B2B-Besuchererkennung in Portugal

Ja, sie ist unter der DSGVO und Lei n.º 58/2019 umsetzbar, solange die Erkennung auf Firmenebene bleibt und keine einzelne Person identifiziert wird. Übliche Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, gestützt auf eine dokumentierte Interessenabwägung und in der Datenschutzerklärung ausgewiesen, nicht die Einwilligung. Die CNPD hat Leitlinien veröffentlicht, die berechtigtes Interesse und Website-Analyse berühren, sodass ein portugiesischer Prüfer erwartet, dass sich diese Abwägung konkret auf das eingesetzte Tool bezieht und nicht aus einer Vorlage kopiert wirkt. lead.box agiert als Auftragsverarbeiter auf Basis eines AVV, die abschließende rechtliche Bewertung bleibt bei dir als Verantwortlichem. Portugiesische Käufer, besonders in Lissabons Shared-Service-Szene, stellen diese Frage oft schon im ersten Gespräch, nicht erst später im Rechtsreview.

Die CNPD, Comissão Nacional de Proteção de Dados, ist Portugals Aufsichtsbehörde nach DSGVO und Lei n.º 58/2019. Die CNPD besteht schon Jahrzehnte vor der DSGVO und hat diese institutionelle Erfahrung direkt in das aktuelle Regime übernommen, was sich in der Detailtiefe ihrer Leitlinien zu Videoüberwachung, Mitarbeiterüberwachung und Website-Tracking zeigt. Sie ist außerdem dafür bekannt, auf einzelne Beschwerden zu reagieren, statt nur auf große branchenweite Untersuchungen zu warten, weshalb portugiesische Compliance-Teams ein unklares Skript auf der eigenen Website als reales und nicht bloß theoretisches Risiko behandeln. Wenn ein portugiesischer Einkäufer fragt, wer ein Tool wie lead.box reguliert, beschleunigt die konkrete Nennung der CNPD und ihrer veröffentlichten Positionen zum berechtigten Interesse das Gespräch spürbar.

Die Erkennung auf Firmenebene mit lead.box setzt keine Werbekennungen, Geräte-Fingerprints oder seitenübergreifenden Tracking-Cookies und liegt damit außerhalb der Einwilligungspflicht aus Lei n.º 41/2004, das die ePrivacy-Richtlinie ins portugiesische Recht umsetzt. Dieses Gesetz verlangt eine informierte Einwilligung, bevor nicht notwendige Cookies auf einem Gerät gespeichert werden, und ein rein first-party arbeitendes Firmenerkennungssignal fällt in der Regel nicht darunter. Ob deine Website wegen anderer Skripte, etwa Werbepixel oder Session-Recording-Tools neben lead.box, ein Banner braucht, bleibt deine eigene Bewertung als Verantwortlicher und lohnt eine Abstimmung mit Rechtsberatung, die mit der Auslegung von ANACOM und CNPD zu Cookie-Regeln vertraut ist, da die portugiesische Praxis bei Bannern teils strenger ausfällt als in Nachbarländern.

Besucher- und Personendaten mit EU-Bezug werden in ISO-zertifizierten EU-Rechenzentren verarbeitet und dafür nicht aus der EU verlagert, wodurch die Frage nach einem Übermittlungsmechanismus nach Kapitel V der DSGVO entfällt, die portugiesische Rechtsteams sonst früh stellen. Ein AVV nach Art. 28 DSGVO liegt zusammen mit einer benannten, versionierten Subprozessoren-Liste vor dem Vertragsschluss vor und entspricht damit den Unterlagen, die Einkaufsteams in Lissabon und Porto schon zu Beginn der Prüfung erwarten. Aufbewahrungsfristen sind begrenzt und im Vertrag festgehalten statt offen gelassen, denn eine unbegrenzte Aufbewahrungsklausel ist einer der häufigsten Gründe, warum ein mit der CNPD-Praxis vertrauter Prüfer die Unterlagen eines Anbieters während der Lieferantenprüfung eines Shared-Service-Centers zurückschickt.

