B2B-Besuchererkennung unter dem Datenschutzrecht von Colorado

Der CPA regelt personenbezogene Daten mit Bezug zu einem Verbraucher in Colorado, definiert als Person mit Wohnsitz dort, die im individuellen oder häuslichen Kontext handelt, und greift, sobald ein Verantwortlicher die Schwellenwerte des Gesetzes überschreitet. Die Erkennung auf Firmenebene, wie lead.box sie durchführt, ermittelt Name, Branche und Größenklasse der besuchenden Organisation aus netzwerkbezogenen Signalen, ohne einen Datensatz zu einer namentlich bestimmten Person zu erzeugen, und erzeugt damit keine Verbraucherdaten im Sinne der CPA-Rechte. Ob andere, separat auf Ihrer Website erhobene Daten — etwa ein Formular mit Name und E-Mail — unter den CPA fallen, ist eine eigene Frage, die von Ihren Datenflüssen und Verbraucherzahlen abhängt. lead.box handelt als Auftragsverarbeiter für die von ihm verarbeiteten Daten und überlässt die Bewertung der Anwendbarkeit auf Verantwortlichenebene Ihrer Organisation, idealerweise mit Unterstützung durch eine mit dem CPA und seinen Ausführungsregeln vertraute Rechtsberatung.

Kaliforniens CCPA nahm B2B- und beschäftigungsbezogene personenbezogene Daten ursprünglich von den meisten Verbraucherrechten aus, doch diese Ausnahme war stets befristet und lief am 1. Januar 2023 aus, sodass die CPRA die Daten eines B2B-Kontakts heute weitgehend wie die jedes anderen Verbrauchers behandelt. Colorado ging von Beginn an den entgegengesetzten Weg: Der CPA definiert „Verbraucher“ so, dass jeder ausgeschlossen ist, der geschäftlich oder im Beschäftigungskontext handelt — eine auf einer Konferenz ausgetauschte Visitenkarte oder eine dienstliche E-Mail in einem Kontaktformular eines Lieferanten fiel also nie unter die Verbraucherrechte des CPA, und es gibt kein Ablaufdatum, weil es nie eine befristete Ausnahme gab. Ein Unternehmen aus Colorado, das auch nach Kalifornien verkauft, muss beide Regelungen getrennt im Blick behalten, statt anzunehmen, die Behandlung von B2B-Daten sei in beiden Bundesstaaten gleich.

Der Attorney General von Colorado hat ein detailliertes Ausführungsregelwerk erlassen, das unter anderem technische Vorgaben zur Erkennung universeller Opt-out-Signale, den erforderlichen Inhalt von Datenschutz-Folgenabschätzungen und Offenlegungspflichten bei Profiling mit rechtlich erheblichen Wirkungen regelt. Diese Regeln sind im Vergleich zu anderen Landesdatenschutzgesetzen in dieser Gruppe ungewöhnlich detailliert und lohnen eine direkte Lektüre, falls Ihre Organisation als Verantwortlicher unter den CPA fällt. Die Erkennung auf Firmenebene beinhaltet weder den Verkauf personenbezogener Daten noch gezielte Werbung noch ein Profiling einzelner Verbraucher mit erheblichen Auswirkungen, löst also in den meisten Konstellationen weder die Folgenabschätzungs- noch die Opt-out-Signal-Pflichten aus — die konkrete Prüfung bleibt jedoch Aufgabe Ihres eigenen Datenschutz- oder Rechtsteams.

Die Durchsetzungsbefugnis liegt beim Attorney General von Colorado und, ungewöhnlich in dieser Gruppe von Bundesstaaten, zusätzlich bei den lokalen District Attorneys, die einen CPA-Verstoß ebenfalls als unlautere Geschäftspraxis nach bestehendem Verbraucherschutzrecht verfolgen können. Ursprünglich gab das Gesetz einem Unternehmen 60 Tage nach Mitteilung, einen Verstoß zu beheben, bevor eine Durchsetzungsmaßnahme fortgesetzt wurde; dieses verpflichtende Heilungsrecht war jedoch so angelegt, dass es zum 1. Januar 2025 ausläuft. Danach liegt es im Ermessen des Attorney General, ob überhaupt eine Heilungsmöglichkeit eingeräumt wird, wobei Faktoren wie die Anzahl der Verstöße und gutgläubiges Verhalten berücksichtigt werden — was den praktischen Druck erhöht, die Compliance-Aufstellung schon vor einer Beschwerde richtig zu haben.

