60-Sekunden-Zusammenfassung
Die Identifikation von Firmenbesuchern auf B2B-Websites ist DSGVO-kompatibel — wenn IP-Daten und Prozesse sauber umgesetzt und dokumentiert sind. Dieser Guide erklärt die Unterschiede zwischen DSGVO und ePrivacy, die relevante Rechtsgrundlage sowie technische Ansätze wie Cookieless First-Party-Tracking.
Kernaussagen: IP-Adressen gelten häufig als personenbezogene Daten; Firmen-Level-Erkennung erzeugt Firmendatensätze statt Personenprofile und ist damit risikoärmer, benötigt aber trotzdem eine Rechtsgrundlage und Transparenz.
Strategien & Taktiken: Cookieless First‑Party‑Tracking (Tracker als First‑Party-Skript, IP‑Abgleich mit Firmen‑IP‑Ranges) vermeidet Drittanbieter‑Cookies und Cross‑Session‑Profiling, reduziert ePrivacy-Risiken, erfordert aber weiterhin eine DSGVO-Rechtsgrundlage.
Rechtlicher Rahmen & Zuständigkeiten: DSGVO regelt Verarbeitung (z. B. berechtigtes Interesse nach Art.6(1)(f)), ePrivacy regelt das Speichern/Auslesen auf Endgeräten; unterscheide Verantwortlicher und Auftragsverarbeiter und schließe AVVs ab.
Praxis-Check für Dein Legal‑Team: Dokumentiere Rechtsgrundlage und Interessenabwägung, nenne Besucher-Identifikation in der Datenschutzerklärung, ermögliche Widerspruch/Löschung, prüfe Datenquellen, EU‑Speicherorte und AVV-/Consent-Konstellationen.
*Diese Zusammenfassung wurde mit Unterstützung von KI auf Basis unserer Originalinhalte erstellt.
Wenn überhaupt, sind die Fragen konkreter geworden. B2B-Teams wollen eine klare Antwort auf eine Frage: Kannst Du die Firmen identifizieren, die Deine Website besuchen, ohne mit der DSGVO in Konflikt zu geraten? Wie gesagt: Ja – wenn es sauber umgesetzt ist. Dieser Guide erklärt, was „sauber“ bedeutet, wo die echten Pflichten liegen und wie Leadfeeder Compliance angeht.
Ein Hinweis vorab: Dieser Artikel dient nur der allgemeinen Information. Er ist keine Rechtsberatung. Für Deine konkrete Situation wende Dich an eine qualifizierte Rechtsberatung.
Die richtige Ausgangslage: Es geht um personenbezogene Daten
Viele Artikel zu diesem Thema starten mit einer Behauptung: Erkennung auf Firmenebene habe nichts mit personenbezogenen Daten zu tun, also gelte die DSGVO nicht. Das ist der falsche Ausgangspunkt. Und es ist nicht die Position von Leadfeeder.
Wenn jemand Deine Website besucht, sendet der Browser eine IP-Adresse. Unter der DSGVO kann eine IP-Adresse ein personenbezogenes Datum sein. Denn sie lässt sich direkt oder indirekt einer Person zuordnen. Leadfeeders eigene Datenschutz-Dokumentation behandelt IP-Adressen als personenbezogene Daten. Die meisten Aufsichtsbehörden in der EU sehen das genauso.
Das ist wichtig, weil es den ehrlichen Rahmen setzt. B2B-Besucher-Identifikation steht nicht „außerhalb der DSGVO“. Sie ist eine Verarbeitung personenbezogener Daten – und die ist rechtmäßig möglich. Mit der richtigen Rechtsgrundlage und den richtigen Schutzmaßnahmen. Das Ziel ist nicht, sich aus der Verordnung herauszureden. Das Ziel ist, sauber innerhalb ihrer Regeln zu arbeiten.
Eine wichtige Unterscheidung gibt es trotzdem – nur eine andere als die übliche. Nämlich: Erkennst Du die Firma, aus deren Netzwerk jemand surft? Oder baust Du ein Profil dieser Person über mehrere Sitzungen auf? Erkennung auf Firmenebene erzeugt einen Firmendatensatz: Organisation, Branche, Größe, besuchte Seiten. Sie erstellt kein Profil einer identifizierbaren Einzelperson. Das ist unter der DSGVO deutlich risikoärmer als Personen-Tracking. Und genau darum geht es in diesem Guide. Trotzdem gilt: Sobald eine IP-Adresse verarbeitet wird, sind personenbezogene Daten im Spiel. Genau deshalb braucht es eine Rechtsgrundlage.
Wie diese firmenbasierte Identifikation in der Praxis funktioniert, zeigt unser Guide zu anonymen Website-Besuchern . Die Technik dahinter erklärt unser Artikel zur Firma hinter einer IP-Adresse.
