhängig vom Kontext. Für einen Internetanbieter, der die IP einem Haushalt zuordnen kann, ist dies der Fall. Bei B2B-Besucheridentifikation wird die IP jedoch nur verwendet, um das Unternehmen zu identifizieren, nicht den einzelnen Benutzer. Dies macht es rechtlich zu einer anderen Angelegenheit.
Was ist der Unterschied zwischen Unternehmensdaten und personenbezogenen Daten?
Unternehmensdaten wie Unternehmensname, Handelsregisternummer und Branche fallen nicht unter die DSGVO, da sie nicht auf eine natürliche Person zurückführbar sind. Personenbezogene Daten sind direkt oder indirekt auf ein Individuum zurückführbar (Name, E-Mail, Telefonnummer). Bei Besucheridentifikation auf Unternehmensebene sammeln Sie nur Unternehmensdaten, keine personenbezogenen Daten.
Wie stelle ich sicher, dass meine Besucheridentifikation DSGVO-konform ist?
Verwenden Sie einen Anbieter, der cookielos arbeitet, EU-Hosting bietet (keine US-Datentransfers), ISO 27001-zertifiziert ist und ausschließlich Unternehmensdaten verarbeitet. Stellen Sie außerdem eine klare Datenschutzerklärung bereit, in der Sie die Besucheridentifikation erklären, und bieten Sie eine funktionierende Opt-out-Möglichkeit. Dokumentieren Sie Ihre Interessenabwägung in Ihrem Verarbeitungsverzeichnis.
