Besucheridentifizierung nach DSGVO: Rechtsgrundlage klären

Besucheridentifizierung nach DSGVO ist auf Unternehmensebene häufig möglich, und zwar meist auf Basis des berechtigten Interesses (Art. 6 Abs. 1 lit. f). Voraussetzung sind eine dokumentierte Interessenabwägung, transparente Information und Verzicht auf personenbezogene Anreicherung ohne Einwilligung. Ob Ihr Aufbau trägt, entscheidet der Einzelfall.

Zwei Rechtsfragen, die man trennen muss

Bei Besucheridentifikation greifen zwei Regelwerke, und sie werden gern verwechselt.

Erstens die DSGVO. Sobald die IP-Adresse verarbeitet wird, liegt in aller Regel eine Verarbeitung personenbezogener Daten vor, siehe IP-Adresse als personenbezogenes Datum. Dafür brauchen Sie eine Rechtsgrundlage aus Art. 6 DSGVO.

Zweitens das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Dessen § 25 verlangt grundsätzlich Einwilligung, wenn Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden, außer es ist unbedingt erforderlich. Das betrifft Cookies, aber auch vergleichbare Speicher im Browser. Was cookielos bedeutet und wo die Grenze liegt, behandelt der Beitrag zu Cookieless Tracking.

Frage	Regelwerk	Typische Antwort bei Firmenerkennung
Darf ich die IP-Adresse verarbeiten?	DSGVO Art. 6	Berechtigtes Interesse, wenn Abwägung trägt
Darf ich etwas im Browser speichern oder auslesen?	§ 25 TDDDG	Ohne Speicherung kein Einwilligungsbedarf, sonst meist Einwilligung
Muss ich informieren?	DSGVO Art. 13	Ja, in der Datenschutzerklärung
Brauche ich einen Vertrag mit dem Anbieter?	DSGVO Art. 28	Ja, Auftragsverarbeitung

Warum das berechtigte Interesse meist die Wahl ist

Einwilligung wäre der sauberste Weg, scheitert hier aber praktisch: Wer eine Seite zum ersten Mal besucht, kann nicht vorab einer Auswertung zustimmen, die erst danach stattfindet, und gültige Einwilligung muss informiert und freiwillig sein. Vertrag, rechtliche Verpflichtung und öffentliche Aufgabe passen nicht. Bleibt das berechtigte Interesse.

Dafür gilt der übliche Dreischritt, den auch der Europäische Datenschutzausschuss in seinen Leitlinien 1/2024 beschreibt:

1. Berechtigtes Interesse: Sie wollen B2B-Interessenten erkennen, um relevant anzusprechen.
2. Erforderlichkeit: Es gibt kein milderes, gleich wirksames Mittel. Firmenebene statt Personenebene ist hier ein starkes Argument.
3. Abwägung: Die Interessen der Besucher überwiegen nicht. Je weniger personenbezogen die Ergebnisse, desto besser Ihre Position.

Kernaussage: Je weiter Sie sich auf der Firmenebene halten, desto belastbarer wird das berechtigte Interesse. Jeder Schritt Richtung Einzelperson verschlechtert die Abwägung.

Die praktische Umsetzung der Abwägung steht in unserer Checkliste zur Interessenabwägung.

Wie ein Anbieter die Linie zieht

BusinessMCP beschreibt in seinem Leitfaden zu Visitor Identification und GDPR genau diese Logik: Firmenebene auf Basis berechtigten Interesses, dokumentiert und in der Datenschutzerklärung offengelegt. Personenebene bei EU-Besuchern ohne Einwilligung bezeichnet der Anbieter als nicht vertretbar und bietet sie nur für US-Traffic an. Außerdem weist die Seite darauf hin, dass der eigene Tracker eine First-Party-Kennung speichert, weshalb EU- und UK-Seiten ihn hinter Einwilligung schalten sollten. Das ist ein Herstellerstandpunkt, aber es zeigt, wie genau man hinsehen muss: „cookielos" ist nicht automatisch „einwilligungsfrei". Weitere Hinweise liefert die GDPR-Seite von BusinessMCP.

Pflichtbausteine im Überblick

• Interessenabwägung (intern dokumentiert, mit Datum und Verantwortlichem)
• Datenschutzerklärung: Zweck, Rechtsgrundlage, Empfänger, Speicherdauer, Widerspruchsrecht
• Auftragsverarbeitungsvertrag, siehe AVV für Tracking-Tools
• Widerspruch: ein leicht auffindbarer Weg, der technisch wirklich greift
• Löschkonzept: Wie lange bleiben Besuchsdaten und erkannte Firmen gespeichert?
• Drittlandtransfer prüfen, wenn der Anbieter außerhalb der EU verarbeitet

Typische Fehler

Viele Probleme entstehen nicht beim Gesetz, sondern bei der Umsetzung:

• Das Tool läuft längst, die Datenschutzerklärung ist noch nicht angepasst.
• Die Abwägung existiert nur im Kopf.
• Ein Banner wird als Generalfreibrief verstanden.
• Erkannte Firmen werden mit Personenprofilen aus anderen Quellen angereichert.
• Der Widerspruch wird nur per E-Mail angeboten, aber im Tool nie umgesetzt.

