Kurze Antwort: Ja — unter drei Bedingungen. Die Verarbeitung bleibt auf Unternehmensebene, sie wird transparent in der Datenschutzerklärung offengelegt, und Betroffene haben einen funktionierenden Widerspruchsweg. Unten die lange Antwort — geschrieben für alle, die das Tool im Meeting mit Legal oder DSB verteidigen müssen.
Ist eine Firmen-IP überhaupt personenbezogen?
Nach DSGVO ist eine IP-Adresse personenbezogen, sobald sie mit vernünftigem Aufwand einer natürlichen Person zugeordnet werden kann (EuGH Breyer, C-582/14). Eine Firmen-IP, die sich nur auf eine juristische Person auflöst, ist formal weiterhin personenbezogen — hinter dem Anschluss sitzt eine Person — die Identifikation, die wir vornehmen, wird ihr aber nie zugeordnet. Wir lösen die IP zu einer Organisation auf, verwerfen die Roh-IP nach der Auflösung und speichern keine nutzerbezogenen Identifikatoren.
Das ist die entscheidende Unterscheidung: Personenbezogene Daten werden in dem Moment verarbeitet, in dem die IP auf dem Server ankommt — und sofort auf einen Datensatz auf Organisationsebene reduziert. Für diese kurze Verarbeitung greift die DSGVO trotzdem; also braucht es eine Rechtsgrundlage — und berechtigtes Interesse ist der passende Rahmen.
Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f
Art. 6 Abs. 1 lit. f erlaubt eine Verarbeitung, wenn ein berechtigtes Interesse des Verantwortlichen die Rechte und Interessen der Betroffenen nicht überwiegt. Für B2B-Besucher-Identifikation ist die Abwägung eingelaufen und sieht so aus.
| Element | Bewertung |
|---|---|
| Berechtigtes Interesse | Vertriebs-/Marketing-Analytik auf der eigenen Website — anerkannt in Erwägungsgründen 47 und 48. |
| Erforderlichkeit | Firmen-Auflösung ist das mildeste Mittel, um zu wissen, welche Organisationen auf der Site sind — kein Personenprofil. |
| Verhältnismäßigkeit | IP wird nach Auflösung verworfen, kein seitenübergreifendes Profil, keine Werbung, kein Datenverkauf. |
| Vernünftige Erwartung | Besuchende aus Firmennetzen erwarten, dass die Präsenz ihres Arbeitgebers auf einer Anbieter-Site sichtbar ist; Personen-Identifikation wird weder versprochen noch geliefert. |
| Schutzmaßnahmen | Transparente Datenschutzerklärung, Widerspruch verfügbar, Standard-TOMs, EU-Verarbeitung, kurze Speicherfristen. |
Die Waage kippt zu deinen Gunsten — dann und nur dann — wenn die Verarbeitung auf Unternehmensebene bleibt. Sobald ohne separate Rechtsgrundlage konkrete Personen dranstehen, dreht sich die Analyse.
Und die ePrivacy-Richtlinie (TDDDG / § 25)?
ePrivacy — in Deutschland als TDDDG (früher TTDSG § 25) umgesetzt — regelt den Zugriff auf Informationen, die bereits auf einem Endgerät gespeichert sind. Genau der Grund, warum Cookie-Banner existieren. Die Unternehmens-Identifikation über IP-Auflösung speichert und liest nichts auf dem Endgerät. Kein Cookie, kein Local Storage, kein Fingerprint. § 25 greift also nicht, und für diesen Zweck ist kein Consent-Banner erforderlich.
Wo Teams trotzdem einen Banner brauchen
Fast jede reale Site läuft mit zusätzlicher Analytik oder Werbe-Pixeln, die auf das Endgerät zugreifen (Google Analytics, LinkedIn Insight, Meta Pixel, Chat-Widgets mit Session Storage). Die brauchen weiterhin eine ordentliche Consent-Management-Plattform. Unternehmens-Identifikation ist schlicht nicht das Tool, das dich in Banner-Land bringt.
Was du als Kund:in zu tun hast
Die Tool-Seite passt; die andere Hälfte liegt beim Site-Betreiber. Drei Handlungen decken es — keine dauert länger als ein Kaffee.
- Datenschutzerklärung ergänzen. Ein Absatz zur Unternehmens-Identifikation, berechtigtem Interesse, Auflösungs-Schritt und Widerspruchsmöglichkeit. Ein fertiger Textbaustein steht auf unserer DSGVO-Seite.
- AVV abschließen. Nach Art. 28 DSGVO wird ein Auftragsverarbeitungsvertrag geschlossen — digital, aus den Workspace-Einstellungen. Details, TOMs-Zusammenfassung und Subunternehmer-Liste auf unserer AVV-Seite.
- Widerspruch veröffentlichen. Verlinke die /opt-out-Seite aus deiner Datenschutzerklärung. Wir honorieren den Widerspruch auf Resolver-Ebene.
Das Opt-out
Der Widerspruch ist ein Recht nach Art. 21 DSGVO, und ein funktionierendes Opt-out ist nicht nur rechtlich Pflicht — es macht das Argument des berechtigten Interesses überhaupt erst glaubwürdig. Zwei Kanäle sind immer offen: das Selbst-Service-Formular auf /opt-out, das jede:r Besucher:in ohne Konto nutzen kann, und eine E-Mail an info@lead.box, die wir manuell binnen zehn Werktagen bearbeiten.
Drittlandsübermittlungen
Kundendaten, Resolver-Verarbeitung und Backups liegen vollständig in der EU, in ISO 27001-zertifizierten Rechenzentren. Es findet im Standardprodukt keine Drittlandsübermittlung statt. Aktivierst du eine bestimmte Integration, die Daten ausserhalb der EU sendet (deine Wahl, dein CRM, dein Webhook-Ziel), liegt diese Übermittlung in deiner Verantwortlichen-Rolle; was rausgeht, dokumentieren wir im AVV.
Dieser Beitrag gibt allgemeine Orientierung, keine Rechtsberatung. Für eine verbindliche Bewertung deines konkreten Setups sprich bitte mit qualifizierten Berater:innen oder deiner:m Datenschutzbeauftragten.
Veröffentlicht von
lead.box Team
Weitere Artikel
Seh dir lead.box auf deinem eigenen Traffic an
Kostenlos starten — ohne Karte, ohne Sales-Call. Oder buch dir eine 20-minütige Führung, wenn du es geführt haben willst.