B2B-Besuchererkennung im Vereinigten Königreich

Unter der UK GDPR ist sie umsetzbar, solange die Erkennung strikt auf Firmenebene bleibt — mit legitimate interests als üblicher Rechtsgrundlage, dokumentiert in einem schriftlichen Legitimate Interests Assessment zu Zweck, Erforderlichkeit und Abwägung gegen die Rechte der Betroffenen, und mit klarer Ausweisung in der Datenschutzerklärung. PECR ist zusätzlich zu betrachten, weil es regelt, was auf dem Endgerät gespeichert oder von dort gelesen wird, unabhängig davon, ob Daten personenbezogen sind — die beiden Prüfungen lassen sich also nicht zu einer zusammenfassen. Die abschließende Bewertung für die eigene Website und ihre übrigen Werkzeuge triffst du als Verantwortlicher; lead.box agiert als Auftragsverarbeiter auf Basis eines schriftlichen AVV und trifft diese Entscheidung nicht für dich.

PECR verlangt eine Einwilligung für das Speichern von Informationen auf der Endeinrichtung eines Besuchers und den Zugriff darauf, sofern es nicht unbedingt für den angeforderten Dienst erforderlich ist — und die ICO stellt ausdrücklich klar, dass dies für cookie-ähnliche Technologien gilt, nicht nur für Cookies im engeren Sinn. Die Erkennung auf Firmenebene mit lead.box löst eine Organisation aus Netzwerkinformationen auf, legt keine Werbekennungen auf dem Gerät ab und bildet keine seitenübergreifenden Profile, liegt also außerhalb dessen, was diese Regel eindämmen soll. Auf deiner Website laufen aber fast sicher andere Dinge, die PECR betreffen — Analytics, Werbe-Pixel, Chat-Widgets —, deren gesonderte Prüfung weiterhin bei dir als Verantwortlichem liegt.

Ja. Die seit dem Brexit eigenständig geführten britischen Angemessenheitsregelungen erfassen die EWR-Staaten, damit ist die Verarbeitung britischer Besucherdaten in ISO-zertifizierten EU-Rechenzentren ein anerkannter Übermittlungsweg und keine Ausnahme, für die zusätzliche Vertragsklauseln nötig wären. Das hält die Unterlagen einfach: Ein einziger Auftragsverarbeitungsvertrag deckt die Übermittlung ab, ohne dass ein separates UK International Data Transfer Addendum dafür nötig wird. Vertrag und versionierte Subprozessoren-Liste sind veröffentlicht, damit Rechts- oder Einkaufsteams Übermittlungskette, Aufbewahrungsfristen und benannte Subprozessoren vor der Entscheidung prüfen können.

Für den Einsatz der Erkennung auf Firmenebene ist keine gesonderte Anzeige erforderlich. Die üblichen britischen Pflichten treffen weiterhin dich als Verantwortlichen, unabhängig von diesem Werkzeug: Registrierung bei der ICO und Zahlung der Datenschutzgebühr, sofern keine Ausnahme greift, ein aktuelles Verzeichnis der Verarbeitungstätigkeiten, eine Datenschutzerklärung, die die betriebenen Verarbeitungsarten benennt, sowie die Meldung von Datenschutzverletzungen an die ICO innerhalb von 72 Stunden, wenn die Risikoschwelle der UK GDPR erreicht ist. Keine dieser Pflichten ändert sich durch das zusätzliche Werkzeug, und lead.box erfüllt eigene Registrierungs- und Meldepflichten als Auftragsverarbeiter parallel zu deinen.

Britische Limited Companies tragen eine eindeutige Companies-House-Registrierungsnummer, und britische B2B-Käufer erwarten routinemäßig, dass Rechnungen, Verträge und CRM-Einträge die korrekt registrierte Rechtseinheit statt eines Handelsnamens oder einer Konzernmutter referenzieren. Die Erkennung auf Firmenebene gleicht besuchenden Traffic mit Firmendaten aus öffentlichen Handelsregistern ab, ein Treffer bei einem britischen Besucher zeigt daher typischerweise den registrierten Firmennamen und lässt sich mit Companies-House-Einträgen abgleichen, wenn ein Vertriebsteam klären muss, welche Rechtseinheit innerhalb eines Konzerns tatsächlich zu Besuch war — nützlich bei den in UK verbreiteten Holding- und Tochterstrukturen, bei denen die Marke auf der Website selten mit dem Registernamen übereinstimmt.

Britische B2B-Einkaufs- und Rechtsteams prüfen meist kürzer und kommerzieller als kontinentaleuropäische Pendants, erwarten aber vor der Freigabe einen bestimmten Unterlagensatz: einen Auftragsverarbeitungsvertrag mit Bezug auf UK GDPR und Data Protection Act 2018, eine benannte und versionierte Subprozessoren-Liste, eine Sicherheitsübersicht zu Hosting-Ort und Verschlüsselung sowie eine klare Antwort zu Cookies und PECR. Sicherheitsfragebögen nach ISO-27001- oder SOC-2-Vorbild sind auch bei kleineren britischen Anbietern üblich, und Einkaufsteams fragen zunehmend, wie die neueren Reformen durch den Data (Use and Access) Act in der Lieferantendokumentation abgebildet sind — aktuelle Formulierungen verkürzen die Prüfung spürbar.

Britische B2B-Teams steuern ihre Pipeline überwiegend über HubSpot, Salesforce oder Pipedrive, erkannte Firmen werden per Webhook oder native Integration übergeben, sodass ein Sales Development Representative ein benanntes Konto statt einer anonymen Sitzung in der Analytics-Ansicht sieht. Marketingteams reichern bestehende Account-based-Marketing-Listen typischerweise mit erkannten Firmendaten an, um Outbound zu priorisieren, während der Vertrieb tägliche oder wöchentliche Übersichten nutzt, um die Ansprache am tatsächlichen Rechercheverhalten auszurichten. CSV-, Excel- oder JSON-Exporte decken Berichte an Geschäftsführung oder Finanzabteilung ab, wenn kein CRM-Abgleich nötig ist — die Erkennungsdaten müssen dafür nirgendwo außerhalb der bereits genutzten Werkzeuge liegen.

Die meisten britischen Teams installieren ein kurzes JavaScript-Snippet auf der Haupt-Marketing-Domain und sehen die ersten erkannten Firmen innerhalb eines Arbeitstages, meist wird eine erste Trefferliste gegen bekannte Zielkonten geprüft, bevor das Snippet auf weitere Domains oder regionale Microsites ausgeweitet wird. Anschließend übertragen Webhooks oder eine direkte CRM-Integration neue Firmentreffer automatisch in die Vertriebspipeline, während Marketing CSV- oder Excel-Exporte für Berichtszyklen ohne laufenden CRM-Zugriff nutzt. Weitere Nutzerplätze lassen sich hinzufügen, sobald Vertrieb, Marketing oder Revenue Operations Zugriff brauchen, und die Kündigung erfolgt selbstständig im Konto, ohne Rückgewinnungsgespräch oder Kündigungsfristklausel.