Viele B2B-Tracking-Anbieter werben mit „cookieless". Das ist Marketing, und wörtlich stimmt es meist nicht. Firmen-Identifikation schreibt etwas auf das Endgerät — eine funktionale First-Party-Kennung auf deiner eigenen Domain, damit die Seitenaufrufe derselben Browser-Sitzung als eine Firmen-Sicht zusammenhängen. Was sie nicht tut: Werbe-Cookies setzen, Cross-Site-Cookies setzen, Browser fingerprinten oder Daten an Werbenetze liefern. Der Beitrag beschreibt den exakten Scope, damit dein DSB ihn nicht rückwärts erschließen muss.
Was der Tracker wirklich auf dem Endgerät ablegt
Beim ersten Seitenaufruf erzeugt der Tracker eine zufällige, geräte-bezogene ID und speichert sie als First-Party-Wert auf deiner eigenen Domain (typischerweise in einem Cookie oder in localStorage). Bei jedem weiteren Aufruf sendet der Tracker diese ID zusammen mit URL, Referrer, Zeitpunkt und User-Agent an den Ingest-Endpoint, damit mehrere Aufrufe derselben Browser-Sitzung derselben Firmen-Sicht zugeordnet werden. Das ist der gesamte lokale Fußabdruck. Keine Werbe-Cookies. Keine Cross-Site-Cookies. Keine Third-Party-Cookies. Kein Fingerprinting.
Die Firmenauflösung selbst läuft nicht auf dem Endgerät. Der Server nimmt die Request-IP, gleicht sie gegen geprüfte B2B-Firmendaten ab, löst die Organisation auf (oder lässt sie unaufgelöst), verwirft die rohe IP danach und speichert die aufgelöste Organisation neben dem Pageview. Die geräte-bezogene ID existiert allein, um Pageviews derselben Sitzung auf deiner eigenen Domain zusammenzuhängen — funktionale Klempnerei, kein Profil.
Was der Tracker nie tut
| Verhalten | Firmen-Identifikation (lead.box) | Werbe- / Retargeting-Cookies |
|---|---|---|
| Auf deiner eigenen Domain (First-Party) | Ja | Teilweise |
| Unter einer Drittanbieter-Domain | Nein | Ja |
| Von anderen Sites lesbar | Nein | Ja |
| Baut ein Cross-Site-Profil | Nein | Ja |
| Weitergabe an Werbenetze | Nein | Ja |
| Browser-Fingerprinting | Nein | Teilweise |
| Besteht nach Opt-out weiter | Nein | Kommt drauf an |
Zwei Regeln, beide weiter in Kraft
Die DSGVO regelt die Verarbeitung (Art. 6 Abs. 1 lit. f, berechtigtes Interesse, mit dokumentierter Abwägung zugunsten des Geschäfts). ePrivacy / §25 TDDDG regelt, was auf dem Endgerät geschrieben wird. Weil eine funktionale First-Party-Kennung auf deiner eigenen Domain geschrieben wird, ist die Banner-Frage nach §25 eine Scoping-Entscheidung deines DSB — nichts, was ein Anbieter für dich entscheiden kann.
Die Banner-Frage, ehrlich
Es gibt Anbieter-Seiten, die „kein Banner nötig" versprechen. Nimm das als Marketing, nicht als Rechtsberatung. §25 TDDDG verlangt Einwilligung für Speichern oder Zugreifen auf dem Endgerät, es sei denn, die Speicherung ist für einen vom Nutzer angeforderten Dienst unbedingt erforderlich. Ob eine funktionale First-Party-Kennung für interne B2B-Analyse als „unbedingt erforderlich" gilt, ist eine Scoping-Entscheidung: Manche DSB sagen ja (funktionale Klempnerei auf eigener Domain, offengelegt unter berechtigtem Interesse), andere führen sie in der CMP unter der Kategorie funktional/notwendig. Beides ist vertretbar. Was du nicht tun solltest: „cookieless" behaupten und das Gespräch übergehen.
Zusammenspiel mit einer CMP
- Behalte deine CMP für Werbe- und Cross-Site-Tools — dort ändert sich nichts.
- Kategorisiere die Firmen-Identifikations-Kennung als funktional / unbedingt erforderlich, mit einer einzeiligen Begründung: interne B2B-Analyse auf eigener Domain.
- Offenlege die Kennung explizit in der Datenschutzerklärung (der Textbaustein auf /gdpr benennt die geräte-bezogene First-Party-ID).
- Verlinke das Opt-out (/opt-out) direkt neben dem Absatz, damit die Betroffenenrechte nicht fehlen.
Was bei „Alle ablehnen" passiert
Kategorisiert deine CMP die Kennung als funktional / unbedingt erforderlich, läuft sie weiter — genau das bedeutet strictly necessary. Kategorisiert sie sie als optionale Analyse und der Nutzer lehnt ab, hört der Tracker auf, die Kennung zu setzen und Events zu senden. Beide Setups sind legitim; wähle das, das dein DSB abzeichnet. Deine Firmen-Zahlen bleiben im ersten Setup stabil und schwanken im zweiten mit den Zustimmungsraten.
Was in die Datenschutzerklärung gehört
Ein Absatz reicht. Er benennt die Verarbeitung, nennt die Rechtsgrundlage, offenlegt explizit die funktionale First-Party-Kennung (nicht verstecken), weist darauf hin, dass keine Werbe- oder Cross-Site-Cookies genutzt werden, und verlinkt AVV und /opt-out. Der /gdpr-Seite liegt ein Copy-Paste-Baustein EN/DE bei, der die Kennung ehrlich benennt.
Veröffentlicht von
lead.box Team
Weitere Artikel
Seh dir lead.box auf deinem eigenen Traffic an
Kostenlos starten — ohne Karte, ohne Sales-Call. Oder buch dir eine 20-minütige Führung, wenn du es geführt haben willst.