B2B-Besuchererkennung in Deutschland

Unter DSGVO und BDSG ist sie umsetzbar, solange die Erkennung strikt auf Firmenebene bleibt und keine einzelne Person herausgegriffen wird. Übliche Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, dokumentiert mit einer schriftlichen Interessenabwägung, die dein geschäftliches Interesse gegen die Erwartungen der Besucher abwägt, und die Erkennung wird in der Datenschutzerklärung ausgewiesen. Viele deutsche Datenschutzbeauftragte erwarten zusätzlich, dass die Abwägung den konkreten Zweck benennt — Vertriebsansprache, keine Profilbildung — und regelmäßig überprüft statt einmal abgeheftet wird. Die Bewertung triffst du als Verantwortlicher; lead.box agiert ausschließlich als Auftragsverarbeiter und löst niemals eine einzelne Person auf.

Für private Unternehmen ist die Datenschutzbehörde des Bundeslandes zuständig, in dem das Unternehmen seinen Sitz hat — nicht dort, wo Server oder Kunden sitzen. Der BfDI beaufsichtigt nur Bundesbehörden und Telekommunikationsanbieter und ist für einen B2B-Websitebetreiber selten der richtige Ansprechpartner. Die sechzehn Landesbehörden wenden denselben DSGVO-Text an, formulieren Hinweise zum berechtigten Interesse aber nicht immer identisch — das LDA Bayern und der HmbBfDI setzen unterschiedliche Schwerpunkte. Praktisch ist die veröffentlichte Position der eigenen Landesbehörde der Maßstab für die Dokumentation, und dort würde auch eine Beschwerde zuerst landen.

Die Erkennung auf Firmenebene mit lead.box erzeugt keine Werbekennungen, keine Geräte-Fingerprints und keine seitenübergreifenden Profile und stützt sich damit nicht auf die Speicher-und-Zugriffs-Einwilligung nach § 25 TDDDG, die Cookie-Banner für Tracking-Pixel und Adtech auslöst. Die meisten deutschen B2B-Websites setzen aber ohnehin Analyse- oder Marketing-Tags ein, die eine Einwilligung brauchen — ob dein Gesamtsetup ein Banner erfordert und ob du das lead.box-Snippet innerhalb oder außerhalb einer Consent-Kategorie platzierst, bleibt deine dokumentierte Bewertung als Verantwortlicher; der Mechanismus von lead.box selbst steht außerhalb dieser Frage.

Personen- und Besucherdaten mit EU-Bezug werden in ISO-zertifizierten EU-Rechenzentren verarbeitet und dafür nicht aus der EU herausverlagert, wodurch die Transfer-Folgenabschätzung nach Kapitel V entfällt, die viele deutsche Beschaffungsprüfungen sonst ausbremst. Der AVV nach Art. 28 DSGVO und die versionierte Subprozessoren-Liste sind veröffentlicht statt nur auf Anfrage verschickt, sodass ein Datenschutzbeauftragter eine erste Prüfung abschließen kann, bevor überhaupt ein Vertriebstermin steht, und die Liste später erneut prüfen kann, ohne eine aktualisierte Kopie anzufordern.

Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind. Die Erkennung auf Firmenebene löst die besuchende Organisation auf, nicht die einzelne surfende Mitarbeiterin, weshalb die meisten Rechtsabteilungen sie anders einordnen als ein Mitarbeiter-Monitoring-Tool — trotzdem ist es sinnvoll, den Betriebsrat bei vorhandenem Gremium frühzeitig zu informieren, besonders wenn die entstehenden Listen später mit einem CRM abgeglichen werden, das auch Vertriebsaktivitäten erfasst. lead.box liefert die technische Beschreibung dafür; die arbeitsrechtliche Einordnung bleibt bei eurer eigenen Rechts- und Personalabteilung.

Deutsche Einkaufs- und Rechtsteams arbeiten meist eine feste Checkliste ab statt eines offenen Gesprächs: der AVV nach Art. 28, die aktuelle Subprozessoren-Liste mit Änderungsmitteilung, eine Aussage zu den pro Besuch verarbeiteten Daten, die Bestätigung, dass keine Personen oder Gerätekennungen erfasst werden, und ein Eintrag, den man direkt ins eigene Verzeichnis von Verarbeitungstätigkeiten übernehmen kann. Weil lead.box diese Dokumente versioniert veröffentlicht, kann ein Datenschutzbeauftragter meist ohne Telefonat eine erste Einschätzung abschließen, und offene Fragen im Kickoff betreffen dann meist die eigene Website, nicht den Anbieter.

Die meisten deutschen Teams binden das JavaScript-Snippet über einen Tag-Manager wie Google Tag Manager ein, den die IT ohnehin verwaltet, sodass kein direkter Code-Eingriff nötig ist und die Änderung wie jeder andere Tag nachvollziehbar bleibt. Erkannte Firmen erscheinen noch am selben Tag im Dashboard und lassen sich von dort als CSV oder Excel für das wöchentliche Vertriebsmeeting exportieren, per Webhook in ein CRM wie HubSpot oder Salesforce übertragen oder als gefilterte Liste nach Branche, Region oder besuchter Seite an einen Betreuer übergeben — relevant für einen Mittelstands-Vertrieb, der um feste Ansprechpartner statt eine geteilte Warteschlange organisiert ist.

lead.box ist auf Selbstverwaltung ausgelegt: Ihr könnt Team-Sitzplätze anpassen, wenn sich das Vertriebsteam ändert, und die Kündigung erfolgt direkt in den Kontoeinstellungen, ohne Anruf oder postalisch verschickte Kündigung — ein Standard, den deutsche SaaS-Käufer nach Jahren mit Jahreslaufzeiten und Schriftform zunehmend erwarten. Das erleichtert auch die Freigabe durch einen Datenschutzbeauftragten: Ein Werkzeug, das sich leicht wieder abschalten lässt, lässt sich leichter für einen Pilotbetrieb genehmigen — der kommerzielle Ausstieg ist ebenso dokumentiert wie der Einstieg in die Datenschutzprüfung, unabhängig voneinander.