B2B-Besuchererkennung in Irland

Die Erkennung auf Firmenebene ist in Irland unter der DSGVO in Verbindung mit dem Data Protection Act 2018 umsetzbar, solange die Auflösung bei der besuchenden Organisation endet und keine einzelne Mitarbeiterin oder kein einzelner Mitarbeiter aufgrund des Besuchs identifiziert, profiliert oder kontaktiert wird. Übliche Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, gestützt auf eine dokumentierte Interessenabwägung, die das Interesse des Verantwortlichen an der Erkennung gewerblicher Besucher gegen den begrenzten Eingriff durch die Auflösung eines Firmennamens aus netzwerkseitigen Signalen abwägt, und die Praxis wird in der Datenschutzerklärung als eine der aufgeführten Verarbeitungstätigkeiten offengelegt. Irische Prüfer, die an ausführliche Vendor-Bewertungen multinationaler Konzerne gewöhnt sind, erwarten in der Regel, dass sich diese Abwägung konkret auf den Mechanismus bezieht statt auf eine generische DSGVO-Formulierung. Die abschließende Bewertung der Website insgesamt und der Nutzung erkannter Leads bleibt stets beim Verantwortlichen; lead.box agiert ausschließlich als Auftragsverarbeiter auf Basis eines AVV und trifft diese Entscheidung nicht anstelle des Kunden.

Die Data Protection Commission (DPC) mit Sitz in Dublin ist die irische Aufsichtsbehörde nach DSGVO und Data Protection Act 2018 und die Stelle, an die sich ein irischer Verantwortlicher bei einer Beschwerde oder einer Betroffenenanfrage zur Website-Verarbeitung wenden würde. Weil Irland den europäischen Hauptsitz eines großen Teils der weltweiten Technologiebranche beherbergt, agiert die DPC im One-Stop-Shop-Verfahren der DSGVO häufig als federführende Aufsichtsbehörde und koordiniert grenzüberschreitende Verfahren mit anderen EU-Regulierungsbehörden im Namen dort ansässiger Unternehmen — dadurch sind ihre Hinweise zu berechtigtem Interesse, Datenübermittlungen und Auftragsverarbeiter-Pflichten ungewöhnlich detailliert und werden weit über Irland hinaus als Referenz herangezogen. Ein irischer Rechts- oder Compliance-Prüfer erwartet in der Regel, dass die Dokumentation eines Anbieters dieses Niveau bereits widerspiegelt, statt einen leichteren Maßstab einer kleineren nationalen Behörde anzulegen. Die Unterlagen von lead.box sind entsprechend detailliert aufgebaut, wie die Gesamtverarbeitung einer konkreten Website gegenüber der DPC dargestellt wird, bleibt jedoch Aufgabe des Verantwortlichen.

lead.box stützt sich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO in der Ausgestaltung durch den Data Protection Act 2018, gestützt auf eine schriftliche Interessenabwägung, die den Zweck der Erkennung auf Firmenebene, die vernünftigen Erwartungen eines geschäftlichen Besuchers, der die Website eines Anbieters recherchiert, sowie die vorhandenen Schutzmaßnahmen wie das Fehlen individueller Profilbildung darlegt. Irische Einkaufs- und Rechtsabteilungen, die an die Prüfung von Anbieterdokumentation für multinationale Konzernmütter gewöhnt sind, wollen diese Abwägung in der Regel direkt im eigenen Verzeichnis der Verarbeitungstätigkeiten des Kunden referenziert sehen, ergänzt um einen AVV nach Art. 28 DSGVO, der lead.box als Auftragsverarbeiter benennt. Weil irische Prüfer meist direkt mit DSGVO-Terminologie arbeiten, ohne dass sie neu erklärt werden muss, zählt Präzision mehr als Länge: Eine vage Beschreibung der Abwägung oder ein nicht benannter Zweck löst in einem irischen Review eher Rückfragen aus als eine eng gefasste, konkrete Formulierung. lead.box stellt diese Dokumentation vorab bereit, damit die Prüfung ohne separate Nachbearbeitung erfolgen kann.

Der Dienst löst die besuchende Organisation aus netzwerkseitigen Signalen eines Seitenaufrufs auf, etwa dem IP-Adressbereich und dessen Zuordnung zu einem bekannten Firmennetzwerk, und liefert Firmenname, Domain und die aufgerufenen Seiten zurück; die einzelne Person am Gerät wird dabei weder identifiziert noch profiliert oder verfolgt, und es entsteht kein seitenübergreifendes Werbeprofil irgendeiner Art. Für diese Auflösung werden keine Cookies, Geräte-Fingerprints oder dauerhaften clientseitigen Kennungen verwendet, und es wird nicht versucht, einen Besuch einer namentlich benannten Mitarbeiterin, einer privaten E-Mail-Adresse oder einem LinkedIn-Profil zuzuordnen. Läuft auf derselben Website zusätzlich Analytics, Marketing-Pixel oder ein Chat-Widget, handelt es sich dabei um vollständig getrennte Verarbeitungstätigkeiten nach den ePrivacy Regulations 2011 (S.I. No. 336/2011), deren Bewertung und Offenlegung beim Verantwortlichen liegt. Dieser enge Zuschnitt ist bewusst gewählt: Er ist die Voraussetzung dafür, dass die Praxis auf das berechtigte Interesse auf Firmenebene gestützt werden kann, statt die individuelle Einwilligung zu erfordern, die geräteseitiges Tracking nach irischem Recht verlangen würde.

