De kern: bezoekersherkenning op bedrijfsniveau valt niet onder persoonsgegevens. Je identificeert het bedrijf achter een websitebezoek, niet de individuele persoon. Dit maakt het juridisch anders dan systemen die persoonlijke data verzamelen. Toch is het essentieel om te begrijpen wat wel en niet mag, en hoe je dit volledig AVG-proof uitvoert.
Wat is bezoekersherkenning en hoe werkt het?
Bezoekersherkenning is een technologie die bedrijven identificeert op basis van hun websitebezoek. Dit gebeurt via IP-adressen en netwerkmetadata. Een IP-adres wordt gekoppeld aan een bedrijf via publieke registraties en netwerkgegevens.
Moderne systemen gebruiken cookieloze technologie. Dit betekent: geen cookies, geen device fingerprinting, geen cross-site tracking. Het enige wat gebeurt, is dat de IP-informatie wordt vergeleken met een bedrijvendatabase. Het resultaat: je ziet welk bedrijf je site bezocht, welke pagina’s ze bekeken en hoe vaak ze terugkwamen.
Het verschil met persoonlijke identificatie is cruciaal. Bezoekersherkenning via Leadinfo toont uitsluitend bedrijfsnaam, sector, omvang en locatie. Er wordt geen naam, e-mailadres of persoonlijke identifier vastgelegd. Dit onderscheid bepaalt of de AVG van toepassing is.
Bedrijfsgegevens vs. persoonsgegevens onder de AVG
De AVG beschermt persoonsgegevens: informatie die direct of indirect herleidbaar is naar een natuurlijk persoon. Voorbeelden: naam, e-mailadres, telefoonnummer, maar ook een unieke cookie-identifier.
Bedrijfsgegevens vallen hier niet onder. Informatie zoals bedrijfsnaam, KvK-nummer, sector, aantal medewerkers en vestigingsadres zijn niet herleidbaar naar een individu. Dit zijn publieke bedrijfsgegevens die vrij raadpleegbaar zijn.
Is een IP-adres een persoonsgegeven?
Een IP-adres kan een persoonsgegeven zijn, afhankelijk van de context. Voor een internetprovider die het IP kan koppelen aan een specifiek huishouden is het een persoonsgegeven. Voor jou als websitebeheerder meestal niet — tenzij je extra data verzamelt waarmee je het IP aan een persoon kunt koppelen.
Bij B2B bezoekersherkenning wordt het IP-adres alleen gebruikt om het bedrijf te identificeren. Er wordt geen persoonlijk profiel opgebouwd. De Autoriteit Persoonsgegevens en rechtspraak bevestigen: het onderscheid tussen B2B en B2C is bepalend voor de juridische kwalificatie.
Gerechtvaardigd belang als juridische basis
Als bezoekersherkenning bedrijfsdata verwerkt, heb je geen expliciete toestemming nodig. De rechtmatige grondslag is artikel 6(1)(f) AVG: gerechtvaardigd belang.
Dit betekent drie dingen:
- Je hebt een legitiem zakelijk belang: inzicht in welke bedrijven interesse tonen.
- De verwerking is proportioneel: alleen bedrijfsniveau, geen persoonlijke identificatie.
- De belangen van de bezoeker worden niet onevenredig geschaad: er is geen inbreuk op privacy.
De belangenafweging is simpel. Jij wilt weten welke bedrijven je website bezoeken om gerichte opvolging te doen. De bezoeker blijft anoniem als persoon. Het bedrijf is publiekelijk raadpleegbaar in registers zoals de Kamer van Koophandel.
Transparantievereisten
Je moet wel transparant zijn. Dit betekent:
- Privacy policy: leg uit dat je bezoekersherkenning gebruikt en waarom.
- Opt-out mogelijkheid: bied bedrijven de kans om zich af te melden.
- Duidelijke doelbinding: gebruik de data alleen voor sales en marketing, niet voor andere doeleinden.
Meer informatie over AVG-naleving vind je op de AVG-pagina van Leadinfo.
Cookieloze bezoekersherkenning en AVG-compliance
Cookies vallen onder de ePrivacy-richtlijn (ook wel Cookie-wet genoemd). Deze vereist toestemming voor niet-noodzakelijke cookies. Cookieloze bezoekersherkenning omzeilt dit volledig.
Hoe werkt cookieloze technologie?
- Netwerkmetadata: het IP-adres en bijbehorende netwerkgegevens worden geanalyseerd.
- ASN-mapping: Autonomous System Numbers koppelen IP-bereiken aan organisaties.
- Geen fingerprinting: er wordt geen unieke browser- of device-identifier aangemaakt.
- Geen tracking cookies: er wordt niets opgeslagen in de browser van de bezoeker.
Dit maakt cookieloze identificatie rechtsgeldig zonder toestemming. Je blijft binnen de kaders van de AVG en ePrivacy.
