B2B-Besuchererkennung in Frankreich

Sie ist umsetzbar unter der unmittelbar geltenden Verordnung (EU) 2016/679 zusammen mit der Loi Informatique et Libertés n°78-17, die wiederholt an die DSGVO angepasst wurde. Übliche Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, dokumentiert durch eine schriftliche Interessenabwägung (mise en balance), die das geschäftliche Interesse an der Erkennung einer besuchenden Firma gegen die Erwartungen der Website-Besucher abwägt; die Praxis wird in der politique de confidentialité neben den übrigen dort aufgeführten Verarbeitungen ausgewiesen. Die CNIL hat Leitlinien zum berechtigten Interesse im Kontext der prospection commerciale veröffentlicht, an denen eine französische Compliance-Prüfung einen Anbieter oft misst, statt eine allgemeine DSGVO-Aussage zu akzeptieren. lead.box agiert ausschließlich als Auftragsverarbeiter auf Basis eines AVV; die abschließende Bewertung, ob diese Rechtsgrundlage zur eigenen Website und Zielgruppe passt, triffst du als Verantwortlicher. Dies ist keine Rechtsberatung.

Die CNIL (Commission nationale de l'informatique et des libertés) ist die französische Aufsichtsbehörde und ungewöhnlich aktiv darin, detaillierte Positionen zu veröffentlichen — lignes directrices und recommandations zu Cookies und Trackern, darunter die bekannte délibération n°2020-091 —, die über den reinen Wortlaut der ePrivacy-Vorgaben hinausgehen. Ihre Doktrin und ihre Sanktionen nach Art. 82 der Loi Informatique et Libertés richten sich gegen Consent-Oberflächen, bei denen das Ablehnen des Trackings schwerer ist als das Annehmen — eine Frage, die erst entsteht, sobald etwas auf dem Endgerät des Besuchers gespeichert oder von dort ausgelesen wird. Die Erkennung auf Firmenebene leitet eine Organisation aus netzwerkseitigen Signalen ab, ohne auf dieses Endgerät zuzugreifen, und liegt damit außerhalb des Mechanismus, den die Cookie-Doktrin der CNIL überwacht. Ob der Rest einer Website ein konformes Consent-Banner für eigene Tracker braucht, bleibt eine eigene, unabhängige Frage des Verantwortlichen.

Französische Rechts- und Datenschutzabteilungen erwarten meist drei Unterlagen vor der Freigabe: die schriftliche Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO mit konkretem Zweck (prospection commerciale, keine Profilbildung), einen Eintrag, der direkt in das nach Art. 30 DSGVO geforderte registre des traitements übernommen werden kann, sowie den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO samt Subprozessoren-Liste. Viele französische Konzerne nutzen bereits eine vergleichbare Abwägungsvorlage für andere BtoB-Prospecting-Werkzeuge, sodass eine Prüfung das Muster meist wiedererkennt, statt von null zu beginnen. Wo ein Datenschutzbeauftragter nach Art. 37 DSGVO bestellt wurde — bei größeren französischen Konzernen und öffentlich auftretenden Organisationen üblich —, wird häufig verlangt, dass die Abwägung ein Überprüfungsdatum nennt, statt einmal abgeheftet zu werden. lead.box liefert die zugrunde liegenden Fakten für diese Unterlagen; Erstellung und Freigabe bleiben Aufgabe des Verantwortlichen.

lead.box leitet Name und Domain der besuchenden Firma aus netzwerkseitigen Signalen des Besuchs ab; es setzt kein Cookie, schreibt oder liest nichts auf dem Endgerät des Besuchers und erstellt kein seitenübergreifendes Werbeprofil. Ebenso wichtig für eine französische Prüfung: Es identifiziert nicht die einzelne Person hinter einem Besuch, durchsucht keine Profile beruflicher Netzwerke und ergänzt eine Sitzung nicht automatisch um eine E-Mail-Adresse, wie es manche als BtoB-Prospecting vermarktete Sales-Intelligence-Werkzeuge tun — eine Unterscheidung, nach der französische Compliance-Teams angesichts der CNIL-Aufmerksamkeit für aggressive Prospecting-Praktiken zunehmend gezielt fragen. Das Ergebnis ist ein Firmenname mit besuchten Seiten, keine Person und kein Kontaktdatensatz, sodass die Verarbeitung von der Erfassung bis zum Export durchgehend auf Firmenebene bleibt.

