B2B-Besuchererkennung in Katar

Die Erkennung auf Firmenebene ist nach dem Gesetz Nr. 13 von 2016 zum Schutz der Privatsphäre personenbezogener Daten umsetzbar, wenn der Website-Besuch eines katarischen Energie-, Bau- oder Infrastrukturkunden der besuchenden Organisation zugeordnet wird und nicht einem namentlich benannten Ingenieur oder Einkäufer. Das PDPPL verlangt eine Rechtsgrundlage, Zweckbindung und eine für Besuchende einsehbare Datenschutzerklärung, und das Modell von lead.box unterstützt das, weil aus dem Traffic nie ein individuelles Profil, ein Kontaktdatensatz oder ein Geräte-Fingerabdruck entsteht. Ist die besuchende Einheit onshore registriert, gilt das PDPPL; sitzt sie im Qatar Financial Centre, gelten stattdessen die eigenständigen Datenschutzregelungen des QFC — deshalb ist der erste praktische Schritt, zu klären, welchem der beiden Rahmenwerke die vertragsschließende Einheit tatsächlich unterliegt, bevor eine Formulierung für die Datenschutzerklärung entsteht. Die endgültige Entscheidung, ob ein Einsatz für die eigene Seite und Zielgruppe angemessen ist, bleibt beim Verantwortlichen; lead.box liefert die technische Beschreibung und Dokumentation dafür, ersetzt diese Entscheidung aber nicht.

Onshore-Fragen unter dem PDPPL fallen in die Zuständigkeit der zuständigen Behörde innerhalb der jeweiligen ministeriellen Struktur, häufig bezeichnet als die Datenschutzfunktion der National Cyber Security Agency zusammen mit einer Abteilung für Compliance and Data Protection, die Leitlinien und Beschwerden bearbeitet; im QFC registrierte Einheiten wenden sich stattdessen an die eigene, unabhängig arbeitende Aufsicht des QFC. Weil Katars projektgetriebene Beschaffung häufig über Rechtsteams von Energiekonzernen und EPC-Auftragnehmern läuft statt über eine einzelne nationale Datenschutzbehörde, begegnet ein Lieferant in dieser Phase eines Geschäfts eher der internen Checkliste eines katarischen Justiziars als einer formalen behördlichen Eingabe. Diese interne Prüfung verlangt meist dieselben drei Dinge, die auch eine Behörde verlangen würde: eine benannte Rechtsgrundlage, eine Beschreibung des Verarbeitungsortes und einen Auftragsverarbeitungsvertrag. Die internen Verfahren der Behörde selbst versuchen wir hier bewusst nicht zu charakterisieren, da die maßgebliche Leitlinie von der Behörde selbst veröffentlicht wird und direkt gelesen werden sollte statt von einem interessierten Anbieter zusammengefasst zu werden.

Die meisten B2B-Seitenbetreiber in Katar stützen sich auf das berechtigte Interesse als Rechtsgrundlage für die Auflösung besuchender Organisationen, ergänzt um eine kurze interne Notiz, die begründet, warum das Interesse an der Erkennung der Recherche eines potenziellen Lieferanten oder Auftragnehmers angesichts der begrenzten, firmenbezogenen Natur der Daten verhältnismäßig ist. Diese schriftliche Bewertung, zusammen mit einem Hinweis in der Datenschutzerklärung, ist die Dokumentation, die ein katarischer Rechtsprüfer oder ein Projekteinkäufer typischerweise sehen möchte, und sie überzeugt deutlich mehr als eine bloße Konformitätsbehauptung. lead.box nimmt diese Bewertung nicht stellvertretend vor, da sie von der jeweiligen Seite, Zielgruppe und Branche abhängt; wir liefern stattdessen eine faktische Darstellung der Verarbeitung — Erkennung auf Firmenebene, keine Cookies, keine Gerätekennungen —, die ein katarischer Justiziar direkt gegen die Maßstäbe des PDPPL oder der QFC-Regelungen abwägen kann, je nachdem, welches Regime für die betreffende Einheit gilt.

Nein. Das System löst die Organisation hinter einem Website-Besuch anhand netzwerkbezogener Signale der anfragenden Infrastruktur auf, nicht anhand eines Logins, eines Formulars oder einer Gerätekennung, und es speichert oder erschließt niemals Namen, Titel, E-Mail-Adressen oder andere persönliche Kontaktdaten von Besuchenden. Es wird kein Cookie und kein lokaler Gerätespeicher zur Erstellung des Treffers genutzt, was in Katar relevant ist, weil sowohl das Onshore-PDPPL als auch die QFC-Regelungen Tracking-Technologien, die sitzungsübergreifend auf einem Gerät verbleiben, besonders kritisch betrachten. Was ein katarisches Vertriebs- oder Business-Development-Team im Dashboard sieht, beschränkt sich auf den Namen der besuchenden Firma, ihre Branche und Größenklasse sowie die aufgerufenen Seiten — genug, um den richtigen Projektauftragnehmer oder Betreiber priorisiert anzusprechen, aber nichts, das einem personenbezogenen Datensatz mit individuellen Betroffenenrechten nach einem der beiden Regime gleichkäme.

