98% van je websitebezoekers vertrekt zonder te converteren. Wil je weten welke bedrijven daarachter zitten, dan kom je uit bij bezoekersherkenning. En vrijwel direct daarna bij de vraag die in elk gesprek terugkomt: mag dit eigenlijk wel?
Het korte antwoord is ja, zolang je bedrijven herkent en geen personen. Het lange antwoord hangt af van hoe je tool werkt. Worden er cookies geplaatst? Waar staat de data? Wat ziet je salesteam precies?
In dit artikel krijg je zes checks waarmee je dat zelf toetst, voordat je compliance-afdeling ernaar vraagt. Je leest ook hoe Leadinfo op elke check scoort. Zo ga je live met een opzet die je aan iedereen in je organisatie kunt uitleggen.
Waarom de AVG-vraag altijd op tafel komt
Weten wie je website bezoekt is voor de meeste B2B-teams de eerste stap naar betere leads. Je ziet welke bedrijven je prijspagina bekijken, welke accounts terugkomen en waar interesse ontstaat voordat iemand een formulier invult.
Maar zodra je de tool wilt aanzetten, schuift er iemand aan tafel. De privacy officer, de IT-manager of de jurist. Hun vraag is terecht: verwerken we hier persoonsgegevens, en zo ja, op welke grondslag?
Veel marketeers reageren verrast als ze voor het eerst zien wat bezoekersherkenning oplevert. Is dit wel legaal? Die reactie horen we vaak. Het is ook precies de goede vraag, want niet elke tool werkt op dezelfde manier.
Het goede nieuws: de vraag is te beantwoorden. Niet met een algemeen “het mag”, maar met concrete checks die je bij elke leverancier kunt afvinken.
Bedrijfsgegevens of persoonsgegevens: hier draait het om
De AVG beschermt persoonsgegevens: informatie over een herkenbare persoon. Een bedrijfsnaam, een sector of een omzetcategorie valt daar niet onder. Een naam, een persoonlijk e-mailadres of het surfgedrag van één medewerker wel.
Dat onderscheid bepaalt welke regels gelden. Een tool die bedrijven herkent, werkt op een ander juridisch fundament dan een tool die personen volgt. Meer over die grens lees je in bezoekersherkenning op B2B-websites.
Voor herkenning op bedrijfsniveau is de grondslag gerechtvaardigd belang, artikel 6(1)(f) AVG. Je hebt dan geen toestemming van de bezoeker nodig. Wel moet je kunnen laten zien dat je belang zwaarder weegt dan de impact op de bezoeker, en dat je daar open over bent.
Hoe herkent een tool dan een bedrijf zonder personen te volgen? Via het netwerk waarvandaan het bezoek komt. Een bedrijfsnetwerk is te koppelen aan een organisatie, niet aan een individu. Hoe dat technisch werkt, lees je in ons artikel over IP-tracking.
De AVG-checklist: zes checks voor je tool
Gebruik deze checks bij de keuze van een tool. Loop ze opnieuw na als je leverancier iets wijzigt aan de werking of de hosting.
Check 1: Werkt de herkenning zonder cookies?
Voor niet-noodzakelijke cookies heb je toestemming van de bezoeker nodig. Dat regelt de Telecommunicatiewet, naast de AVG. Werkt je tool met cookies, dan hoort hij achter je cookiebanner en zie je alleen de bezoekers die akkoord geven.
Dat kost zichtbaarheid. Bij de meeste tools gaat 40 tot 60% van de zichtbaarheid verloren aan consent banners. Cookieloze herkenning heeft dat probleem niet.
Hoe dat in de praktijk werkt, lees je in websitebezoekers herkennen zónder cookies.
Vraag aan je leverancier: plaatst de tool cookies voor de herkenning, en is er een cookieloze modus?
Check 2: Ziet je team bedrijven of personen?
Kijk wat er in het dashboard staat. Bedrijfsnaam, sector, omvang, vestiging en bezochte pagina’s zijn bedrijfsgegevens. Toont de tool wie er persoonlijk op je site zat, dan verwerk je persoonsgegevens en heb je in de regel toestemming nodig.
Let ook op aanvullende functies. Sommige tools bieden herkenning op persoonsniveau als extra module. Die werkt met cookies en valt onder andere regels dan herkenning op bedrijfsniveau.
Vraag aan je leverancier: welke gegevens zie ik standaard, en welke functies werken op persoonsniveau?
Check 3: Waar staat de data?
Hosting binnen de EU is de eenvoudigste route. Gaat data naar een land buiten de Europese Economische Ruimte, dan moet je leverancier aanvullende waarborgen regelen en moet jij kunnen uitleggen welke. Staat alles in Europa, dan speelt die vraag niet.
Vraag aan je leverancier: in welke datacenters staat de data, en zijn er sub-verwerkers buiten de EU?
Check 4: Is de beveiliging onafhankelijk getoetst?
ISO 27001 is de internationale norm voor informatiebeveiliging. Een certificaat betekent dat een externe auditor de processen rond toegang, beveiliging en incidenten jaarlijks controleert. Zonder zo’n toets ben je afhankelijk van wat de leverancier zelf zegt.
Vraag aan je leverancier: welke versie van de norm, en wie voert de audit uit?