Zwei verschiedene Regelwerke: DSGVO und ePrivacy
Viel Verwirrung entsteht, weil DSGVO und ePrivacy-Richtlinie in einen Topf geworfen werden. Es sind zwei getrennte Regelwerke mit getrennten Anforderungen. Sie auseinanderzuhalten ist der wichtigste Schritt.
Die DSGVO regelt die Verarbeitung personenbezogener Daten. Ihre zentrale Frage: Hast Du eine Rechtsgrundlage für die Verarbeitung? Es gibt sechs Rechtsgrundlagen. Einwilligung ist nur eine davon.
Die ePrivacy-Richtlinie regelt etwas anderes: das Speichern von Informationen auf dem Gerät einer Person und den Zugriff darauf. In der Praxis heißt das: Cookies und ähnliche Technologien. Ihre zentrale Frage: Hast Du eine Einwilligung, bevor nicht notwendige Cookies gesetzt werden? Genau deshalb gibt es Cookie-Banner.
Diese beiden Fragen sind unabhängig voneinander. Ein Tool, das nichts auf dem Gerät speichert oder ausliest, fällt oft nicht unter das typische Cookie-Einwilligungs-Szenario. Eine DSGVO-Rechtsgrundlage braucht es trotzdem – für alle personenbezogenen Daten, die es verarbeitet. Wer diese zwei Ebenen vermischt, liegt bei der Compliance meist daneben.
Rechtsgrundlage: Wo das berechtigte Interesse ins Spiel kommt
Der Art. 6 DSGVO kennt sechs Rechtsgrundlagen. Für die Besucher-Identifikation ist vor allem eine relevant: das berechtigte Interesse nach Art. 6 Abs. 1 lit. f. Es erlaubt die Verarbeitung, wenn Du ein echtes geschäftliches Interesse hast – und die Rechte der betroffenen Person nicht überwiegen. Geprüft wird das in einer Interessenabwägung.
So wendet Leadfeeder das auf die eigene Verarbeitung an: Leadfeeder verarbeitet personenbezogene Daten auf Basis des berechtigten Interesses. Konkret: Produkte vermarkten, Services verbessern, das Geschäft ausbauen. Diese Position ist das Ergebnis einer Interessenabwägung mit externer Rechtsberatung. Drei Punkte stützen sie: Es werden nur geschäftliche Daten verarbeitet. Die Daten stammen aus öffentlich zugänglichen Quellen. Und Widersprüche werden schnell umgesetzt.
Was das nicht bedeutet: dass das berechtigte Interesse automatisch auch für Dich gilt. Welche Rechtsgrundlage für Deine Verarbeitung trägt, entscheidest Du mit Deinem Legal-Team – und dokumentierst es. Leadfeeder bietet Kunden keine Rechtsberatung. Es bleibt Deine Verantwortung, jedes Tool im Einklang mit den für Dich geltenden Gesetzen einzusetzen. Leadfeeders eigene Position dient der Transparenz. Sie ist keine Vorlage für Deine.
So funktioniert Cookieless Tracking auf Unternehmensebene
Wer den Mechanismus versteht, versteht auch den Rest.
Klassische Tracking-Tools – Third-Party-Analytics, Retargeting-Pixel, Heatmaps – setzen Cookies im Browser. Diese Cookies speichern eine Kennung. Sie verknüpft das Surfverhalten einer Person über Zeit und über Websites hinweg. Das können personenbezogene Daten nach DSGVO sein. Und weil Informationen auf dem Gerät landen, greift zugleich die Cookie-Einwilligung nach ePrivacy.
Die Firmen-Erkennung mit Leadfeeder funktioniert anders – sie ist Cookieless Tracking in Reinform. Der Leadfeeder Tracker ist ein First-Party-Skript auf Deiner eigenen Website. Bei einem Besuch enthält der Request eine IP-Adresse. Diese wird gegen eine Datenbank mit IP-Ranges von Firmen geprüft. Das Ergebnis ist ein Firmendatensatz – zum Beispiel: Dieser Besuch kam aus dem Netzwerk einer bestimmten Organisation. Kein Third-Party-Cookie folgt der Person durchs Web. Kein Device-Fingerprint wird erstellt. Keine Einzelperson wird über Sitzungen hinweg profiliert. Oder wie es in Leadfeeders Dokumentation heißt: Die Technologie erkennt die Firmen hinter Website-Besuchen – sie verfolgt keine Einzelpersonen durchs Web.