Ja, und die Übermittlung wird unabhängig davon, ob die besuchende Einheit onshore dem PDPPL unterliegt oder im Qatar Financial Centre registriert ist, gleich gehandhabt: über vertragliche Garantien und eine dokumentierte Beschreibung des Zielortes, nicht über die Annahme, es fände keine Übermittlung statt. lead.box verarbeitet sämtliche Erkennungsaktivität, einschließlich Treffern aus katarischen IP-Bereichen, in ISO-zertifizierten Rechenzentren innerhalb der Europäischen Union und untermauert dies mit einem Auftragsverarbeitungsvertrag sowie einer versionierten Subprozessoren-Liste, die ein katarisches Rechtsteam direkt in der eigenen Übermittlungsbewertung zitieren kann. Da Katar zwischen einer zivilrechtlich geprägten Onshore-Tradition und einem QFC-Regime mit eigener Übermittlungsmechanik steht, empfehlen wir, sowohl den physischen Ort als auch die vertragliche Grundlage in jeder für einen katarischen Geschäftspartner erstellten Dokumentation ausdrücklich zu benennen, statt sich auf eine allgemeine Aussage zu verlassen, die unter jedem Rahmenwerk gesondert begründet werden müsste.

Der Auftragsverarbeitungsvertrag legt die Rolle von lead.box als Auftragsverarbeiter fest, die betroffenen Kategorien firmenbezogener Daten, die angewandten Sicherheitsmaßnahmen sowie die Pflichten zu Meldung von Verletzungen und Löschung — so aufgebaut, dass ein katarisches Rechtsteam, das die Lieferantenliste eines EPC-Auftragnehmers oder die Onboarding-Checkliste eines im QFC registrierten Fonds prüft, jede Klausel den Maßstäben des eigenen Rahmens zuordnen kann. Die Subprozessoren-Liste ist veröffentlicht und versioniert, benennt die an der Leistungserbringung beteiligten Infrastruktur- und Monitoring-Anbieter und wird bei jeder Änderung aktualisiert, sodass das eigene Register eines Kunden aktuell bleibt, ohne jedes Mal manuell nachfragen zu müssen. Keines der beiden Dokumente behauptet eine behördliche Vorabfreigabe in Katar, da ein solcher Freigabemechanismus für eine Leistung dieser Art nicht existiert; beide sollen einem katarischen Prüfer, ob er vom Onshore-PDPPL oder von den eigenen QFC-Regelungen ausgeht, die faktische Grundlage für die eigene interne Freigabe liefern.

Sobald das Snippet läuft, erscheint ein aufgelöster Treffer — Firmenname, Branche, Größenklasse und aufgerufene Seiten — üblicherweise innerhalb eines Tages im Dashboard und kann von dort automatisch in einen CRM-Datensatz oder einen Webhook für das Business-Development-Team einlaufen, das einen bestimmten EPC-Auftragnehmer oder Betreiber verfolgt. Weil ein großer Teil der katarischen Projektpipeline über lange Recherchephasen vor der Ausschreibung läuft, ist oft nicht ein einzelner Besuch, sondern mehrere Treffer desselben Auftragnehmers über aufeinanderfolgende Wochen das klarere Signal, weshalb die meisten Teams eine Benachrichtigung oder einen wöchentlichen Export einrichten, statt das Dashboard manuell zu prüfen. Sitze für Kolleginnen und Kollegen in Doha-basierten Projektbüros oder regionalen Hubs lassen sich ohne separate Vertragsverhandlung ergänzen, und Listen können in Tabellenformate exportiert werden, die ein Bid-Team ohnehin zur Verfolgung aktiver Ausschreibungen neben anderen Informationsquellen nutzt.

Die Genauigkeit der Auflösung hängt davon ab, wie die Netzwerkinfrastruktur der besuchenden Organisation aufgebaut ist: Ein Projektbüro oder Auftragnehmer mit eigenen registrierten IP-Bereichen wird meist sauber dieser konkreten Einheit zugeordnet, während Traffic über ein gemeinsames Unternehmens-VPN, ein Mobilfunknetz oder eine öffentliche Co-Working-Verbindung einer breiteren Einheit, einem Netzbetreiber oder gar nicht zugeordnet werden kann. Weil katarische Projektausschreibungen häufig Konsortialpartner betreffen, die Infrastruktur teilen oder aus einem Joint-Venture-Büro heraus recherchieren, sollte ein Lieferant einen Treffer als starkes Signal zur priorisierten Ansprache verstehen, nicht als endgültigen Beweis, dass eine bestimmte Abteilung die Recherche autorisiert hat, und ungewöhnlich wertvolle Treffer vor der Einstufung als qualifiziert manuell gegenprüfen. lead.box beansprucht nicht, und ein katarischer Käufer sollte nicht erwarten, dass jeder Besuch aufgelöst oder die konkrete besuchende Person identifiziert wird — der Mechanismus ist auf firmenbezogenes Signal ausgelegt, nicht darauf, diese Lücke zu schließen.