Irische B2B-Vertriebsteams, besonders in den rund um Dublins internationales Geschäftsviertel angesiedelten SaaS-, Finanz- und Beratungsunternehmen, arbeiten meist mit strukturierten Pipelines in Salesforce, HubSpot oder einem vergleichbaren CRM und erwarten, dass eine neue Datenquelle sich dort einfügt, statt eine parallele Tabelle zu erzeugen. lead.box exportiert erkannte Firmen als CSV-, Excel- oder JSON-Datei und kann sie per Webhook direkt in das bereits genutzte CRM einspielen, versehen mit den aufgerufenen Seiten, sodass ein Vertriebsmitarbeiter ein Gespräch mit einem konkreten, aktuellen Anknüpfungspunkt beginnen kann statt mit einer kalten Ansprache. Da viele irische B2B-Interessenten selbst Technologie- oder Finanzunternehmen sind, die formale Anbieterprüfungen über mehrere Wochen durchführen, kann ein Vertriebsmitarbeiter einen erkannten Account ansprechen, während diese Prüfung noch läuft, statt erst danach, wenn eine Shortlist bereits intern feststeht. Teams mit einem kleineren, beziehungsgetriebenen Kundenkreis nutzen stattdessen oft einen einfachen wöchentlichen Export mit den besuchten Seiten je Firma.

lead.box agiert als Auftragsverarbeiter auf Basis eines AVV nach den Vorgaben des Art. 28 DSGVO, und eine versionierte Liste der Subprozessoren ist veröffentlicht, sodass ein irischer Rechts- oder Security-Prüfer sie direkt einsehen kann, statt sie erst mitten in der Verhandlung anzufordern — relevant, weil irische Prüfer, geprägt von regelmäßigen Vendor-Audits multinationaler Konzerne, dieses Material erfahrungsgemäß gründlich vor der Freigabe prüfen. Personen- und Besucherdaten mit EU-Bezug werden in ISO-zertifizierten EU-Rechenzentren verarbeitet und dafür nicht aus der EU heraus verlagert, wodurch die nach Kapitel V DSGVO sonst nötige Prüfung von Drittlandtransfers entfällt — ein Punkt, der ein irisches Review von Anbietern mit Nicht-EU-Infrastruktur häufig verzögert. Der AVV regelt außerdem Aufbewahrungsfristen, Sicherheitsmaßnahmen und Meldepflichten bei Sicherheitsvorfällen im Einklang mit dem Durchsetzungsrahmen des Data Protection Act 2018. Diese Unterlagen bereits vor Vertragsabschluss verfügbar zu haben, statt sie erst nachträglich auf Anfrage zu liefern, verkürzt in der Regel den internen Freigabeprozess irischer Einkaufsteams.

Der Einstieg erfolgt durch das Einbinden eines First-Party-JavaScript-Snippets auf der Website; erkannte Firmen erscheinen in der Regel bereits in den ersten Tagen, sobald Traffic ankommt, ohne dass eine Mindestvertragslaufzeit abzuwarten wäre. Irische Teams können Kolleginnen und Kollegen als zusätzliche Sitzplätze hinzufügen, die wachsende Liste jederzeit als CSV, Excel oder JSON exportieren und per Webhook dafür sorgen, dass qualifizierte Firmen in das ohnehin genutzte CRM fließen — sei es eine große Salesforce-Instanz, wie sie bei Tochtergesellschaften multinationaler Technologiekonzerne in Irland üblich ist, oder eine schlankere HubSpot-Installation eines kleineren einheimischen Unternehmens. Für die Basiseinrichtung ist kein dediziertes Implementierungsprojekt und kein Berater nötig, was zu der eher niedrigschwelligen Art passt, wie viele irische SaaS-Käufer neue Tools zunächst testen, bevor sie weiteres Budget freigeben. Die Kündigung erfolgt selbstständig in den Kontoeinstellungen statt über eine schriftliche Kündigungsfrist, passend zu der Erwartung irischer Käufer, ein gering verpflichtendes Tool ohne Neuverhandlung wieder verlassen zu können.

Die Erkennung auf Firmenebene beruht auf dem Abgleich netzwerkseitiger Signale mit einer Datenbank bekannter geschäftlicher IP-Bereiche, und die Genauigkeit hängt davon ab, wie ein Besucher verbunden ist: Traffic aus dem eigenen Bürofirmennetz, etwa vielen der Unternehmenscampus rund um Dublin, Cork und Galway, wird zuverlässig aufgelöst, während Traffic aus einem privaten Breitbandanschluss, einem Mobilfunknetz oder einem VPN eher dem Internetanbieter als der besuchenden Firma zugeordnet wird oder gar nicht auflösbar ist. Gemeinsam genutzte Bürogebäude und Co-Working-Spaces, wie sie in Dublins Tech-Szene verbreitet sind, können gelegentlich den Ankermieter des Gebäudes statt einer kleineren, dort untervermieteten Firma zurückliefern — eine bekannte Grenze des IP-Bereichs-Abgleichs, kein Qualitätsmangel der Daten. lead.box beansprucht nicht, jeden Besucher zu erkennen, und ein Vertriebsteam sollte eine erkannte Firma als starkes Signal zur weiteren Prüfung behandeln, nicht als bestätigten, individuell verifizierten Lead für die sofortige Ansprache. Irischen Käufern wird diese Grenze im Onboarding üblicherweise direkt gezeigt, damit die Erwartungen von Anfang an richtig gesetzt sind.