Firmenbesuche auf der Website erkennen, und was der Datenschutz erlaubt

Ein Anlagenbauer bekommt im März eine Ausschreibung für die Modernisierung einer Linie. Der Kunde ist seit Jahren im Bestand, das Werk kennt man gut. Im Gespräch stellt sich heraus, dass der Wettbewerber schon seit Wochen mit der Instandhaltung im Austausch ist. Im Nachhinein zeigt die Website-Statistik, dass aus dem Netz dieses Werks im Januar mehrfach die Seiten zu Retrofit und Steuerungsumbau aufgerufen wurden.

Die meisten Besucher einer Industrie-Website fragen nie an. Sie informieren sich, vergleichen und melden sich erst, wenn die Vorauswahl steht. Für den Vertrieb ist deshalb die Frage interessant, welche Unternehmen sich gerade informieren. Technisch lässt sich das teilweise beantworten. Rechtlich ist es kein Selbstläufer.

Das Problem: Interesse ohne Absender

Im Maschinen- und Anlagenbau sind die Kunden Unternehmen, oft mit mehreren Werken. Wenn sich dort ein Bedarf abzeichnet, recherchieren Konstruktion, Instandhaltung oder Einkauf zuerst selbst. Diese Phase ist für den Lieferanten unsichtbar, solange niemand ein Formular ausfüllt oder anruft. Gerade bei Bestandskunden ist das ärgerlich: Der Vertrieb hätte einen Grund, sich zu melden, und erfährt nichts davon.

Die Firmenerkennung über die IP-Adresse verspricht, diese Lücke zu schließen. Sie liefert keine Namen von Personen, sondern Namen von Unternehmen, dazu die aufgerufenen Seiten und den Zeitpunkt. Was sie leistet, hängt davon ab, wie die Besucher ins Netz gehen.

Die Firmenerkennung zeigt, dass sich ein Werk informiert. Sie zeigt nicht, wer, warum und mit welcher Absicht.

Wie die Zuordnung funktioniert und wo sie endet

Jeder Seitenaufruf übermittelt die IP-Adresse des Anschlusses, über den der Besucher im Internet ist. Unternehmen mit eigenem Firmennetz treten mit Adressbereichen auf, die ihnen zugeordnet sind. Dienste zur Firmenerkennung führen Datenbanken, in denen solche Adressbereiche Unternehmen zugewiesen sind, und reichern die Zuordnung mit Branche, Standort und Größe an. Ruft jemand aus dem Werksnetz die Website auf, erscheint im Bericht der Firmenname mit Ort und Seitenverlauf.

Die Grenzen sind erheblich. Wer im Homeoffice ohne Firmen-VPN arbeitet, surft über den privaten Anschluss, die Adresse gehört dem Telekommunikationsanbieter. Nach dem Statistischen Bundesamt arbeiteten 2025 24,6 Prozent aller Erwerbstätigen zumindest zeitweise von zu Hause, 13,2 Prozent täglich oder mindestens die Hälfte der Arbeitszeit. Bei Führungskräften lag der Anteil bei 43,1 Prozent, bei Akademikern bei 49,7 Prozent [1]. Das sind genau die Gruppen, die in Konstruktion, Projektierung und Einkauf über Lieferanten mitentscheiden.

Ähnlich verhält es sich beim Mobilfunk, wo sich viele Nutzer Adressen des Netzbetreibers teilen, und bei privaten VPN-Diensten. Großkonzerne leiten ihren Datenverkehr oft über zentrale Zugänge oder Sicherheitsdienste in der Cloud. Ein Werk in Niederbayern erscheint dann mit dem Standort der Zentrale oder des Dienstleisters. Der angezeigte Ort ist deshalb ein Hinweis auf das Unternehmen, nicht zuverlässig auf das Werk.

Es entstehen also Daten über Unternehmen, Seitenaufrufe, Zeitpunkte und Verweildauer. Personenbezogen werden sie, sobald sie mit Kennungen verknüpft werden, die einen einzelnen Besucher wiedererkennen, oder wenn ein kleines Unternehmen faktisch aus einer Person besteht.

Die Rechtslage

Der Europäische Gerichtshof hat im Urteil Breyer (C-582/14) vom 19. Oktober 2016 entschieden, dass eine dynamische IP-Adresse für den Betreiber einer Website ein personenbezogenes Datum ist, wenn er über rechtliche Mittel verfügt, mit Zusatzinformationen des Internetanbieters die Person bestimmen zu lassen [2]. Das Urteil erging noch zur Datenschutzrichtlinie, die der DSGVO vorausging. Wer IP-Adressen zur Firmenerkennung verarbeitet, sollte dennoch von personenbezogenen Daten ausgehen und braucht eine Rechtsgrundlage nach Art. 6 DSGVO: eine Einwilligung oder ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f, das gegen die Interessen der Besucher abzuwägen ist. Hinzu kommen die Informationspflichten nach Art. 13, das Widerspruchsrecht nach Art. 21 und, wenn ein Dienstleister die Daten verarbeitet, ein Vertrag zur Auftragsverarbeitung nach Art. 28 [3].