ISO 27001 en EU-hosting als vertrouwenssignalen
Compliance gaat verder dan juridische teksten. Betrouwbare leveranciers bieden:
- ISO 27001:2022 certificering: jaarlijks geauditeerde informatiebeveiliging.
- EU-only hosting: data blijft binnen Europese grenzen (Ierland, Frankfurt).
- Transparante verwerkersovereenkomst: duidelijke afspraken over dataverwerking.
Dit elimineert risico’s zoals Amerikaanse datatransfers (Schrems II-problematiek) en zorgt voor volledige naleving van Europese wetgeving. Bekijk de privacy policy van Leadinfo voor een voorbeeld van transparante communicatie.
Praktijkvoorbeeld: Leadinfo en AVG-naleving
Leadinfo is een voorbeeld van AVG-proof bezoekersherkenning. De kern:
- Alleen bedrijfsidentificatie: geen namen, e-mailadressen of persoonlijke data.
- Cookieloos: geen toestemming vereist onder ePrivacy.
- EU-hosting: servers in Ierland en Frankfurt, geen Amerikaanse transfers.
- ISO 27001:2022 gecertificeerd: jaarlijkse audits door LRQA.
- Transparante opt-out: elk bedrijf kan zich afmelden binnen 48 uur.
Dit model toont aan dat bezoekersherkenning volledig rechtsgeldig is, mits je alleen bedrijfsniveau-data verwerkt, transparant bent via je privacy policy, een opt-out aanbiedt, en werkt met een ISO-gecertificeerde, EU-gehoste leverancier.
Resultaat: je krijgt waardevolle inzichten zonder AVG-risico’s.
Belangrijkste aandachtspunten voor compliance
Wil je bezoekersherkenning AVG-proof inzetten? Let op deze punten:
- Heldere privacy policy: leg uit dat je bezoekersherkenning gebruikt, op basis van gerechtvaardigd belang, en dat je alleen bedrijfsdata verwerkt.
- Functionerende opt-out: zorg dat bedrijven zich kunnen afmelden en voer dit binnen 48 uur door.
- EU-hosting en ISO 27001: kies een leverancier die voldoet aan Europese standaarden en jaarlijks geauditeerd wordt.
- Belangenafweging documenteren: neem dit op in je verwerkingsregister (artikel 30 AVG).
- Geen persoonlijke identifiers: verwerk nooit namen, e-mailadressen of andere directe persoonsgegevens via bezoekersherkenning.
Deze stappen garanderen dat je binnen de kaders blijft van de AVG en ePrivacy. Je minimaliseert juridische risico’s en bouwt vertrouwen op bij bezoekers.
Veelgestelde vragen
Is bezoekersherkenning toegestaan onder de AVG?
Ja, bezoekersherkenning is toegestaan onder de AVG, mits je alleen bedrijfsgegevens verwerkt en geen persoonlijke identificatie uitvoert. De rechtmatige grondslag is artikel 6(1)(f) AVG: gerechtvaardigd belang. Je moet wel transparant zijn via je privacy policy en een opt-out mogelijkheid bieden.
Moet ik toestemming vragen voor bezoekersherkenning?
Nee, als je cookieloze technologie gebruikt en alleen bedrijfsniveau-identificatie toepast, is toestemming niet vereist. De ePrivacy-richtlijn (Cookie-wet) vereist alleen toestemming voor cookies. Cookieloze bezoekersherkenning valt hier niet onder. Wel moet je helder communiceren in je privacy policy.
Valt een IP-adres onder persoonsgegevens?
Een IP-adres kan een persoonsgegeven zijn, afhankelijk van de context. Voor een internetprovider die het IP kan koppelen aan een huishouden is dit het geval. Bij B2B bezoekersherkenning wordt het IP echter alleen gebruikt om het bedrijf te identificeren, niet de individuele gebruiker. Dit maakt het juridisch een ander verhaal.
Wat is het verschil tussen bedrijfsdata en persoonsgegevens?
Bedrijfsdata zoals bedrijfsnaam, KvK-nummer en sector valt niet onder de AVG, omdat het niet herleidbaar is naar een natuurlijk persoon. Persoonsgegevens zijn wel direct of indirect herleidbaar naar een individu (naam, e-mail, telefoonnummer). Bij bezoekersherkenning op bedrijfsniveau verzamel je alleen bedrijfsdata, geen persoonsgegevens.
Hoe zorg ik dat mijn bezoekersherkenning AVG-proof is?
Gebruik een leverancier die cookieloos werkt, EU-hosting biedt (geen Amerikaanse datatransfers), ISO 27001-gecertificeerd is, en uitsluitend bedrijfsdata verwerkt. Zorg daarnaast voor een heldere privacy policy waarin je bezoekersherkenning uitlegt, en bied een functionerende opt-out mogelijkheid. Documenteer je belangenafweging in je verwerkingsregister.
