Die DSGVO ist nicht der Grund, warum deine Pipeline weich ist. Weich ist die Version der DSGVO, die in Marketing-Slack-Kanälen kursiert — eine Mischung aus mitgehörter Risikoaversion, halb erinnertem Cookie-Banner-Theater und einem LinkedIn-Thread von einem Consultant, der einen Kurs verkauft. Fünf der teuersten Mythen, jeweils mit der ehrlichen Realität und einem konkreten Montagsschritt.
Hinweis
Dies ist ein Marketing-Artikel, keine Rechtsberatung. Aufsichtsbehörden bewegen sich in Details; im Zweifel: DSB oder Anwältin fragen. Aber: die Mythen unten sind keine Grenzfälle.
Mythos 1 — „Alles braucht Einwilligung"
Realität: Einwilligung ist eine von sechs Rechtsgrundlagen in Art. 6 DSGVO, nicht der Default. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) ist eine vollwertige Grundlage und laut Erwägungsgrund 47 ausdrücklich für Direktmarketing verfügbar. B2B-Besucheridentifikation auf Unternehmensebene — kein persönliches Profiling, kein Tracken einzelner Nutzer:innen — qualifiziert regelmässig unter berechtigtem Interesse mit einer dokumentierten Interessenabwägung.
Was tun: reflexartige Consent-Abfragen für Dinge lassen, die sie nicht brauchen. Interessenabwägung (LIA) für die passenden Fälle dokumentieren. Consent-Screens für das reservieren, was sie wirklich braucht — z. B. Third-Party-Werbe-Cookies. Nutzer:innen danken es dir; deine Conversion-Rate auch.
Mythos 2 — „IP-Adressen sind immer tabu"
Realität: IP-Adressen sind personenbezogene Daten, wenn sie mit einer Person verknüpft werden können. Ihre Verarbeitung ist nicht verboten — sie braucht Rechtsgrundlage und verhältnismässige Schutzmassnahmen. B2B-Identifikation löst die IP typischerweise auf ein Unternehmen (Organisation, nicht Person) auf, hält die Roh-IP nur für ein kurzes technisches Fenster, verkauft und reichert kein individuelles Verhalten an. Ein sehr anderes Verarbeitungsprofil als das Ad-Tech-Szenario, das der „IP = unantastbar"-Mythos meint.
Was tun: IP-Verarbeitungsfenster kurz halten, in der Datenschutzerklärung explizit machen und die Transformation beschreiben (IP → Unternehmen, nicht IP → Person). Bei Auftragsverarbeitung: in den AVV (Art. 28) aufnehmen.
Mythos 3 — „Cookielos bedeutet keine Einsicht"
Realität: dieser Mythos verwechselt zwei Dinge. Einwilligung für Cookies (ePrivacy / § 25 TDDDG in Deutschland) regelt, was du auf dem Endgerät speicherst. Die Identifikation der Firma hinter einem Besuch, serverseitig und ohne nicht-notwendige Browser-Speicherung, ist eine andere Verarbeitung — sie lebt allein unter der DSGVO. Du kannst cookielos sein und trotzdem wissen, dass Bosch auf deiner Preisseite war.
Was tun: die zwei Fragen trennen. „Was speichere ich im Browser?" (ePrivacy — meist nichts über strikt notwendig hinaus). „Was verarbeite ich über den Besuch?" (DSGVO — für Unternehmens-Identifikation meist berechtigtes Interesse).
Mythos 4 — „Die DSGVO verbietet B2B-Tracking"
Realität: Die DSGVO regelt die Verarbeitung personenbezogener Daten. Sie regelt „Tracking" nicht als Kategorie und verbietet B2B-Marketing schon gar nicht — Erwägungsgrund 47 ist ausdrücklich, dass Direktmarketing ein berechtigtes Interesse sein kann. Stark reguliert ist Verhaltens-Tracking natürlicher Personen für Werbezwecke. Unternehmens-Identifikation ohne persönliches Profiling ist eine andere Welt.
Was tun: in eigenen Materialien präzise beschreiben, was du tust und was nicht. „Wir identifizieren besuchende Unternehmen. Wir tracken keine individuellen Nutzer:innen. Wir verkaufen keine Daten." Präzise Sprache schützt weit besser als vage.
Mythos 5 — „Ein Cookie-Banner löst alles"
Realität: Ein Banner ist ein Einwilligungs-Erfassungsmechanismus für Cookies-und-ähnliches. Er ist kein allgemeiner DSGVO-Ablass. Ein Banner auf eine untenrum unzulässige Verarbeitung zu setzen macht sie nicht zulässig — nur das Interface hässlicher. Umgekehrt braucht sauber unter berechtigtem Interesse gescopte Verarbeitung kein Banner, um rechtmässig zu sein.
Was tun: dein Banner hat einen Job — Einwilligung für nicht-strikt-notwendige Speicherung sammeln. Alles andere gehört in Datenschutzerklärung, AVV und interne Doku. Tut dein Banner mehr, macht es das wahrscheinlich schlecht.
Die fünf Mythen im Überblick
| Mythos | Realität | Anker |
|---|---|---|
| Alles braucht Einwilligung | Einwilligung ist eine von sechs Grundlagen; LI ist gültig für B2B-Marketing | Art. 6(1)(f); ErwGr. 47 |
| IP-Adressen sind tabu | Personenbezogen — braucht Grundlage und verhältnismässige Schutzmassnahmen | Art. 4(1), Art. 6 |
| Cookielos = keine Einsicht | ePrivacy regelt Speicherung, DSGVO regelt Verarbeitung — getrennt. | ePrivacy-RL; § 25 TDDDG |
| DSGVO verbietet B2B-Tracking | Sie regelt personenbezogene Verarbeitung; B2B-Direktmarketing ist anerkanntes LI | ErwGr. 47 |
| Ein Banner löst alles | Ein Banner erfasst Einwilligung für Speicherung. Er wäscht keine andere Verarbeitung. | ePrivacy |
Das Muster in allen fünf
Jeder Mythos ersetzt eine konkrete Regel durch ein vages Bauchgefühl. Die Regeln selbst sind gegenüber durchdachtem B2B-Marketing im Allgemeinen freundlicher als das Bauchgefühl vermuten lässt. Den zitierten Artikel wirklich zu lesen kostet zehn Minuten und spart Quartale selbstauferlegten Handicaps.
Nichts davon ist eine Einladung zur Nachlässigkeit. Es ist eine Einladung, aufzuhören, sich von Regulierung einschüchtern zu lassen, die man nicht gelesen hat. DSGVO-first-Marketing existiert; vieles davon schlägt Consent-only-Marketing bei den Metriken, die zählen.
Dieser Beitrag ist allgemeine Information für B2B-Marketing-Teams und keine Rechtsberatung. Für die konkrete Situation DSB oder Anwältin fragen.
Veröffentlicht von
lead.box Team
Weitere Artikel
Seh dir lead.box auf deinem eigenen Traffic an
Kostenlos starten — ohne Karte, ohne Sales-Call. Oder buch dir eine 20-minütige Führung, wenn du es geführt haben willst.