So funktioniert die Firmenidentifikation
Jeder Besuch kommt von einer IP-Adresse. Manche Adressbereiche sind auf die Organisation registriert, die sie nutzt: die Zentrale einer Bank, eine Universität, ein Softwareunternehmen mit eigenem Netz. Wer nachschlägt, wem der Bereich gehört, weiß, von welcher Organisation der Besuch kam, ohne zu wissen, wer an der Tastatur saß. Das nennt man Reverse-IP-Lookup.
Die meisten Adressen funktionieren nicht so. Wer von zu Hause, über ein Mobilfunknetz, hinter einem VPN oder an einem Cloud-Desktop surft, teilt sich den Adressbereich mit Tausenden anderen, und registrierter Inhaber ist der Provider. Ein sorgfältiges System erkennt solche Bereiche und benennt anhand ihrer kein Unternehmen, deshalb wird nur ein Teil der Besuche einem Unternehmen zugeordnet. Anbieter melden nach eigenen Angaben Treffer auf Firmenebene für rund 30 bis 65 Prozent des geschäftlichen Traffics aus den USA.
Eine zweite Quelle sind First-Party-Daten. Melden sich mehrere Personen eines Unternehmens aus demselben Netz mit ihrer geschäftlichen Adresse an oder füllen ein Formular aus, lässt sich dieses Netz bei späteren Besuchen dem Unternehmen zuordnen.
Woher die Hinweise in Demander stammen
| Quelle | Funktionsweise | Grenzen |
|---|---|---|
| Selbstidentifikation | Ein Formular oder eine Registrierung mit geschäftlicher E-Mail-Adresse benennt das Unternehmen über seine Domain | Freemail- und Wegwerf-Domains benennen nie ein Unternehmen |
| Gelernte Präfixe | Netzpräfixe (/24 bei IPv4, /48 bei IPv6), unter denen sich Personen mit einer geschäftlichen E-Mail-Adresse identifiziert haben | Vertrauenswürdig erst nach zwei verschiedenen Kontakten desselben Unternehmens, pro Workspace gespeichert, nach 180 Tagen ohne neue Hinweise gelöscht |
| Registry-Einträge | Der Eintrag der regionalen Internet-Registry (RDAP) dazu, wem der Bereich gehört | Internetprovider, Mobilfunkanbieter, VPNs und Hosting-Pools werden herausgefiltert |
| Reverse DNS | Der Hostname, den der Netzbetreiber für die Adresse festgelegt hat | Schwacher Hinweis, wird mit geringer Konfidenz verwendet |
| Optionale Anbieter | IPinfo, Dealfront oder Snitcher erhalten die Adresse und liefern ein Unternehmen zurück | Nur wenn Sie einen davon verbinden |
Was als personenbezogene Daten gilt
Die IP-Adresse gehört dazu. Im Urteil Breyer (C-582/14) hat der Gerichtshof der EU entschieden, dass eine dynamische IP-Adresse für eine Stelle personenbezogen ist, die über rechtliche Mittel verfügt, die Person dahinter zu identifizieren, und wer das Tracking-Skript betreibt, sieht die vollständigen Adressen. Cookie-IDs, Geräte-IDs und Klick-IDs aus Anzeigen sind ebenfalls personenbezogene Daten.
Daten über ein Unternehmen als solches fallen nicht unter die DSGVO, die natürliche Personen schützt. Drei Umstände holen sie in den Anwendungsbereich zurück. Ein Einzelunternehmen ist eine natürliche Person. Bei einem sehr kleinen Unternehmen lässt sich ein Besuch in der Praxis einer Person zuordnen. Und sobald Sie einen Firmenbesuch mit dem Datensatz eines namentlich bekannten Kontakts verknüpfen, betrifft das Ergebnis diesen Kontakt.
Deshalb sollte die Identifikation beim Unternehmen enden. Eine De-Anonymisierung auf Personenebene, also die Zuordnung eines Besuchs zu einer namentlich bekannten Person anhand von Drittdaten, hat für Besucher aus der EU keine tragfähige Rechtsgrundlage: Sie verstößt gegen die Transparenzpflichten und bräuchte eine Einwilligung, die niemand erteilt hat.
