B2B-Website-Personalisierung und Datenschutz: So bleiben Sie compliant

Die meisten B2B-Personalisierungsprojekte stoßen in Woche zwei an dieselbe Wand. Das Marketing hat die Segmente und Headline-Varianten fertig, dann fragt jemand aus der Rechtsabteilung, wie die Besucheridentifikation unter der DSGVO funktioniert, und niemand hat eine schriftliche Antwort. Das Projekt steht still.

Dieser Beitrag ist die Antwort, die wir gern schriftlich hätten. Er behandelt den Datenschutz bei Personalisierung auf B2B-Websites unter den drei Regelwerken, die die meisten Fragen aufwerfen (DSGVO, die EU-ePrivacy-Regeln zu Cookies und Gerätezugriff sowie Kaliforniens CCPA/CPRA), was jedes davon tatsächlich verlangt, und eine Checkliste für den Start, die Sie Ihrer Rechtsabteilung geben können. Es handelt sich nicht um Rechtsberatung. Ziel ist es, Marketing und Rechtsabteilung schneller an einen Tisch zu bringen, mit verlinkten Primärquellen, damit Ihre Rechtsberatung sie prüfen kann.

Warum B2B-Personalisierung ein anderes Datenschutzprofil hat

Die meisten Datenschutzleitfäden sind für Konsumentenszenarien geschrieben: Werbe-Tracking über Shopping-Websites hinweg, Verhaltensprofile, die an Dritte verkauft werden. B2B-Website-Personalisierung sieht meist anders aus:

• Der wichtigste Input sind Daten auf Unternehmensebene (Branche, Größe, Standort, eingesetzte Technologie), meist abgeleitet aus der IP-Adresse des Besuchers.
• Das Ergebnis ist unspektakulär: Ein Besucher aus der Fertigung sieht Fallstudien aus der Fertigung statt aus dem Fintech-Bereich.
• Viele Besucher kommen von Unternehmen, an die Sie bereits verkaufen oder die Sie ansprechen, es gibt also einen plausiblen geschäftlichen Grund, ihnen relevante Inhalte zu zeigen.

Nichts davon nimmt B2B-Personalisierung vom Datenschutzrecht aus. Hinter jeder IP-Adresse steht immer noch ein Mensch, und die Gesetze schützen diesen Menschen, nicht das Unternehmen. Was sich ändert, sind das Risikoniveau und die Frage, welche Rechtsgrundlage realistisch ist. Diese Einordnung richtig vorzunehmen, ist der Großteil der Arbeit.

DSGVO: die Frage der IP-Adresse

Die erste Frage der Rechtsabteilung wird sein, ob eine IP-Adresse als personenbezogenes Datum gilt. Die ehrliche Antwort lautet: „Oft ja, je nachdem, wer sie besitzt.“ Im Fall Breyer (Rechtssache C-582/14) entschied der Gerichtshof der EU, dass eine dynamische IP-Adresse für einen Website-Betreiber ein personenbezogenes Datum ist, wenn dieser Betreiber über rechtliche Mittel verfügt, den Besucher mithilfe zusätzlicher Informationen des Internetanbieters zu identifizieren. Der Fall wurde noch unter der alten Datenschutzrichtlinie entschieden, doch die DSGVO-Definition personenbezogener Daten in Artikel 4 Nr. 1 nennt ausdrücklich eine „Online-Kennung“ als etwas, das eine Person identifizierbar machen kann. Die Argumentation gilt also weiter.

Unsere Sicht: Planen Sie so, als wäre jede IP-Adresse, die Sie verarbeiten, ein personenbezogenes Datum. Das Gegenteil zu argumentieren, spart Ihnen sehr wenig und lässt Ihre Dokumentation gegenüber einer Aufsichtsbehörde ausweichend wirken.

Eine Rechtsgrundlage wählen

Art. 6 DSGVO nennt sechs Rechtsgrundlagen. Zwei sind für Website-Personalisierung relevant:

Zwei Details sind hier wichtig. Erstens verweist die Breyer-Pressemitteilung auch auf die Feststellung des Gerichts, dass ein Website-Betreiber ein berechtigtes Interesse an der Verarbeitung von Besucherdaten haben kann, sofern es gegen die Rechte des Besuchers abgewogen wird. Genau diese Abwägung muss Ihre LIA belegen. Zweitens: Ist Personalisierung Teil des Direktmarketings, haben Besucher nach Artikel 21 Abs. 2 und 3 ein uneingeschränktes Widerspruchsrecht – nach einem Widerspruch hören Sie auf. Bauen Sie das Opt-out vor dem Launch, nicht nach der ersten Beschwerde.

