B2B-Besuchererkennung in Kroatien

Unter DSGVO und dem Zakon o provedbi Opće uredbe o zaštiti podataka ist sie umsetzbar, solange die Ausgabe auf Firmenebene bleibt und keine Person identifiziert wird. Übliche Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, gestützt auf eine schriftliche Interessenabwägung, die euer geschäftliches Interesse an erkannten recherchierenden Firmen gegen die berechtigten Erwartungen der Besucher abwägt, und offengelegt in der Datenschutzerklärung. Die AZOP agiert eher beschwerdegetrieben und mit veröffentlichten Hinweisen als mit breit angelegten proaktiven Prüfungen, weshalb hier eine kompakte, aber gut begründete Bewertung meist mehr zählt als ein dicker Compliance-Ordner. lead.box agiert als Auftragsverarbeiter auf Basis eines unterschriebenen AVV nach Art. 28, die endgültige Bewertung für eure konkrete Website liegt aber bei euch als Verantwortlichem — lasst dies von eurer Rechtsberatung bestätigen, besonders wenn weitere Tracking-Tools parallel laufen.

Die AZOP, Agencija za zaštitu osobnih podataka, ist die kroatische Aufsichtsbehörde nach DSGVO und nationalem Durchführungsgesetz und vergleichsweise klein — sie agiert vor allem beschwerdegetrieben und mit sektorspezifischen Hinweisen statt mit fortlaufenden großangelegten Prüfungen, wie sie in größeren Mitgliedstaaten vorkommen. Ihre veröffentlichten Stellungnahmen zu berechtigtem Interesse sowie zu Video- oder Website-Überwachung sind ein praktischer Anhaltspunkt dafür, wie sie die Interessenabwägung anwendet, und kroatische Rechtsprüfer zitieren sie häufig direkt statt sich allein auf den DSGVO-Text zu stützen. Da die AZOP eine klar begründete Position einer dicken Papierspur vorzieht, überzeugt eine schlichte, konkrete Erklärung dazu, was lead.box zuordnet und was verworfen wird, einen Prüfer meist schneller als eine allgemeine Compliance-Aussage — eure Rechtsberatung sollte das aber an eurer eigenen Risikobewertung und Website-Konfiguration spiegeln.

Die Erkennung auf Firmenebene mit lead.box setzt keine Werbekennungen, Geräte-Fingerprints oder dauerhafte Tracking-Cookies und fällt damit für sich genommen nicht unter die Einwilligungspflicht des Zakon o elektroničkim komunikacijama, der kroatischen Umsetzung der ePrivacy-Richtlinie zum Speichern und Auslesen von Informationen auf dem Endgerät. Die meisten kroatischen B2B-Websites betreiben aber weitere Tools wie Analytics-Plattformen oder Werbe-Pixel, die diese Pflicht auslösen, und euer bestehendes Banner-Setup dafür sollte sich durch die Ergänzung von lead.box nicht ändern müssen. Die HAKOM als nationale Regulierungsbehörde für elektronische Kommunikation ist in der Praxis meist nicht die Ansprechstelle für Cookie-Einwilligung, das liegt eher bei der AZOP im DSGVO-Rahmen; ob eure konkrete Umsetzung Anpassung braucht und wie ihr das Snippet dokumentiert, bleibt eure eigene Bewertung als Verantwortlicher, idealerweise mit Rechtsberatung zur aktuellen Praxis abgestimmt.

Daten mit Bezug zu EU-Besuchern werden in ISO-zertifizierten EU-Rechenzentren verarbeitet und dafür nicht außerhalb der EU geleitet oder gespeichert, was für kroatische IT- und Rechtsteams oft die erste Frage ist, noch vor der Rechtsgrundlage, da diese Reviews meist recht kompakt ablaufen. Die Aufbewahrung ist auf das für die Firmenzuordnung Nötige begrenzt statt unbegrenzt gespeichert, und die versionierte Subprozessoren-Liste ist veröffentlicht, sodass sie vor der Freigabe geprüft werden kann, statt mitten in der Verhandlung separat angefragt zu werden. Ein unterschriebener AVV nach Art. 28 DSGVO liegt vorab bereit, was kroatischen Käufern meist wichtiger ist als ein langer formaler Fragebogen, da das Review dort in der Regel direkt von einem kleinen Rechts- oder IT-Team erledigt wird und nicht von einer eigenen Einkaufsabteilung mit festem Standardprozess.