Einwilligung oder berechtigtes Interesse
Für ein Tracking-Skript gelten in der EU zwei Regeln. Art. 5 Abs. 3 der ePrivacy-Richtlinie verlangt eine Einwilligung, um Informationen auf dem Gerät des Besuchers zu speichern oder auszulesen, sofern das nicht unbedingt erforderlich ist. Die Leitlinien 2/2023 des EDSA, seit Oktober 2024 endgültig, legen das so weit aus, dass auch Skripte erfasst sind, die den Browser Daten zur Identifikation senden lassen, mit oder ohne Cookies. Die DSGVO verlangt dann eine Rechtsgrundlage für die Verarbeitung der IP-Adresse.
| Ansatz | Was er bedeutet | Vor- und Nachteile |
|---|---|---|
| Identifikation nach Einwilligung | Unternehmen werden nur bei Besuchern identifiziert, die in Ihrem Banner Marketing-Tracking akzeptiert haben | Die sicherste Auslegung der Leitlinien; Besucher, die ablehnen, bleiben anonym |
| Berechtigtes Interesse mit Interessenabwägung | Jeder Besuch wird auf Firmenebene identifiziert, auf Basis einer dokumentierten Interessenabwägung, die in Ihrer Datenschutzerklärung offengelegt ist | Die Grundlage, auf die sich die meisten Identifikationstools stützen; es bleibt ein gewisses ePrivacy-Risiko, das eine Aufsichtsbehörde möglicherweise nicht akzeptiert |
In beiden Fällen gilt: nur Firmenebene, vollständige IP-Adressen werden verworfen, Provider-Bereiche gefiltert, das Verfahren wird in Ihrer Datenschutzerklärung benannt, und mit jedem beteiligten Anbieter besteht ein Auftragsverarbeitungsvertrag. Werbepixel sind ein eigenes Thema und werden erst nach Einwilligung ausgelöst.
Einwilligungsmodi im Demander-Tracker
Das Tracking-Snippet hat drei Modi. Ihr Cookie-Banner ruft demander.consent() auf, sobald der Besucher seine Wahl trifft.
| Modus | Vor der Einwilligung | Nach der Einwilligung |
|---|---|---|
| Strict (Standard in der EU) | Auf dem Gerät wird nichts gespeichert; der Server zählt den Besuch mit einem cookielosen Schlüssel, der täglich wechselt | Eine dauerhafte First-Party-ID |
| Balanced | Eine ID pro Besuch in sessionStorage | Eine dauerhafte ID |
| Off | Sofort eine dauerhafte ID, für Websites, auf denen die Einwilligung anderswo eingeholt wird oder nicht erforderlich ist | Unverändert |
Die Marketing-Einwilligung ist von der Einwilligung in Analysen getrennt. Klick-IDs aus Anzeigen, die Verknüpfung von Besuchen mit einer Person und das Erfassen einer E-Mail-Adresse, die in ein Formular eingegeben wurde, setzen alle eine Marketing-Einwilligung voraus. Wird die Einwilligung widerrufen, löscht der Tracker, was er gespeichert hat.
Wie Demander die Identifikation handhabt
Die Firmenidentifikation läuft nur, wo für den jeweiligen Besuch eine Grundlage besteht: Der Workspace hat eine abgeschlossene Interessenabwägung hinterlegt, oder der Besucher hat eine Marketing-Einwilligung erteilt. Sie bleibt auf Firmenebene. Ein Besuch wird nur dann mit einer Person verknüpft, wenn diese sich selbst zu erkennen gibt, über ein Formular, eine Registrierung oder eine Antwort, und nie durch Ableitung.
Vollständige IP-Adressen werden nie gespeichert. Demander speichert einen gesalzenen Hash, der täglich wechselt, und das gekürzte Präfix (/24 oder /48), das als Schlüssel nötig ist. Bereiche von Internetprovidern, Mobilfunkanbietern, VPNs und Rechenzentren werden herausgefiltert, bevor ein Unternehmen benannt wird.
Global Privacy Control und Do Not Track
Global Privacy Control (GPC) ist ein Browsersignal, das Websites mitteilt, dass die Person den Verkauf oder die Weitergabe ihrer Daten nicht wünscht. Einige US-Bundesstaaten, darunter Kalifornien, verpflichten Websites per Gesetz, es als Opt-out zu behandeln. In der EU hat es noch keine feste rechtliche Bedeutung, doch wer ein ausdrückliches Signal ignoriert, wird das in einer Interessenabwägung kaum rechtfertigen können.
Demander behandelt GPC und Do Not Track als fehlende Marketing-Einwilligung, unabhängig davon, was im Banner gewählt wurde: keine Klick-IDs, keine Verknüpfung von Besuchen mit einer Person, keine Erfassung von E-Mail-Adressen aus Formularen. GPC stoppt außerdem die Firmenidentifikation für diesen Besuch, und ein Kontakt, der bei einem verknüpften Besuch GPC gesendet hat, wird nie als Seed für Lookalike Audiences verwendet. Do Not Track allein stoppt die Identifikation auf Firmenebene nicht, wenn eine abgeschlossene Interessenabwägung vorliegt.