Was ein DSGVO-Fehler kosten kann

Nach Artikel 83 Abs. 5 können Verstöße gegen die Grundsätze der Verarbeitung, die Regeln zur Rechtsgrundlage in Artikel 6, die Bedingungen für die Einwilligung in Artikel 7 und die Betroffenenrechte in den Artikeln 12 bis 22 mit Geldbußen von bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das sind Höchstbeträge, keine typischen Bußgelder. Die realistischeren Kosten für ein B2B-Team im Mittelstand sind eine Anfrage der Aufsichtsbehörde, die Sie zwingt, die Personalisierung zu pausieren, während Sie Dokumente erstellen, die Sie bereits haben sollten.

ePrivacy: wo „cookielos“ missverstanden wird

Die ePrivacy-Richtlinie (2002/58/EG, Artikel 5 Abs. 3) ist die Regel hinter Cookie-Bannern. Sie verlangt eine Einwilligung, bevor Informationen auf dem Gerät eines Nutzers gespeichert oder dort abgerufen werden, es sei denn, Speicherung oder Zugriff sind für einen vom Nutzer gewünschten Dienst unbedingt erforderlich. Sie gilt neben der DSGVO, und es spielt für sie keine Rolle, ob die Informationen personenbezogen sind.

Im Vereinigten Königreich steht die entsprechende Regel in PECR. Die Leitlinien des ICO stellen klar, dass die Einwilligung aktiv und eindeutig erteilt werden muss und dass auch Cookies, die lediglich hilfreich oder praktisch sind, eine Einwilligung erfordern. Personalisierungs-Cookies fallen in diese Gruppe.

Hier kommt der Teil, den viele Anbieter-Blogs auslassen. Viel Personalisierungsmarketing sagt: „Serverseitig, ohne Cookies, also keine Einwilligung nötig.“ Das ist zu einfach. Die Leitlinien 2/2023 des EDSA zum technischen Anwendungsbereich von Artikel 5(3) (endgültige Fassung Oktober 2024) besagen, dass Tracking allein auf Basis von IP-Adressen unter Artikel 5(3) fallen kann und dass Sie es als erfasst behandeln müssen, sofern Sie nicht sicherstellen können, dass eine IP-Adresse nicht vom Gerät des Nutzers stammt. Dieselben Leitlinien besagen, dass Artikel 5(3) gilt, wenn clientseitiger Code den Browser anweist, Ihnen Kennungen zu senden.

Was das in der Praxis bedeutet:

• Ein einmaliger serverseitiger IP-Lookup, der eine Headline für den aktuellen Seitenaufruf auswählt, ist das Muster mit dem geringsten Risiko. Manche Juristen werden ihn trotzdem durch eine Einwilligung oder eine klare Prüfung von Ausnahmen gemäß den EDSA-Leitlinien abgesichert sehen wollen, fragen Sie also Ihre Rechtsberatung.
• Die IP-Adresse zu nutzen, um einem Besucher über Seiten oder Sitzungen hinweg zu folgen, ist Tracking, und nach Auffassung des EDSA erfordert es dieselbe Einwilligungsprüfung wie Cookies.
• Jedes JavaScript-Snippet, das im Browser Kennungen liest oder setzt (Cookies, Local Storage, Fingerprinting-Signale), braucht vor der Ausführung eine Einwilligung, sofern es nicht unbedingt erforderlich ist.

Ein Hinweis zum Zeitplan: Die geplante ePrivacy-Verordnung, die die Richtlinie ersetzen sollte, ist vom Tisch. Die Europäische Kommission kündigte in ihrem Arbeitsprogramm 2025 an, den Vorschlag zurückzuziehen, und die bestehende Richtlinie samt nationaler Umsetzungsgesetze bleibt in Kraft. Warten Sie nicht auf neue EU-Cookie-Regeln, bevor Sie die Einwilligung sauber einrichten.

CCPA/CPRA: Gilt das überhaupt für Sie?

Das kalifornische Gesetz gilt nur für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und mindestens einen Schwellenwert erfüllen. Laut der California Privacy Protection Agency sind das:

1. Bruttojahresumsatz von 26,625 Mio. $ oder mehr (der ab 1. Januar 2025 angepasste Wert).
2. Kauf, Verkauf oder Weitergabe personenbezogener Daten von 100.000 oder mehr Einwohnern oder Haushalten in Kalifornien.
3. 50 % oder mehr des Jahresumsatzes durch den Verkauf oder die Weitergabe personenbezogener Daten von Einwohnern Kaliforniens erzielen.

Für B2B-Teams ist entscheidend, dass die vorübergehende Ausnahme für geschäftliche Kontaktdaten und Mitarbeiterdaten am 1. Januar 2023 ausgelaufen ist. Ein Käufer, der Ihre Website von einem Firmenlaptop in Kalifornien aus besucht, gilt nach dem Gesetz als Verbraucher.