Der Attorney General von Colorado führt eine Liste anerkannter Universal Opt-Out Mechanisms, und der CPA verlangt von Verantwortlichen, ein über einen dieser Mechanismen gesendetes Opt-out-Signal für den Verkauf personenbezogener Daten oder für gezielte Werbung zu respektieren. lead.box verkauft keine personenbezogenen Daten an Dritte und schaltet keine gezielte Werbung auf Basis von Besucherdaten, sodass die Pflicht zur Signalerkennung in der Regel nicht über das Erkennungstool selbst laufen muss. Ob andere Teile Ihrer Website — Werbepixel, Retargeting-Tags oder separat genutzte Datenbroker — auf diese Signale reagieren müssen, ist eine breitere Frage zu Ihrem gesamten Technologie-Stack, die die Besuchererkennung auf Firmenebene für sich genommen nicht verändert.

Das kommt in dieser Region regelmäßig vor, auch weil die CPA Rules formal festlegen, was eine Datenschutz-Folgenabschätzung für risikoreichere Verarbeitungen wie Profiling, gezielte Werbung oder den Verkauf personenbezogener Daten enthalten muss, und lokale Sicherheits- und Datenschutzprüfer an diesen Dokumentationsstil gewöhnt sind. Da die Erkennung auf Firmenebene in den meisten Einsatzszenarien nicht in diese risikoreicheren Kategorien nach dem CPA fällt, ist eine formale Folgenabschätzung für die Erkennungsaktivität selbst meist nicht gesetzlich vorgeschrieben, doch viele Einkäufer in Colorado bitten dennoch um eine schriftliche Zusammenfassung der verarbeiteten Daten, die lead.box mit eigener Dokumentation unterstützen kann. Ob Ihre Organisation für ihre umfassenderen Datenpraktiken eine formale Folgenabschätzung durchführen muss, ist eine gesonderte Frage, die sich nach der Gesamtheit Ihrer Verarbeitungstätigkeiten richtet, nicht nur nach diesem einen Tool.

Der Dienst ordnet netzwerkbezogene Signale eines Besuchs — vor allem IP-Adressbereiche, die Organisationen zugeordnet sind — einem Firmennamen, einer Branche und einer Größenklasse zu, ohne zu erkennen, welcher konkrete Mitarbeiter gerade browst, ohne Cookies oder Werbe-Identifikatoren zu setzen und ohne ein Profil aufzubauen, das eine Person über unabhängige Websites hinweg verfolgt. Weder ein Login noch ein ausgefülltes Formular oder eine E-Mail-Adresse ist nötig, damit eine Firma erkannt wird, und im Ergebnis wird keine Person namentlich oder mit Jobtitel genannt. Gespeichert wird lediglich, dass eine bestimmte Organisation bestimmte Seiten in einem bestimmten Zeitraum besucht hat — ein Signal, das ein Vertriebsteam zur Priorisierung nutzt, aber kein Ersatz dafür, wer als Ansprechpartner tatsächlich zu kontaktieren ist.

Nein, und keine seriöse Anbieteraussage kann das leisten. Ob der CPA überhaupt greift, hängt von der gesamten Verbraucherzahl Ihrer Organisation, Ihren umfassenderen Datenpraktiken, dem Verkauf personenbezogener Daten oder gezielter Werbung sowie dem Umgang mit Betroffenenanfragen ab — alles Aspekte, die ein Besuchererkennungs-Tool nicht berührt. lead.box kann präzise beschreiben, was erhoben wird, wie die Daten verarbeitet werden und wo sie gespeichert sind, und kann auf den strukturellen Abstand der Firmenebenen-Erkennung zu den Verbraucherdaten-Vorschriften des CPA hinweisen, doch die Beurteilung der Gesamt-Compliance Ihrer Organisation nach dem Colorado Privacy Act und seinen Ausführungsregeln ist eine juristische Frage. Diese Seite dient nur der Information, nicht der Rechtsberatung, und ein Unternehmen in Colorado sollte seinen konkreten Sachverhalt von eigener qualifizierter Rechtsberatung prüfen lassen, bevor es sich auf Aussagen hier verlässt.