Portugiesische Käufer erwarten auf ihrer eigenen Website in der Regel eine portugiesischsprachige Datenschutzerklärung, selbst wenn die Materialien des Anbieters auf Englisch sind, und ein Rechts- oder Einkaufsteam markiert ihr Fehlen häufig als echte Lücke im Review, nicht als Formfrage. Für lead.box als Anbieter ist das keine strikte DSGVO-Pflicht, es beeinflusst aber, wie schnell die interne Freigabe läuft, da ein Prüfer mit CNPD-Checkliste den veröffentlichten Text meist mit der auf Portugiesisch veröffentlichten Argumentation der CNPD zum berechtigten Interesse abgleicht. Die Rechtstexte und Marktseiten von lead.box sind so aufgebaut, dass Fakten, Rechtsgrundlage und Datenflüsse direkt in die eigene portugiesischsprachige Richtlinie übernommen werden können, ohne die Argumentation neu aufzubauen.

Rechnungen sollten die NIF, den vollständigen eingetragenen Firmennamen und die Adresse des Kunden enthalten, damit sie ohne Rückfragen auf eine portugiesische Kostenstelle gebucht und einer internen Fatura-Prüfung standhalten können. Portugiesische Finanzteams, besonders in Shared-Service-Centern, die Lieferantenrechnungen zentral für Konzerneinheiten verarbeiten, gleichen eine Abo-Rechnung üblicherweise mit einem unterschriebenen Vertrag und einer AVV-Referenznummer ab, bevor eine Zahlung freigegeben wird, weshalb konsistente Unterlagen über Einkauf, Recht und Finanzen einen ganzen Prüfzyklus sparen. Ist die eigene Organisation innergemeinschaftlich umsatzsteuerlich registriert, gilt für ein grenzüberschreitendes SaaS-Abo wie lead.box in der Regel das Reverse-Charge-Verfahren, die konkrete Behandlung sollte aber die eigene Buchhaltung vor der ersten Rechnung bestätigen.

Klassische Web-Analyse fasst Traffic-Muster und Sitzungen aggregiert zusammen; lead.box ordnet dagegen einzelne Besuche der konkreten Firma dahinter zu, über IP-zu-Firmen-Zuordnung kombiniert mit First-Party-Tracking, sodass das Ergebnis eine benannte Account-Liste statt eines Seitenaufruf-Diagramms ist. Es wird nie versucht, die einzelne besuchende Person zu identifizieren — genau diese Unterscheidung fragen portugiesische Rechtsreviewer meist zuerst ab, denn die Identifizierung einer Person würde unter der DSGVO eine deutlich höhere Hürde auslösen. Weil das Signal auf Firmenebene arbeitet und nicht auf Werbe-Cookies angewiesen ist, konkurriert es auch nicht mit einwilligungsbasierten Tools im Marketing-Stack einer Firma in Lissabon oder Porto; die meisten Kunden setzen es zusätzlich ein und speisen die Ergebnisse in ihr CRM oder Vertriebstool ein.

Die meisten portugiesischen Kunden schließen das Review innerhalb von ein bis drei Wochen ab, sobald AVV, Subprozessoren-Liste und eine schriftliche Antwort zur Rechtsgrundlage vorliegen; exportorientierte Industriezulieferer mit formalem Lieferantenqualifizierungsprozess brauchen oft länger, da lead.box zusätzlich als neuer freigegebener Anbieter in bestehende Einkaufsprüfungen aufgenommen werden muss. Technologie- und Shared-Service-Teams in Lissabon und Porto sind meist schneller unterwegs und lassen rechtliche und technische Prüfung häufig parallel laufen, sobald ein Testkonto reale erkannte Firmen zeigt. Kunden berichten übereinstimmend, dass fertige Unterlagen auf Englisch und Portugiesisch von Anfang an den Ablauf am stärksten beschleunigen, weil sie eine Übersetzungsverzögerung mitten in einem ohnehin engen internen Freigabezyklus vermeiden.