Wenn Sie in den Anwendungsbereich fallen, betreffen folgende Pflichten die Personalisierung:

• Legen Sie in Ihrer Datenschutzerklärung offen, dass Sie aus IP-Adressen abgeleitete Daten für Personalisierung erheben und welche Datenkategorien Sie nutzen.
• Erhalten Anreicherungs- oder Werbepartner Besucherdaten auf eine Weise, die als „Verkauf“ oder „Weitergabe“ gilt (Weitergabe umfasst kontextübergreifende verhaltensbasierte Werbung), bieten Sie einen Link „Do Not Sell or Share My Personal Information“ an und respektieren Sie Opt-outs.
• Beantworten Sie Auskunfts-, Lösch- und Berichtigungsanfragen laut CPPA-FAQ innerhalb von 45 Kalendertagen, verlängerbar um weitere 45 Tage, wenn Sie die Person benachrichtigen.

Die Strafen wurden zum 1. Januar 2025 an die Inflation angepasst: Bußgelder von bis zu 2.663 $ pro Verstoß und 7.988 $ pro vorsätzlichem Verstoß, laut der Mitteilung der CPPA. Andere US-Bundesstaaten haben eigene umfassende Datenschutzgesetze mit anderen Schwellenwerten; wenn Sie nennenswerten Traffic aus diesen Staaten haben, prüfen Sie diese daher separat, statt anzunehmen, dass die Analyse für Kalifornien Sie abdeckt.

Ein praxistaugliches Framework: drei Datenstufen

Am einfachsten wird das handhabbar, wenn Sie jeden Input, den Ihre Personalisierung nutzt, klassifizieren, bevor Sie etwas bauen.

Unsere Sicht: Starten Sie mit Tier 1. Um einem Logistikunternehmen Ihre Logistik-Fallstudie zu zeigen, müssen Sie nichts über die lesende Person wissen. Die meisten offensichtlichen Personalisierungserfolge (Branchen-Headline, relevante Belege, Preisschwerpunkt nach Unternehmensgröße) liegen in Tier 1. Tier 2 und 3 schaffen Mehrwert, bringen aber auch Abhängigkeiten von Einwilligungen und Papierkram mit sich; fügen Sie sie daher erst hinzu, wenn Tier 1 gemessen und stabil ist.

Schritt für Schritt: rechtskonform starten

1. Das Erlebnis entlang der Einwilligung aufteilen

Der häufige Fehler ist, jegliche Personalisierung zu blockieren, bis der Besucher auf „Akzeptieren“ klickt. Ein besserer Ansatz:

1. Vor der Einwilligung: nur Tier-1-Personalisierung auf Basis eines serverseitigen Lookups, ohne auf dem Gerät gespeicherte Kennungen. Keine Verhaltenshistorie.
2. Nach Einwilligung in Personalisierungs-Cookies: Beginnen Sie, wiederkehrende Besuche und Engagement zu erfassen, und nutzen Sie sie für Regeln der Stufe 2.
3. Nach einer Formularübermittlung: Verknüpfen Sie den Account mit CRM-Daten (Stufe 3), soweit Ihre Datenschutzerklärung und Ihre Rechtsgrundlage dies abdecken.

Testen Sie es auf die langweilige Art: Öffnen Sie die Website in einem frischen Browserprofil, lehnen Sie alles ab und prüfen Sie den Application-Tab in den DevTools. Es darf kein Personalisierungs-Cookie und kein Local-Storage-Schlüssel erscheinen. Akzeptieren Sie dann und prüfen Sie erneut.

2. Einwilligungskategorien an die Realität anpassen

Ein Besucher, der „Analytics“ zustimmt, hat nicht in „Personalisierung“ eingewilligt. Wenn Ihr Consent-Tool granulare Kategorien hat, fügen Sie eine Kategorie für Personalisierung hinzu (oder ordnen Sie Personalisierung einer bestehenden Kategorie wie „Funktional“ oder „Marketing“ zu, die sie zutreffend beschreibt) und stellen Sie sicher, dass das Personalisierungsskript genau auf diese Kategorie reagiert.

3. Jeden Anbieter im Datenfluss prüfen

Notieren Sie für jeden Anbieter, der mit Besucherdaten in Berührung kommt (IP-Anreicherung, Analytics, CDP, CRM, Consent-Tool):

• Welche Daten sie von Ihrer Website erhalten und was sie zurücksenden.
• Wo sie die Daten speichern und verarbeiten und welcher Übermittlungsmechanismus eine Übermittlung außerhalb des EWR abdeckt.
• Ob sie Ihre Besucherdaten für eigene Produkte nutzen. Wenn ja, handeln sie womöglich als Verantwortliche statt als Auftragsverarbeiter, was Ihre Verträge und Ihre Datenschutzerklärung verändert.
• Ob ein Auftragsverarbeitungsvertrag unterzeichnet ist und wo er abgelegt ist.