Check 5: Staat het in je privacyverklaring?
Gerechtvaardigd belang vraagt om transparantie. Vermeld in je privacyverklaring dat je bedrijven herkent die je website bezoeken, met welk doel en via welke leverancier. Leg daarnaast je belangenafweging vast: waarom je dit doet, welke gegevens je gebruikt en hoe je de impact beperkt. Sluit ook een verwerkersovereenkomst met je leverancier af.
Wil je weten waar de grens tussen toestemming en gerechtvaardigd belang precies ligt? Lees dan IP-tracking tools en toestemmingen: wat is wettelijk toegestaan.
Vraag aan je leverancier: is er een voorbeeldtekst voor je privacyverklaring en een verwerkersovereenkomst?
Check 6: Kan een bedrijf zich afmelden?
Een opt-out is voor herkenning op bedrijfsniveau niet in elke situatie verplicht, maar wel goede praktijk. Het laat zien dat je het belang van de ander serieus neemt, en dat weegt mee in je belangenafweging.
Vraag aan je leverancier: is er een opt-out, en hoe snel wordt een afmelding verwerkt?
Zo scoort Leadinfo op de checklist
Leadinfo is gebouwd voor herkenning op bedrijfsniveau in Europa. Dit zijn de antwoorden per check, zodat je ze direct kunt doorsturen naar je privacy officer.
- Cookies: Leadinfo heeft een cookieloze modus. Die levert 100% bedrijfsidentificatie zonder cookies, dus ook bezoekers die je cookiebanner weigeren tellen mee.
- Datatype: business data only, geen persoonsgegevens. De herkenning gebeurt op bedrijfsniveau, via IP- en ASN-mapping gekoppeld aan een Europese bedrijvendatabase.
- Hosting: gehost in Europa (Ierland + Frankfurt). EU-only hosting, geen US-datatransfers.
- Beveiliging: ISO 27001-gecertificeerd volgens ISO 27001:2022, jaarlijks onafhankelijk geaudit door LRQA.
- Grondslag: gerechtvaardigd belang, artikel 6(1)(f) AVG.
- Opt-out: elk bedrijf kan zich afmelden via de opt-out-pagina van Leadinfo. Een afmelding wordt binnen 48 uur verwerkt.
Eén kanttekening, omdat die bij check 2 hoort. Persona Insights (bèta) suggereert welke persoon achter een bezoek zit. Die functie werkt alleen met cookies aan en valt dus onder de regels voor persoonsgegevens. Zet hem pas aan als je privacy officer ervan weet.
Meer over hoe de herkenning technisch werkt, lees je op de pagina over IP tracking.
Deze antwoorden vervangen het oordeel van je eigen privacy officer niet. Ze geven hem wel een set feiten die hij kan controleren, in plaats van een belofte.
Aan de slag
De vraag “mag dit wel?” hoeft je project niet op te houden. Begin morgen met één ding: stuur deze zes checks naar je privacy officer en vraag welke hij zelf nog wil toevoegen. Vul daarna per check het antwoord van je huidige of beoogde leverancier in. Wat overblijft, zijn de punten waar je zelf nog werk aan hebt, zoals je privacyverklaring of je belangenafweging. Leadinfo levert de antwoorden op alle zes checks mee, zodat die lijst kort blijft. Boek een demo en loop de checklist samen met ons door, met je eigen website als voorbeeld.
Veelgestelde vragen
Mag ik zien welke bedrijven mijn website bezoeken zonder toestemming?
Ja, als je alleen bedrijfsgegevens verwerkt. Herkenning op bedrijfsniveau kan op basis van gerechtvaardigd belang, artikel 6(1)(f) AVG. Toestemming van de bezoeker is dan niet nodig, zolang je tool geen cookies plaatst. Wel moet je transparant zijn in je privacyverklaring en je belangenafweging vastleggen.
Wat is het verschil tussen bedrijfsgegevens en persoonsgegevens?
Bedrijfsgegevens gaan over een organisatie: naam, sector, omvang en vestiging. Persoonsgegevens gaan over een herkenbare persoon, zoals een naam, een persoonlijk e-mailadres of het gedrag van één medewerker. De AVG beschermt persoonsgegevens. Werkt je tool alleen met bedrijfsgegevens, dan is de juridische basis eenvoudiger.
Heb ik een cookiebanner nodig voor bezoekersherkenning?
Alleen als je tool cookies plaatst die niet noodzakelijk zijn. Werkt de herkenning cookieloos, dan hoort die in je privacyverklaring en niet achter je cookiebanner. Dat scheelt ook zichtbaarheid: bezoekers die cookies weigeren, blijven herkenbaar op bedrijfsniveau. Gebruik je functies die wel cookies plaatsen, dan geldt de banner daarvoor wel.
Kan ik zien welke persoon mijn website bezoekt?
Niet met herkenning op bedrijfsniveau. Die laat zien welk bedrijf je website bezoekt, niet wie. Sommige tools bieden daarnaast functies op persoonsniveau, zoals Persona Insights (bèta) bij Leadinfo. Die werken alleen met cookies en dus met toestemming van de bezoeker. Bespreek zo’n functie altijd eerst met je privacy officer.