Was Sie wie lange aufbewahren
-
01
IP-Adressen
Bewahren Sie sie nicht auf. Kürzen oder hashen Sie sie schon bei der Erfassung; Demander speichert nie die vollständige Adresse.
-
02
Gelernte Firmenbereiche
Werden nach 180 Tagen ohne neue Hinweise gelöscht und gelten erst als vertrauenswürdig, wenn sich zwei verschiedene Personen des Unternehmens identifiziert haben.
-
03
Besuchsdaten
Bewahren Sie sie nur so lange auf, wie der Zweck in Ihrer Datenschutzerklärung es erfordert, und nennen Sie diesen Zeitraum. In Demander bleiben sie gespeichert, bis Sie sie oder den Workspace löschen. Sie laufen nicht nach einem Zeitplan ab, die Einhaltung der angegebenen Frist liegt also bei Ihnen.
-
04
Backups
Gelöschte Daten verschwinden innerhalb der Aufbewahrungsfrist für Backups (standardmäßig 14 Tage) auch aus den Backups von Demander.
-
05
Einwilligungsnachweise
Speichern Sie Zeitpunkt, Quelle und Wortlaut jeder Einwilligung so lange, wie Sie sich auf sie stützen.
Checkliste vor dem Einschalten
-
Rechtsgrundlage wählen
Einwilligung oder berechtigtes Interesse mit einer schriftlichen Interessenabwägung zwischen Ihrem Interesse und dem des Besuchers. Lassen Sie das für Ihre Märkte rechtlich prüfen.
-
Datenschutzerklärung aktualisieren
Nennen Sie die Firmenidentifikation, die genutzten Quellen und Anbieter, die Speicherdauer und das Widerspruchsrecht.
-
Einwilligungsmodus wählen
Strict speichert vor der Einwilligung nichts und ist der Standard für Websites in der EU. Verbinden Sie Ihr Banner mit dem Snippet, damit die Auswahl der Besucher wirksam wird.
-
Verträge abschließen
Ein Auftragsverarbeitungsvertrag mit Demander und mit jedem Identifikationsanbieter, den Sie verbinden.
-
Signale respektieren
Der Tracker beachtet GPC und Do Not Track von sich aus. Setzen Sie sich in anderen Tools nicht darüber hinweg, und versuchen Sie nicht, Einzelpersonen zu identifizieren.
Häufige Fragen
Ist Firmenidentifikation in der EU zulässig?
Sie kann zulässig sein, wenn sie auf Firmenebene, mit einer Rechtsgrundlage und mit einer klaren Datenschutzerklärung erfolgt. Offen ist die Frage nach ePrivacy: Nur Besucher mit Einwilligung zu identifizieren, ist die sicherste Auslegung, und berechtigtes Interesse mit dokumentierter Abwägung ist mit einem gewissen Restrisiko vertretbar. Klären Sie mit Ihrer Rechtsberatung, welcher Weg für Sie infrage kommt.
Identifiziert Demander einzelne Besucher?
Nie durch Ableitung. Ein Besuch wird nur dann mit einer Person verknüpft, wenn diese sich selbst zu erkennen gibt, etwa über ein Formular oder eine Registrierung, und der Tracker verknüpft Besuche nur mit Marketing-Einwilligung mit einer Person.
Brauche ich im Strict-Modus trotzdem ein Cookie-Banner?
Der Strict-Modus speichert vor der Einwilligung nichts auf dem Gerät, aber Sie brauchen ein Banner für dauerhafte IDs, Klick-IDs und, wenn die Einwilligung Ihre Rechtsgrundlage ist, für die Firmenidentifikation. Der cookielose Tagesschlüssel verarbeitet weiterhin IP-Adresse und User-Agent und braucht daher ein berechtigtes Interesse. Manche Behörden sehen ihn möglicherweise auch als von ePrivacy erfasst an; klären Sie das für Ihre Märkte mit Ihrer Rechtsberatung.
Was gilt für Besucher aus den USA?
Die Identifikation auf Firmenebene ist nach US-Recht wenig riskant. Die Datenschutzgesetze der Bundesstaaten geben Menschen ein Recht auf Opt-out, und genau das signalisiert GPC, also beachten Sie es. Die Identifikation von US-Besuchern auf Personenebene birgt das Risiko von Klagen nach den Abhörgesetzen (Wiretap-Klagen), und Demander bietet sie nicht an.