B2B-Besuchererkennung in Tschechien

Ja, sie ist unter der DSGVO und dem Gesetz Nr. 110/2019 Sb. umsetzbar, solange die Erkennung auf Firmenebene endet und keine einzelne Mitarbeiterperson identifiziert wird. Übliche Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, gestützt auf eine dokumentierte Interessenabwägung und in der Datenschutzerklärung ausgewiesen, nicht die Einwilligung. Die ÚOOÚ hat förmliche Positionen zu Profiling- und Überwachungstools veröffentlicht, weshalb ein tschechischer Prüfer erwartet, dass diese Abwägung das konkret eingesetzte Tool beschreibt und nicht nur die DSGVO allgemein wiederholt. lead.box agiert als Auftragsverarbeiter auf Basis eines AVV, die abschließende Entscheidung bleibt bei dir als Verantwortlichem. Besonders Einkäufer aus der Automobilzulieferkette stellen diese Frage oft schon vor der Preisfrage.

Die ÚOOÚ, Úřad pro ochranu osobních údajů, ist die tschechische Aufsichtsbehörde nach DSGVO und Gesetz Nr. 110/2019 Sb. Sie gehört zu den länger etablierten Datenschutzbehörden der EU, beaufsichtigte die Verarbeitung personenbezogener Daten im Land schon deutlich vor der DSGVO und hat diese Prüfkultur direkt in die heutige Durchsetzung übernommen. Die ÚOOÚ ist bei förmlichen Stellungnahmen und Kontrollen vergleichsweise aktiv, veröffentlicht detaillierte Positionen zu Kamerasystemen, Mitarbeiterüberwachung und zunehmend zu Website-Analyse- und Profiling-Tools und prüft dabei oft konkret, ob die dokumentierte Rechtsgrundlage tatsächlich zu dem passt, was ein Skript auf der laufenden Website tut. Die ÚOOÚ direkt zu benennen und ihre Behandlung von Firmen- statt Personensignalen anzusprechen, bringt ein tschechisches Rechtsreview meist schneller voran als ein allgemeiner DSGVO-Verweis.

Die Erkennung auf Firmenebene mit lead.box setzt keine Werbekennungen, Geräte-Fingerprints oder seitenübergreifenden Tracking-Cookies und fällt damit nicht unter die Einwilligungspflicht aus § 89 des Gesetzes Nr. 127/2005 Sb. über elektronische Kommunikation, das die ePrivacy-Richtlinie ins tschechische Recht umsetzt. Diese Vorschrift verlangt eine informierte Einwilligung, bevor nicht notwendige Cookies auf einem Gerät gespeichert werden, und ein rein first-party arbeitendes Firmenerkennungssignal wird in der Regel als außerhalb dieser konkreten Pflicht liegend eingeordnet. Ob deine Website wegen anderer Skripte, etwa Marketing-Pixel oder Heatmap-Tools neben lead.box, ein Banner braucht, bleibt deine eigene Bewertung als Verantwortlicher, und tschechische Rechtsteams verlangen diese Bewertung meist als eigenständiges Dokument statt als pauschale Cookie-Policy-Zeile.

Besucher- und Personendaten mit EU-Bezug werden in ISO-zertifizierten EU-Rechenzentren verarbeitet und dafür nicht aus der EU verlagert, wodurch die Frage nach internationalen Übermittlungen entfällt, die tschechische Rechtsteams mit OEM-Compliance-Programmen häufig zuerst stellen. Ein AVV nach Art. 28 DSGVO liegt vor Vertragsschluss vor, zusammen mit einer benannten, versionierten Subprozessoren-Liste, und entspricht damit den Intake-Unterlagen, die Tier-1- und Tier-2-Zulieferer schon von ihren eigenen Software-Anbietern im Rahmen OEM-vorgeschriebener Sicherheitsprogramme verlangen. Aufbewahrungsfristen sind begrenzt und im Vertrag ausdrücklich festgehalten statt offen gelassen, denn vage Formulierungen zur Aufbewahrung sind einer der häufigsten Gründe, warum ein mit der ÚOOÚ-Praxis vertrauter Prüfer die Unterlagen eines Lieferanten vor Ausstellung einer Bestellung zurückschickt.