Ein eigenes Rechtsregime für EU-kofinanzierte Projekte gibt es nicht, doch ein spürbarer Teil der kroatischen B2B-Aktivität, besonders in Fertigungsmodernisierung und digitaler Infrastruktur, läuft über EU-Programmmittel, und die verantwortlichen Teams sind an dokumentationsintensive Berichtspflichten gewöhnt, die sich auch auf die Anbieterauswahl erstrecken. Sie fragen gezielt nach dem Nachweis, dass die Verarbeitung eines Tools in einen bereits genehmigten Datenschutzrahmen passt, statt eine allgemeine Zusicherung zur Konformität zu akzeptieren, da dieser Nachweis oft zusammen mit der eigenen Projektberichterstattung eingereicht werden muss. Der veröffentlichte AVV und die Subprozessoren-Liste von lead.box sind so aufgebaut, dass eine solche Prüfung unkompliziert möglich ist, und es lohnt sich, mit dem Compliance-Verantwortlichen des Projekts genau zu klären, welche Nachweisform die jeweilige Fördermittelstelle konkret erwartet.

Kroatische Firmen werden für Steuer- und Rechnungszwecke über ihre OIB (Osobni identifikacijski broj, persönliche Identifikationsnummer, die auch für juristische Personen gilt) identifiziert, und ein Abo-Vertrag sollte die korrekte OIB zusammen mit dem im sudski registar eingetragenen Firmennamen enthalten, da kroatische Buchhaltungen eine Lieferantenrechnung mit falsch zugeordneter OIB in der Regel nicht verarbeiten. Bei grenzüberschreitenden B2B-Dienstleistungen innerhalb der EU greift üblicherweise das Reverse-Charge-Verfahren statt direkter Mehrwertsteuerausweisung auf der Rechnung, doch eure eigene Finanz- oder Steuerberatung sollte die konkrete Behandlung für eure Rechtsform bestätigen, da dies vom Registrierungsstatus und der Struktur eures Unternehmens abhängen kann. Korrekte OIB und Firmenbezeichnung bereits bei Vertragsschluss verhindern die Verzögerungen beim Rechnungsabgleich, die kroatische Buchhaltungsteams im Einkauf häufig bemängeln.

Die Erkennung auf Firmenebene ordnet einen Website-Besuch der dahinterstehenden Organisation zu, typischerweise über IP-zu-Firma-Zuordnung kombiniert mit First-Party-Signalen auf eurer eigenen Website, und stoppt bewusst vor der Identifikation, Profilbildung oder Ansprache der einzelnen browsenden Person — genau die Unterscheidung, auf die ein kroatischer Prüfer achtet, da die AZOP-Hinweise personenbezogene Überwachung deutlich anders behandeln als aggregierte Geschäftssignale. Es wird kein Name, keine E-Mail-Adresse und keine individuelle Browsing-Historie einer konkreten Person erzeugt oder gespeichert; das Ergebnis ist ein Firmenname mit firmografischem Kontext, mit dem euer Vertrieb arbeiten kann, kein Personenprofil des Besuchers. Das ist auch der Grund, warum das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO hier als tragfähige Grundlage gilt, doch euer Datenschutzbeauftragter oder eure Rechtsberatung sollte bestätigen, dass dies zu eurer konkreten Konfiguration und weiteren kombinierten Datenquellen passt.

Die Dauer variiert, aber da das Vendor-Review in Kroatien meist direkt von einem kompakten internen Rechts- oder IT-Team erledigt wird statt von einer eigenen Einkaufsabteilung, zählt vorab bereitgestellte Dokumentation hier mehr als in größeren Märkten mit formalen mehrstufigen Freigabeketten. Wer AVV nach Art. 28, Subprozessoren-Liste und eine klar formulierte Beschreibung des Mechanismus schon vor dem ersten Gespräch liefert, erspart mehrere Runden von Rückfragen, die ein Review sonst über Wochen strecken. Da die Hinweise der AZOP eine klar begründete Position der Menge an Papier vorziehen, ist eine präzise Aussage dazu, was einer Firma zugeordnet wird, was verworfen wird und wo die eigene Verantwortung als Verantwortlicher beginnt, meist der Faktor, der die Freigabe für kroatische Teams, die lead.box gegen interne Kriterien prüfen, am stärksten beschleunigt.