B2B-Besuchererkennung in Spanien

Die Agencia Española de Protección de Datos (AEPD) ist die nationale Aufsichtsbehörde für private Unternehmen, neben regionalen Behörden in Katalonien, im Baskenland und in Andalusien, die dort den öffentlichen Sektor abdecken. Die AEPD zählt zu den aktivsten Aufsichtsbehörden der EU: Sie entscheidet eine hohe Zahl von Einzelbeschwerden, veröffentlicht detaillierte Leitfäden zu Cookies, berechtigtem Interesse und einzelnen Branchen und macht ihre Beschlüsse öffentlich — dadurch ist ungewöhnlich klar erkennbar, was sie in der Praxis tatsächlich beanstandet. Für eine private B2B-Unternehmenswebsite sind die AEPD und ihre veröffentlichten Leitfäden die praktische Referenz, nicht nur der abstrakte DSGVO-Text. Spanische Prüfer nennen häufig einen konkreten AEPD-Leitfaden beim Namen, wenn sie Fragen stellen — wer den passenden benennen kann, verkürzt das Gespräch deutlich.

Sie liefert einen wirklich nützlichen Anker, den die Ausführungsgesetze der meisten anderen Mitgliedstaaten so nicht bieten. Artikel 19 der LOPDGDD behandelt die Verarbeitung von Kontaktdaten von Personen, die als Vertreter einer juristischen Person handeln, und sieht eine Verarbeitung zur Pflege dieser Geschäftsbeziehung als auf berechtigtes Interesse stützbar an. Das ist für die B2B-Besuchererkennung direkt relevant und sollte in einer spanischen Rechtsbewertung ausdrücklich zitiert werden. Wichtig ist, den Umfang genau zu halten: Artikel 19 betrifft geschäftliche Kontaktdaten benannter Vertreter, ist keine Generalerlaubnis für individuelle Besucherprofile und entbindet weder von Transparenz gegenüber Besuchern noch von einer dokumentierten Abwägung vor Berufung auf berechtigtes Interesse.

Artikel 22.2 des LSSI-CE (Ley 34/2002) verlangt klare Information und vorherige Einwilligung, bevor Informationen auf dem Endgerät eines Besuchers gespeichert oder abgerufen werden, es sei denn, dies ist unbedingt für einen ausdrücklich angeforderten Dienst erforderlich. Der Cookie-Leitfaden der AEPD ist für eine europäische Behörde ungewöhnlich detailliert: Er formuliert konkrete Erwartungen an die Bannergestaltung, stellt klar, dass Ablehnen genauso zugänglich sein muss wie Zustimmen, und behandelt Grauzonen wie Weitersurfen oder vorangekreuzte Kästchen. lead.box erkennt Firmen aus Netzwerkinformationen, statt eine Werbekennung oder ein Fingerprinting-Skript auf dem Gerät abzulegen, und ist damit nicht Ziel dieser Einwilligungsregel — der Rest deines Website-Banners wird aber unabhängig davon am AEPD-Leitfaden gemessen, und spanische Prüfer schauen genau hin.

Besucherdaten werden in ISO-zertifizierten EU-Rechenzentren verarbeitet, und der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO samt versionierter, benannter Subprozessoren-Liste ist veröffentlicht, sodass eine spanische Rechts- oder Einkaufsprüfung vor jeder kommerziellen Verpflichtung abgeschlossen werden kann. Das ist in Spanien besonders relevant, weil die AEPD seit Schrems II bei internationalen Übermittlungen aktiv ist und spanische Prüfer fast immer zuerst fragen, wo die Daten landen — noch vor Fragen zur Rechtsgrundlage oder Speicherdauer. Eine Antwort mit ausschließlich EU-Standort, belegt durch eine öffentliche Subprozessoren-Liste statt eine mündliche Zusage, beendet diesen Punkt meist sofort, sodass das Gespräch zur inhaltlichen Interessenabwägung übergehen kann.

Das LSSI-CE enthält zusätzlich Pflichten, die spanische Prüfer häufig in dasselbe Gespräch einbeziehen, obwohl sie eigentlich nichts mit Datenschutz zu tun haben: die Pflicht, klare Anbieterangaben (aviso legal) auf der Website zu veröffentlichen, sowie konkrete Regeln für kommerzielle Kommunikation auf elektronischem Weg, einschließlich unerwünschter E-Mails. Ein spanischer Käufer, der ein Besuchererkennungs-Tool prüft, fragt fast beiläufig, ob das eigene Impressum vollständig ist und ob geplante Vertriebs-Follow-ups diese Regeln zur kommerziellen Kommunikation einhalten. Beides vorab zu klären verhindert, dass eine eigentlich fachfremde Compliance-Lücke die sonst zügige, auf das Tool selbst fokussierte Datenschutzprüfung ausbremst.

Für den Datenschutz in der Regel nicht, aber spanische Einkaufsteams gleichen die eingetragenen Angaben eines Anbieters — Firmenname, CIF-Steuernummer, eingetragene Adresse — häufig mit dem Registro Mercantil ab, als Teil der üblichen Lieferanten-Due-Diligence, unabhängig von der eigentlichen Datenschutzprüfung. Das ist gängige spanische Geschäftspraxis und keine datenschutzrechtliche Anforderung, läuft aber meist parallel zu den AEPD-bezogenen Fragen zu Rechtsgrundlage, Cookies und Verarbeitungsort. Größere spanische Organisationen, besonders in regulierten Branchen, wollen manchmal zusätzlich bestätigt bekommen, dass keine telekomspezifischen Nummerierungs- oder Mehrwertdienst-Regeln greifen — leicht zu beantworten, da ein Firmen-Identifier auf Website-Ebene keine Telefonnummerierung betrifft.

Spanische B2B-Vertriebsteams arbeiten überwiegend mit Salesforce, HubSpot oder eigenen CRM-Lösungen, kombiniert mit einem Vertriebsteam, das beziehungsgetriebene Verkaufszyklen führt — ein Besuchererkennungs-Tool muss diesen Workflow speisen, statt als isolierter Bericht zu existieren. lead.box stellt erkannte Firmen per Webhook sowie als CSV-, Excel- oder JSON-Export bereit, sodass ein spanischer RevOps-Kontakt neue Firmendatensätze in bestehende Pipelines einspeisen, nach territorio oder cuenta zuordnen und dieselbe kommerzielle Nachverfolgung wie bei anderen Inbound-Signalen auslösen kann. Weil spanisches B2B stark auf warme, gut vorbereitete Ansprache statt Kaltakquise setzt, gibt eine benannte Firma samt besuchter Seiten im CRM dem Vertrieb vor dem ersten Anruf einen legitimen, lokal relevanten Anlass.

Ja. lead.box unterstützt die selbstständige Verwaltung von Team-Sitzplätzen, Datenexporten und Kündigung, was im spanischen Markt zählt, weil Einkaufsteams dort bei größeren Softwarekäufen an mehrjährige Rahmenverträge gewöhnt sind und dieselbe Bindung standardmäßig von jedem Anbieter erwarten. Sitzplätze mit wachsender Nutzung hinzuzufügen, jederzeit alle gesammelten Daten als CSV-, Excel- oder JSON-Export herunterzuladen und direkt zu kündigen, ohne eine Verlängerungsverhandlung führen zu müssen, gibt einem spanischen Käufer eine risikoärmere Möglichkeit, das Tool zu testen, bevor Budget über einen formalen Beschaffungsprozess gebunden wird. Diese Flexibilität ist für mittelständische spanische Unternehmen oft der entscheidende Grund, eine neue Datenquelle zunächst zu pilotieren.