Wenn du Unternehmens-Identifikation nutzt, muss deine Datenschutzerklärung das sagen. Nicht in einer Fussnote, nicht im Juristendeutsch-Nebel, nicht auf einer Extra-Seite, die niemand verlinkt — in demselben Dokument, das deine Besucher ohnehin ansteuern. Ein praktischer Durchgang zum Absatz, den du ihnen schuldest, wo er hingehört und wie du ihn formulierst, ohne es schlimmer zu machen als nötig.
Hinweis
Dies ist ein Marketing-Artikel, keine Rechtsberatung. Nimm den Textbaustein unten als Ausgangspunkt und lass DSB oder Anwältin ihn an deine konkrete Verarbeitung anpassen.
Wo der Absatz hingehört
Der richtige Ort ist deine bestehende Datenschutzerklärung — meist der Abschnitt „Website-Analytik", „Nutzung Ihrer Daten" oder „Verarbeitungen auf dieser Website". Als neue Unterüberschrift nahe dem Analytik-Teil einfügen, aber davon abgesetzt. Ziel: eine Besucherin mit zehn Sekunden Zeit und Strg+F findet ihn unter „Besucher-Identifikation" oder „Unternehmensdaten".
Nicht in die Cookie-Policy verstecken. Cookie-Policies drehen sich um Speicherung auf dem Endgerät; Unternehmens-Identifikation nutzt in der Regel keine Cookies — und die Verortung dort verwirrt alle.
Was der Absatz abdecken muss
Sechs Elemente, ungefähr in dieser Reihenfolge. Keins davon muss lang sein.
- Was du tust: das Unternehmen (Organisation) hinter einem Besuch identifizieren, nicht die einzelne Person.
- Welche Daten: IP-Adresse für ein kurzes technisches Fenster, plus besuchte Seiten und Zeitstempel.
- Wie: IP wird via IP-zu-Unternehmen-Datenbank auf eine Organisation aufgelöst; Roh-IP wird nach der Auflösung nicht behalten.
- Warum: berechtigtes Interesse nach Art. 6(1)(f) DSGVO — Direktmarketing / Account-Intelligenz — mit dokumentierter Interessenabwägung.
- Speicherdauer: wie lange identifizierte Besuche in deinen Systemen bleiben.
- Rechte und Widerspruch: Link zur Opt-out-Seite und Hinweis, dass jederzeit widersprochen werden kann.
Formulierungs-Do und -Don't
| Do | Don't |
|---|---|
| „Wir identifizieren das besuchende Unternehmen (Organisation)" | „Wir identifizieren Besucher" (mehrdeutig — klingt personenbezogen) |
| Rechtsgrundlage explizit benennen (Art. 6(1)(f)) | Auf Einwilligung verweisen, wenn die Grundlage berechtigtes Interesse ist |
| IP-Transformation beschreiben (IP → Unternehmen, nicht roh gespeichert nach Auflösung) | Speicherdauer weglassen — Schweigen liest sich wie „für immer" |
| Opt-out-Seite direkt verlinken | Nur „bei uns melden, um zu widersprechen" |
| Auftragsverarbeiter benennen, mit Link zu AVV/Subprozessorenliste | Third-Party-Verarbeitung nur implizieren |
| Alltagssprache neben juristischen Begriffen | Nur Latein und Artikelnummern |
Fertiger Textbaustein (an dein Setup anpassen)
„Website-Besucher-Identifikation (Unternehmensebene). Wenn Sie unsere Seite besuchen, verarbeiten wir Ihre IP-Adresse für ein kurzes technisches Fenster, um die Organisation hinter dem Besuch zu bestimmen — nicht die einzelne Person. Die IP wird über eine IP-zu-Organisation-Datenbank aufgelöst und darüber hinaus nicht in Rohform gespeichert. Wir verbinden das aufgelöste Unternehmen mit den von Ihnen aufgerufenen Seiten und der Zeit Ihres Besuchs, um zu verstehen, welche Organisationen sich für unsere Leistungen interessieren, und ggf. Kontakt aufzunehmen. Rechtsgrundlage: berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO (Direktmarketing und Account-Intelligenz), dokumentiert in einer internen Interessenabwägung, die auf Anfrage einsehbar ist. Speicherdauer: identifizierte Besuche werden für [12 Monate] gespeichert und danach gelöscht. Sie haben das Recht, jederzeit zu widersprechen; das Opt-out ist unter [Link zu /opt-out] verfügbar."
[12 Monate] durch deine tatsächliche Speicherdauer ersetzen. Opt-out-Link anpassen. Bei Auftragsverarbeitung ergänzen: „Wir setzen [Verarbeiter-Name] als Auftragsverarbeiter für diesen Zweck ein. Unser Auftragsverarbeitungsvertrag ist unter [Link] verfügbar."
Zwei Anker, die sich zu verlinken lohnen
Der Absatz wird stärker, wenn er auf zwei weitere Seiten verlinkt: deinen AVV (für das Verarbeiter-Verhältnis) und deine Subprozessorenliste. Beides signalisiert „wir haben das end-to-end durchdacht" — genau das, was das Security-Team eines Interessenten lesen wird. Und es liest.
Was sich sonst noch bewegt, wenn du diesen Absatz einbaust
Ein Absatz ist meist nicht die einzige Änderung. Zwei benachbarte Seiten bewegen sich üblicherweise mit: die Subprozessorenliste (Identifikations-Verarbeiter aufnehmen) und dein Verzeichnis von Verarbeitungstätigkeiten (VVT). Wenn ihr ein Cookie-Banner habt: dieser Absatz ist keine Banner-Kategorie — Unternehmens-Identifikation braucht bei sauberer Interessenabwägung keine Einwilligung über den Banner. Eine kurze interne Notiz an die CMP-Admin spart in sechs Monaten ein verwirrtes Ticket.
Sobald der Absatz live ist: Screenshot der Sektion machen und neben die Interessenabwägung legen. Falls je eine Aufsichtsbehörde fragt, wie Besucher am 3. August im Jahr X informiert wurden, wirst du dankbar sein, dass der Screenshot mit Zeitstempel existiert.
Dieser Beitrag ist allgemeine Information für B2B-Teams und keine Rechtsberatung. DSB oder Anwältin die Formulierung für die konkrete Verarbeitung bestätigen lassen.
Veröffentlicht von
lead.box Team
Weitere Artikel
Seh dir lead.box auf deinem eigenen Traffic an
Kostenlos starten — ohne Karte, ohne Sales-Call. Oder buch dir eine 20-minütige Führung, wenn du es geführt haben willst.