Beim Tracking ohne Cookies wird nichts auf dem Gerät gespeichert oder ausgelesen. Die ePrivacy-Frage stellt sich deshalb anders als bei Cookie-basierten Tools. Aber: Die Verarbeitung der IP-Adresse bleibt eine Verarbeitung personenbezogener Daten nach DSGVO. Deshalb steht sie auf einer Rechtsgrundlage. Wie die Analyse im Detail ausfällt, hängt von der Tool-Konfiguration und Deiner Jurisdiktion ab. Kläre das mit Deinem Legal-Team.
Verantwortlicher und Auftragsverarbeiter: Wer ist wofür zuständig?
Die DSGVO teilt die Verantwortung auf. Der Verantwortliche entscheidet, warum und wie Daten verarbeitet werden. Der Auftragsverarbeiter verarbeitet nach dessen Weisung. Bei der Besucher-Identifikation gibt es zwei Beziehungen, die Du auseinanderhalten solltest.
Fall 1: Du bindest den Leadfeeder Tracker auf Deiner Website ein oder verbindest Dein CRM. Dann werden Daten in Deinem Auftrag verarbeitet. Du bist der Verantwortliche, Leadfeeder Dein Auftragsverarbeiter. Diese Beziehung regelt ein Auftragsverarbeitungsvertrag (AVV). Er ist automatisch Teil der Vertragsbedingungen – ohne extra Papierkram. Abrufbar ist er über das Privacy Centre.
Fall 2: Leadfeeder sammelt über eigene Crawler öffentlich verfügbare Firmendaten. Für diese Daten ist Leadfeeder selbst Verantwortlicher – auf Basis des berechtigten Interesses. Welche Rolle für welche Daten gilt: Genau das prüft Dein Legal-Team bei jedem Anbieter.
Als Verantwortlicher trägst Du die größeren Pflichten. Du führst das Verzeichnis der Verarbeitungstätigkeiten. Du bearbeitest Betroffenenanfragen. Und Deine Datenschutzerklärung muss widerspiegeln, was Du tust – inklusive Besucher-Identifikation und Widerspruchsmöglichkeit.
So geht Leadfeeder mit Compliance um
Ein paar konkrete Punkte, die Dein Legal-Team sehen will. Alle stammen aus Leadfeeders veröffentlichten Unterlagen.
Daten werden in der EU gespeichert. Kundendaten liegen auf Servern in der Europäischen Union – auf AWS in Irland. Die Verträge unterliegen EU-Recht.
Quellen sind öffentlich und nachvollziehbar. Die Datenbasis besteht aus offiziellen Handelsregistern, öffentlichen Webdaten und Verzeichniseinträgen. Wo möglich, mit Deep Links zurück zur Quelle. Sensible Datenkategorien werden bewusst nicht erhoben. Und Leadfeeder betreibt kein Profiling mit rechtlicher oder ähnlich gewichtiger Wirkung.
Widersprüche sind einfach und werden umgesetzt. Personen und Organisationen können der Verarbeitung widersprechen. Leadfeeder führt eine Blockliste und gleicht Datensätze mit öffentlichen Robinsonlisten ab. Wer widerspricht, dessen personenbezogene Daten werden gelöscht. Anfragen laufen über die GDPR- und Compliance-Seite. Der Datenschutzbeauftragte der Gruppe ist unter dpo@leadfeeder.com erreichbar.
Was Du Deinem Legal-Team mitbringen solltest
Versteh das als Fragenkatalog, nicht als Antworten. Die Antworten hängen von Deiner Organisation ab – und gehören von Deiner eigenen Rechtsberatung freigegeben.
Rechtsgrundlage: Welche Rechtsgrundlage gilt für Deinen Einsatz der Besucher-Identifikation? Ist Deine Interessenabwägung dokumentiert?
Datenschutzerklärung: Benennt sie die Besucher-Identifikation? Erklärt sie den Zweck? Sagt sie, wie man widerspricht?
Cookies: Du nutzt Cookie-basierte Tools wie Analytics oder Retargeting? Dann muss Dein Consent-Banner nicht notwendige Cookies zurückhalten, bis die Einwilligung da ist. Das ist die ePrivacy-Frage – getrennt von der Rechtsgrundlage oben.
Anbieter-Verträge: Ist mit jedem Anbieter ein AVV geschlossen, bevor er live geht?
Und die Personen-Frage: Ein Tool verspricht, benannte Einzelpersonen statt Firmen zu identifizieren? Dann frag nach: Auf welche Rechtsgrundlage stützt es sich – und habt Ihr das mit Eurem Legal-Team geprüft?
Das große Ganze
Die DSGVO wurde geschaffen, um Einzelpersonen zu schützen. Sie soll B2B-Firmen nicht daran hindern zu verstehen, welche Organisationen Interesse zeigen. Die Durchsetzung hat seit 2018 nicht nachgelassen. Bußgelder reichen bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, was höher ist. Der Maßstab ist also real.
