B2B-Besuchererkennung in Finnland

Der Datenschutzbeauftragte (Tietosuojavaltuutettu) beaufsichtigt in Finnland die Verarbeitung personenbezogener Daten, wobei Geldbußen von einem Kollegialgremium innerhalb desselben Amtes entschieden werden und nicht vom Beauftragten allein — eine im europäischen Vergleich ungewöhnliche zweistufige Struktur. Cookies und vergleichbare Technologien auf Geräteebene fallen dagegen unter das Gesetz über Dienste der elektronischen Kommunikation und werden von Traficom, der finnischen Verkehrs- und Kommunikationsagentur, beaufsichtigt. Eine finnische Prüfung eines Werkzeugs zur Besuchererkennung kann daher zwei getrennte Regelwerke gleichzeitig berühren: ob die Verarbeitung nach der DSGVO rechtmäßig ist, und ob alles auf dem Endgerät des Besuchers den von Traficom beaufsichtigten Kommunikationsvorschriften entspricht. Zu wissen, welche Behörde für welche Frage zuständig ist, spart in Beschaffungsgesprächen Zeit.

Das Tietosuojalaki (Datenschutzgesetz 1050/2018) ist ein ergänzendes nationales Gesetz, kein Ersatz für die DSGVO. Es regelt finnische Besonderheiten zur Verarbeitung von Personenkennzahlen (henkilötunnus), zur Verarbeitung für Forschung, Statistik und Journalismus sowie zur oben beschriebenen nationalen Aufsichts- und Sanktionsstruktur. Für die Besuchererkennung auf Firmenebene greift keine dieser Sonderregelungen, sodass die maßgeblichen Pflichten die allgemeinen DSGVO-Anforderungen bleiben: eine dokumentierte Rechtsgrundlage, eine transparente Datenschutzerklärung und ein Auftragsverarbeitungsvertrag nach Art. 28 mit jedem beteiligten Auftragsverarbeiter, einschließlich des Erkennungsanbieters selbst.

Die Regel auf Geräteebene steht im Gesetz über Dienste der elektronischen Kommunikation, das das Speichern von Informationen auf dem Endgerät eines Besuchers und den Zugriff darauf regelt, und wird von Traficom beaufsichtigt, nicht vom Datenschutzbeauftragten. lead.box erkennt Firmen anhand von Netzwerkinformationen zum Besuch und legt keine Werbekennungen, Tracking-Pixel oder Geräte-Fingerprints auf dem Endgerät ab, ist also nicht Ziel dieser einwilligungsähnlichen Regel. Alles Weitere, was deine Website lädt — Analyse-Tags, Werbepixel, Chat-Widgets — wird separat an Traficoms Vorgaben gemessen, weshalb sich eine eigene Prüfung des Tag-Stacks unabhängig von dieser Frage lohnt.

Ja. Jeder Besucher kann der Verarbeitung jederzeit über die öffentliche Opt-out-Seite widersprechen, und ein Unternehmen kann ein firmenweites Opt-out für den gesamten Traffic aus seinem Netzwerk beantragen. Da die Rechtsgrundlage auf einer dokumentierten Interessenabwägung statt auf Einwilligung beruht, ist das Widerspruchsrecht der praktische Kontrollpunkt und sollte ohne Begründungspflicht ausübbar sein. Die Erkennung sollte außerdem in der eigenen Datenschutzerklärung (tietosuojaseloste) benannt werden; einen einsetzbaren Musterabsatz zur Anpassung an den eigenen Wortlaut findest du auf der DSGVO-Seite.

Finnische Unternehmensdaten sind ungewöhnlich sauber, weil das vom PRH geführte Unternehmens- und Organisationsregister (Yritys- ja yhteisötietojärjestelmä, YTJ) jeder eingetragenen Einheit eine stabile, kostenlos abrufbare Y-tunnus zuweist. Ordnet lead.box einen Besuch einer Organisation zu, lässt sich diese in der Regel innerhalb von Sekunden gegen das YTJ-Register abgleichen — ein Grund, warum finnische Vertriebs- und Marketingteams einem Firmentreffer meist schnell vertrauen, statt es als Blackbox zu behandeln. Das erleichtert auch den Abgleich mit dem eigenen CRM, da die Y-tunnus der Referenzschlüssel ist, den die meisten finnischen B2B-Datenbanken bereits verwenden.

Finnische B2B-Beschaffung ist selbst außerhalb strenger öffentlicher Vergabeverfahren meist pragmatisch und dokumentenorientiert statt juristisch geprägt: Eine Prüfung verlangt üblicherweise den Standard-Auftragsverarbeitungsvertrag nach Art. 28, die veröffentlichte Subprozessoren-Liste, die Bestätigung des Verarbeitungsorts sowie eine kurze schriftliche Notiz zu Rechtsgrundlage und Interessenabwägung — liegen diese vor, geht es zügig weiter. Größere Organisationen und alles mit Bezug zum öffentlichen Sektor erwarten zusätzlich einen schriftlichen Datenschutzfragebogen zu Aufbewahrung, Sicherheitsmaßnahmen und Meldepflichten bei Verstößen, weshalb vorbereitete englische Antworten den Prozess spürbar verkürzen.

Finnische B2B-Teams setzen häufig auf HubSpot, Pipedrive oder Microsoft Dynamics neben einem Marketing-Automation-Tool, und die praktische Frage in der Bewertung dreht sich selten um die Rechtsgrundlage, sondern darum, wie schnell ein erkannter Besuch zu einem verwertbaren Datensatz wird. lead.box exportiert erkannte Firmen als CSV, Excel oder JSON und kann Treffer per Webhook weiterleiten, sodass ein Besuch als angereicherter Datensatz oder Aufgabe genau in dem CRM landet, das der Vertrieb ohnehin täglich öffnet — ohne dass jemand eine neue Oberfläche lernen muss. Diese Übergabe zählt in Finnlands account-basiertem, hochwertigem B2B-Vertrieb mehr als in Märkten mit hohem Transaktionsvolumen.

Das Snippet wird einmal als einzelner Tag in die Site-Vorlage eingebaut, danach erscheinen die ersten erkannten Firmen aus dem eigenen Traffic meist binnen eines Tages — genug Substanz für die von finnischen Käufern bevorzugte Prüfung-vor-Verpflichtung statt eines bloßen Verkaufsversprechens. Team-Sitze lassen sich hinzufügen, sobald weitere Kolleginnen und Kollegen Zugriff brauchen, Exporte und Webhooks passen sich dem vorhandenen CRM- oder Tabellen-Workflow an, und die Kündigung erfolgt selbstständig ohne feste Vertragslaufzeit, aus der man herausverhandeln müsste — ein Punkt, den finnische Käufer, die Anbieterbindung ungern eingehen, meist früh statt spät prüfen.