Unabhängig davon gilt § 25 TDDDG. Das Speichern von Informationen auf dem Endgerät oder der Zugriff darauf ist nur mit Einwilligung zulässig, es sei denn, er ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen [4]. Gängige Dienste zur Firmenerkennung binden dafür ein Skript ein, das im Browser läuft und häufig ein Cookie setzt. Die Aufsichtsbehörden legen die Vorschrift technikneutral aus, sie erfasse auch das Auslesen von Geräteeigenschaften etwa per JavaScript [5]. Ein vertriebliches Interesse an Firmennamen ist kein Dienst, den der Besucher angefordert hat.

Der Europäische Datenschutzausschuss hat in seinen Leitlinien zur europäischen Vorgabe, die § 25 TDDDG umsetzt, eigens die IP-Adresse betrachtet. Ihr Abruf löse diese Vorgabe nur aus, wenn die Information vom Endgerät stammt. Lässt sich das nicht sicher ausschließen, seien die Anforderungen einzuhalten [6]. Eine Zuordnung allein aus den Protokollen des Webservers ist damit anders zu bewerten als ein Skript im Browser, aber nicht automatisch frei. Welche Rechtsgrundlage im konkreten Aufbau trägt, sollte im Einzelfall rechtlich geprüft werden.

Die Methodik: Unternehmensebene, Einwilligung, Signal

Nur Unternehmensebene. Ausgewertet werden Unternehmen und Seiten, keine Einzelpersonen. Treffer, die auf Telekommunikationsanbieter, Mobilfunknetze oder bekannte VPN-Dienste fallen, werden verworfen, ebenso Kleinstbetriebe, bei denen Unternehmen und Person zusammenfallen. Eine Verknüpfung mit Formularangaben oder Werbe-Kennungen findet nicht statt.

Einwilligung und Banner. Das Skript wird wie andere Marketingdienste erst nach Zustimmung im Banner geladen und dort mit Anbieter und Zweck benannt. Die Datenschutzerklärung nennt Anbieter, Zweck, Rechtsgrundlage und Speicherdauer. Das verringert die Zahl der erkannten Besuche und macht das Verfahren belastbar.

Datensparsamkeit. IP-Adressen werden nach der Zuordnung nicht weiter gespeichert, nur das Ergebnis auf Unternehmensebene. Die Aufbewahrung ist begrenzt, etwa auf zwölf Monate. Ausgewertet werden die Seiten, die für den Vertrieb Aussagekraft haben: Produkt- und Leistungsseiten, Ersatzteile, Service, Referenzen.

Auftragsverarbeitung prüfen. Mit dem Anbieter wird ein Vertrag zur Auftragsverarbeitung geschlossen. Sitz, Unterauftragnehmer und Datenübermittlungen in Drittländer werden vor dem Einsatz geprüft und dokumentiert.

Signal für den Vertrieb, keine Anrufliste. Ein Besuch ist ein Hinweis, kein Gesprächsanlass, den man dem Gegenüber erklären möchte. Bei Bestandskunden fließt er in den nächsten regulären Kontakt ein: Der Betreuer weiß, dass im Werk Retrofit ein Thema sein könnte, und fragt nach dem Zustand der Anlage. Bei unbekannten Unternehmen dient er der Einschätzung, ob das Unternehmen zur Zielgruppe passt, und gegebenenfalls der gezielten Ansprache über Kampagnen.

Abgleich mit CRM und Kampagnen. Erkannte Unternehmen werden den Werken im CRM zugeordnet, nicht als neue Datensätze angelegt. So wird sichtbar, ob Besuche aus Zielunternehmen nach einer Kampagne zunehmen und ob ihnen Anfragen folgen.

Das Ergebnis

Richtig eingesetzt liefert die Firmenerkennung einen Ausschnitt dessen, was in den Werken der Kunden und Zielkunden gerade passiert. Er ist unvollständig, weil Homeoffice, Mobilfunk und Konzernnetze einen großen Teil verdecken, und er ist kleiner, weil nur Besucher mit Einwilligung zählen. Dafür ist er belastbar und lässt sich gegenüber Kunden und Aufsichtsbehörden erklären.

Der Nutzen entsteht im Zusammenspiel: Ein Bestandskunde, der Retrofit-Seiten liest, ein Zielunternehmen, das nach einer Kampagne wiederkommt, ein Werk, aus dem plötzlich Ersatzteilseiten aufgerufen werden. Jedes dieser Signale ist für sich schwach. Im CRM neben Angeboten, Serviceeinsätzen und Gesprächsnotizen wird daraus ein Bild, mit dem der Vertrieb früher am Tisch sitzt.