Wann Sie externe Hilfe holen sollten

Spätestens bei Personenebene, Daten aus Drittquellen, besonders sensiblen Branchen oder Verarbeitung außerhalb der EU lohnt eine Prüfung durch Datenschutzbeauftragte oder Fachanwälte. Dieser Beitrag ist keine Rechtsberatung, und Aufsichtsbehörden sowie Gerichte können Einzelfragen unterschiedlich bewerten. Wenn Sie die Lösung auswählen, hilft Ihnen der Blick auf die Seite Website Visitor Identification, um zu sehen, wie ein Anbieter Funktionsumfang und Grenzen offenlegt.

Ein Prüfablauf für die Praxis

Bevor Sie ein Tool produktiv schalten, sollten Sie die folgenden Punkte in dieser Reihenfolge abarbeiten. Die Reihenfolge ist bewusst gewählt: Die Fragen, die das Projekt stoppen könnten, kommen zuerst.

1. Datenfluss skizzieren: Welche Daten verlassen Ihre Seite, wohin gehen sie, und wer verarbeitet sie? Zeichnen Sie das auf einer Seite auf.
2. Ebene festlegen: Firma oder Person? Legen Sie schriftlich fest, dass die Personenebene für EU-Besucher nicht genutzt wird.
3. Endgerätezugriff klären: Setzt das Skript Cookies oder schreibt es in den lokalen Speicher? Wenn ja, ist § 25 TDDDG im Spiel. Ein persistenter Identifier im Browser ist rechtlich einem Cookie vergleichbar.
4. Rechtsgrundlage dokumentieren: Interessenabwägung mit Zweck, Erforderlichkeit und Gegeninteressen der Besucher.
5. Anbieter prüfen: AVV, Serverstandort, Unterauftragnehmer, Löschfristen.
6. Information und Widerspruch: Datenschutzerklärung anpassen, Widerspruch technisch umsetzen.
7. Verzeichnis führen: Verarbeitung ins Verzeichnis von Verarbeitungstätigkeiten aufnehmen und bei hohem Risiko eine Folgenabschätzung erwägen.

Was die IP-Adresse rechtlich bedeutet

Der Europäische Gerichtshof hat entschieden, dass auch dynamische IP-Adressen für den Seitenbetreiber personenbezogen sein können, wenn rechtliche Mittel bestehen, den Nutzer über den Zugangsanbieter zu bestimmen. Deshalb gehen Datenschutzbehörden bei Webanalyse üblicherweise von Personenbezug aus. Der Beitrag Ist die IP-Adresse ein personenbezogenes Datum? ordnet das genauer ein. Für die Praxis heißt das: Auch Firmenerkennung per IP ist keine datenschutzfreie Zone. Sie ist nur dann vergleichsweise gut verteidigbar, wenn die Adresse kurz verarbeitet, nicht zu Personenprofilen verknüpft und das Ergebnis auf Firmenebene gespeichert wird.

Firmenebene versus Personenebene

Merkmal	Firmenebene	Personenebene
Ergebnis	Organisation, Branche, Größe	Name, E-Mail, Position
Typische Rechtsgrundlage	Berechtigtes Interesse	Einwilligung
Risiko bei EU-Besuchern	Moderat, gut dokumentierbar	Hoch
Erwartung der Besucher	Gering überraschend im B2B	Häufig überraschend
Empfohlene Nutzung	Lead-Hinweise, Priorisierung	Nur mit klarer Einwilligung

Für eine erste Orientierung zum Aufbau eines solchen Systems eignet sich auch der Leitfaden So funktioniert Besucheridentifikation des genannten Anbieters. Er beschreibt, wie Unternehmen aus Netzdaten abgeleitet werden und wo die Grenzen liegen.

Was Aufsichtsbehörden erwarten

Die Aufsichtsbehörden der Länder verlangen im Kern drei Dinge: Transparenz gegenüber den Besuchern, Datensparsamkeit und eine belastbare Dokumentation. Ein Tool, das mehr Daten sammelt als nötig, oder eine Datenschutzerklärung, die den Dienst nicht nennt, sind klassische Angriffspunkte. Praktisch bewährt sich eine kurze Verfahrensbeschreibung von höchstens zwei Seiten, die Sie bei Anfragen vorlegen können. Sie sollte den Zweck, die verarbeiteten Datenkategorien, die Speicherdauer und die getroffenen Schutzmaßnahmen enthalten.

Beachten Sie außerdem, dass sich Bewertungen ändern können. Orientierungshilfen der Datenschutzkonferenz werden angepasst, Gerichte entscheiden neu, und Anbieter ändern ihre technische Umsetzung. Planen Sie deshalb eine jährliche Überprüfung ein, am besten gemeinsam mit der Datenschutzfachkraft. Die Hinweise des Anbieters auf seiner Seite zum Datenschutz bei BusinessMCP sind ein Ausgangspunkt, ersetzen aber nicht Ihre eigene Prüfung.