Tschechische Käufer, besonders in der Automobil- und Fertigungszulieferkette, erwarten auf ihrer eigenen Website in der Regel eine tschechischsprachige Datenschutzerklärung, selbst wenn die Materialien des Anbieters auf Englisch sind, und werten ihr Fehlen im Review als echte Dokumentationslücke, nicht als Formsache. Für lead.box als Anbieter ist das keine strikte DSGVO-Pflicht, es beeinflusst aber unmittelbar, wie schnell die interne Rechtsfreigabe läuft, da ein Prüfer mit ÚOOÚ-nahem Prüfschema den veröffentlichten Text meist mit der in tschechischsprachigen Leitlinien erwarteten Argumentation zur Rechtsgrundlage vergleicht. Die Rechtstexte und Marktseiten von lead.box sind so aufgebaut, dass Rechtsgrundlage, Datenflüsse und Aufbewahrungsfristen direkt in die eigene tschechischsprachige Richtlinie übernommen werden können, ohne die Argumentation neu aufzubauen.

Rechnungen sollten die DIČ, den vollständigen eingetragenen Firmennamen und die Adresse des Kunden enthalten, damit sie sauber auf eine tschechische Kostenstelle gebucht werden können, ohne Rückfrage der Buchhaltung oder Abweichung bei einer Umsatzsteuerprüfung auszulösen. Tschechische Finanzteams, besonders bei OEM-nahen Zulieferern mit strenger Bestelldisziplin, erwarten üblicherweise, dass eine Abo-Rechnung auf einen unterschriebenen Vertrag und eine AVV-Nummer verweist, bevor eine Zahlung freigegeben wird, weshalb einheitliche Referenznummern über Einkauf, Recht und Finanzen einen kompletten Prüfzyklus einsparen. Ist die eigene Organisation innergemeinschaftlich umsatzsteuerlich registriert, gilt für ein grenzüberschreitendes SaaS-Abo wie lead.box in der Regel das Reverse-Charge-Verfahren, die konkrete Behandlung sollte aber die eigene Buchhaltung vor der ersten Rechnung bestätigen.

Klassische Web-Analyse fasst Traffic in Sitzungen und Seitenaufrufe aggregiert zusammen; lead.box ordnet dagegen einzelne Besuche der konkreten Firma dahinter zu, über IP-zu-Firmen-Zuordnung kombiniert mit First-Party-Tracking, sodass das Ergebnis eine benannte Account-Liste statt eines Traffic-Diagramms ist. Es wird nie versucht, die einzelne besuchende Person zu identifizieren, was tschechische Rechtsreviewer meist zuerst prüfen, denn die Identifizierung einer Person würde unter der DSGVO eine deutlich strengere Analyse auslösen. Weil das Signal auf Firmenebene arbeitet und nicht von Werbe-Cookies abhängt, konkurriert es nicht mit den einwilligungsbasierten Marketing-Tools im Stack einer Prager Firma; die meisten Kunden nutzen es zusätzlich zur bestehenden Analyse und speisen die resultierende Firmenliste direkt in CRM oder Vertriebs-Outreach ein, statt etwas zu ersetzen.

Die meisten tschechischen Kunden aus Prags Engineering- und Shared-Service-Szene schließen das Review innerhalb von ein bis zwei Wochen ab, sobald AVV, Subprozessoren-Liste und eine schriftliche Antwort zur Rechtsgrundlage vorliegen, da diese Teams rechtliche und technische Prüfung oft parallel laufen lassen, sobald ein Testkonto reale erkannte Firmen zeigt. Automobil- und Industriezulieferer mit förmlichen, OEM-getriebenen Lieferantenqualifizierungsprogrammen brauchen meist länger, da lead.box zusätzlich als neuer freigegebener Anbieter in bestehende Sicherheits- und Compliance-Prüfungen aufgenommen werden muss, die ursprünglich für Hardware- und Komponentenlieferanten ausgelegt wurden. Kunden berichten übereinstimmend, dass fertige Unterlagen auf Englisch und Tschechisch von Anfang an diesen Ablauf am stärksten beschleunigen.