Französische BtoB-Verkaufszyklen, besonders bei equipement industriel, services informatiques und Beratung für grands comptes, laufen oft über mehrere Beteiligte, die wochenlang still recherchieren, bevor ein comité de direction einen formalen appel d'offres ausschreibt, und die endgültige Entscheidung liegt häufig beim directeur général, selbst wenn ein Manager die Bewertung geführt hat. Vertriebsteams arbeiten typischerweise mit Salesforce, HubSpot oder Pipedrive, und erkannte Firmen werden per Webhook dorthin übertragen, sodass ein Account Executive, der benannte grands comptes betreut, eine neue Firma ohne manuelle Eingabe sieht. Für kleinere PME/ETI ist oft ein einfacher wöchentlicher CSV- oder Excel-Export, der im point commercial besprochen wird, praktischer als ein Live-Dashboard — das passt zur eher hierarchischen, formal strukturierten Art, wie französische Vertriebsorganisationen ihre Pipeline prüfen.

Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und eine versionierte Subprozessoren-Liste sind veröffentlicht, damit ein Datenschutzbeauftragter oder ein spezialisierter avocat sie auf Französisch prüfen kann, bevor ein Vertrag unterzeichnet wird, statt sie erst mitten in der Verhandlung anzufordern. Daten mit Bezug zu EU-Besuchern, einschließlich Besuchern aus Frankreich, werden in ISO-zertifizierten EU-Rechenzentren verarbeitet und dafür nicht aus der EU heraus übertragen — das nimmt die Frage internationaler Übermittlungen heraus, die in Frankreich seit der eigenen CNIL-Prüfung nicht-europäischer Verarbeitungswerkzeuge, etwa der Position zu Google Analytics von 2022, besonders sensibel geworden ist. Da die französische Beschaffung Unterlagen oft vor einer Sitzung des comité de direction verlangt statt danach, verkürzt die vorab verfügbare Dokumentation den internen Freigabeprozess eher, als ihn zu verlängern.

Der Einstieg erfolgt über ein First-Party-JavaScript-Snippet, meist eingebunden über einen Tag-Manager wie Google Tag Manager — die Methode, die die meisten französischen Webteams und ihre prestataires bereits verwalten, sodass in der Regel keine direkte Code-Änderung nötig ist. Erkannte Firmen erscheinen typischerweise innerhalb der ersten Tage, sobald Traffic eintrifft, und lassen sich von dort als CSV oder Excel für eine wöchentliche Vertriebsrunde exportieren oder automatisch per Webhook in das ohnehin genutzte CRM übertragen. Weitere Sitze lassen sich hinzufügen, sobald das Vertriebsteam wächst, und die Kündigung erfolgt über die Kontoeinstellungen im Self-Service statt über eine postalisch versendete lettre de résiliation — das entspricht der zunehmenden Erwartung französischer SaaS-Käufer, Werkzeuge ohne langfristige Bindung zu testen und wieder zu verlassen.

Die Erkennung leitet Firmen aus netzwerkseitigen Signalen ab, und die Genauigkeit hängt davon ab, wie ein Besuch ins Internet gelangt: Ein Mitarbeiter an einem festen Büroanschluss eines großen französischen Anbieters wie Orange, SFR, Bouygues oder Free lässt sich in der Regel zuverlässig auflösen, während ein Besuch über Mobilfunk, ein privates VPN oder einen gemeinsam genutzten Anschluss schwerer oder gar nicht korrekt zuzuordnen ist. Große immeubles de bureaux und Gewerbeparks, in denen mehrere unabhängige Firmen einen gemeinsamen Internetanschluss teilen, können ebenfalls einen Namen liefern, der eher den Hauptmieter des Gebäudes als die tatsächlich besuchende Firma widerspiegelt, und Konzernstrukturen, in denen mehrere filiales eine gemeinsame Konzern-IP nutzen, bergen ein ähnliches Risiko. lead.box behandelt jeden Treffer als Signal zur Qualifizierung durch den Vertrieb, nicht als gesicherte Tatsache, und ein französischer Vertriebsmitarbeiter sollte den Account stets bestätigen, bevor ein aufgelöster Name als qualifizierter Lead behandelt wird.