Der Kern-Use-Case bleibt machbar: wissen, welche Firmen sich mit Deiner Website beschäftigen, bevor sie ein Formular ausfüllen. DSGVO-konformes Tracking heißt am Ende: eine saubere Rechtsgrundlage, Transparenz und eine klare Grenze zum Personen-Tracking.
Du brauchst die Details für Dein Legal-Team? Dann starte mit der GDPR- und Compliance-Seite und dem Legal Kit.
Häufige Fragen zu Website-Tracking und DSGVO
Verarbeitet B2B-Besucher-Identifikation personenbezogene Daten?
Ja. Sobald die IP-Adresse eines Besuchers verarbeitet wird, sind personenbezogene Daten im Spiel. Denn eine IP-Adresse lässt sich einer Person zuordnen. Die richtige Frage ist deshalb nicht, ob die DSGVO gilt. Sondern: Gibt es eine Rechtsgrundlage – und greifen die richtigen Schutzmaßnahmen? Erkennung auf Firmenebene ist risikoärmer als Personen-Tracking. Es entsteht ein Firmendatensatz, kein Personenprofil. Im Anwendungsbereich der DSGVO bleibt sie trotzdem.
Brauchst Du eine Einwilligung für Cookieless Tracking auf Firmenebene?
Hier stecken zwei getrennte Fragen drin. Die ePrivacy-Einwilligung gilt für das Speichern von Informationen auf dem Gerät – etwa durch Cookies. Ein First-Party-IP-Lookup auf Serverseite speichert nichts auf dem Gerät. Er wird deshalb anders behandelt als Cookie-Tracking. Unabhängig davon ist die IP-Adresse ein personenbezogenes Datum nach DSGVO. Sie kann auf Basis einer der Rechtsgrundlagen des Art. 6 DSGVO verarbeitet werden. Einwilligung ist nur eine davon – das berechtigte Interesse eine andere. Die Bewertung hängt vom konkreten Tool und Deiner Jurisdiktion ab. Kläre sie mit Deinem Legal-Team, statt pauschal zu entscheiden.
Gilt die DSGVO auch für Unternehmen außerhalb der EU?
Entscheidend ist, wo sich die betroffene Person befindet – nicht, wo Deine Firma sitzt. Du verarbeitest personenbezogene Daten von Menschen in der EU? Etwa über Analytics, Cookies oder Besucher-Identifikation? Dann gilt die DSGVO für Dich, egal wo Du sitzt. B2B-Firmen außerhalb der EU mit europäischem Traffic sollten davon ausgehen, dass sie betroffen sind.
Was sollte Deine Datenschutzerklärung zur Besucher-Identifikation sagen
Mindestens fünf Dinge: die Technologie benennen, den Zweck erklären, die Rechtsgrundlage nennen (mit Deinem Legal-Team festgelegt), die Speicherdauer erwähnen und den Widerspruchsweg erklären. Zwei, drei klare Sätze reichen meist. Vage Formulierungen wie „Wir setzen möglicherweise Analyse-Tools von Drittanbietern ein“ genügen nicht, wenn Du aktiv Besucher-Identifikation betreibst.
Wer ist Verantwortlicher, wer Auftragsverarbeiter?
Du bindest ein Identifikations-Skript ein oder verbindest Dein CRM? Dann werden Daten in Deinem Auftrag verarbeitet: Du bist Verantwortlicher, der Anbieter Dein Auftragsverarbeiter – geregelt über einen AVV. Erhebt der Anbieter Daten für eigene Zwecke, ist er selbst Verantwortlicher. Dein Legal-Team will vor der Freigabe wissen, welche Rolle für welche Daten gilt.
Ist Google Analytics DSGVO-konform?
Google Analytics lässt sich DSGVO-konform einsetzen – mit Aufwand. Du brauchst eine Einwilligung über den Cookie-Banner, bevor Analytics-Cookies gesetzt werden (die ePrivacy-Frage). Dazu einen Auftragsverarbeitungsvertrag mit Google und eine datensparsame Konfiguration. In der Vergangenheit haben mehrere europäische Aufsichtsbehörden frühere GA-Versionen beanstandet – wegen der Datentransfers in die USA. Mit dem EU-US Data Privacy Framework hat sich die Lage entspannt. In Bewegung bleibt sie trotzdem. Der Unterschied zur Firmen-Erkennung: Leadfeeder arbeitet ohne Cookies und auf Firmenebene. Beide Ansätze lassen sich kombinieren. Und wie immer gilt: Die Einschätzung für Deinen Fall gehört zu Deinem Legal-Team.