Der Vertrag deckt nur die Hälfte ab; die andere Hälfte ist, wie jeder Anbieter die Daten tatsächlich schützt. Hat Ihr Team keine eigene Security-Expertise, können externe Cybersecurity-Dienstleister die Zugriffskontrollen und die Datenspeicherung der Anbieter vor der Unterschrift prüfen.

Beispiel dafür, was dieses Audit typischerweise aufdeckt (fiktiv): ein Analytics-Tool, dessen Bedingungen es erlauben, Kundendaten für den Aufbau eigener Zielgruppenprodukte zu nutzen. Das ist kein Auftragsverarbeitungsverhältnis, und Sie verhandeln entweder neu, legen es ordnungsgemäß offen oder wechseln zu einem Tool, das in der Rolle des Auftragsverarbeiters bleibt, etwa ein Personalisierungs-Analytics-Setup, das Daten nur auf Ihre Weisung verarbeitet.

4. Die drei Dokumente schreiben

• Abschnitt in der Datenschutzerklärung. Was Sie erheben (aus der IP abgeleitete Unternehmensdaten, Verhaltensdaten mit Einwilligung), wozu (um relevante Inhalte zu zeigen), Rechtsgrundlage, Speicherdauer, Anbieter und wie man widersprechen kann.
• Interessenabwägung (Legitimate Interest Assessment). Zweckprüfung (relevante Inhalte für geschäftliche Besucher), Erforderlichkeitsprüfung (warum Daten auf Unternehmensebene genügen und Sie nicht mehr brauchen), Abwägung (keine sensiblen Daten, Ausgabe auf Unternehmensebene, einfacher Widerspruch, kurze Speicherdauer).
• Cookie-Richtlinie. Jedes Cookie und jeder Speicherschlüssel, den das Personalisierungssystem setzt, mit Zweck, Laufzeit und Kategorie.

5. Aufbewahrungsfristen festlegen, die Sie durchsetzen können

Der Grundsatz der Speicherbegrenzung der DSGVO in Artikel 5(1)(e) bedeutet, personenbezogene Daten nicht länger aufzubewahren, als der Zweck es erfordert. Das Gesetz nennt keine Zahl, also wählen Sie eine und begründen Sie sie. Beispiel: Verhaltensdaten für 90 Tage, angereicherte Account-Daten für 12 Monate, um einen typischen B2B-Vertriebszyklus abzudecken. Was auch immer Sie wählen: Konfigurieren Sie es in den Tools, damit die Löschung automatisch erfolgt.

6. Eine Betroffenenanfrage durchspielen

Nach Artikel 12 Absatz 3 müssen Sie Auskunfts-, Lösch- und Widerspruchsanfragen unverzüglich und innerhalb eines Monats beantworten, bei Bedarf um zwei weitere Monate verlängerbar. Kalifornien gewährt 45 Tage. Führen Sie vor dem Start eine Testanfrage durch: Wählen Sie eine Kollegin, die die Website besucht hat, und versuchen Sie, alles zu finden, zu exportieren und zu löschen, was Ihr Stack über sie speichert. Wenn Ihr Tool zur Besucheridentifizierung das nicht pro IP-Adresse oder pro Kontakt kann, haben Sie ein Problem, das Sie vor dem Livegang lösen müssen.

Häufige Compliance-Fehler

Unternehmensdaten als „anonym“ bezeichnen

Ein Unternehmen zu identifizieren, ist nicht dasselbe wie anonyme Daten zu verarbeiten. Die für den Lookup verwendete IP-Adresse ist in den meisten realistischen Szenarien ein personenbezogenes Datum. Halten Sie das in Ihrer Dokumentation fest, stützen Sie sich auf eine dokumentierte Rechtsgrundlage und machen Sie weiter.

Annehmen, dass „serverseitig“ „ohne Einwilligung“ bedeutet

Wie oben beschrieben, legt der EDSA Artikel 5 Abs. 3 so weit aus, dass er IP-basiertes Tracking und die clientseitige Erfassung von Kennungen umfasst. Serverseitige Unternehmensabfragen pro Anfrage sind das risikoärmste Design, aber sie sind eine Designentscheidung, die Sie mit Ihrer Rechtsberatung besprechen sollten, keine automatische Ausnahme.

Kein Weg zum Widerspruch

Wenn Ihre Rechtsgrundlage das berechtigte Interesse ist, kann der Besucher widersprechen. Ein Link in der Datenschutzerklärung, der zu einem unbeobachteten E-Mail-Postfach führt, zählt nicht. Geben Sie ihm eine Einstellung, mit der er die Personalisierung abschalten kann, und respektieren Sie sie in der Personalisierungs-Engine.

Third-Party-Intent-Daten einspeisen, ohne die Herkunft zu prüfen

Third-Party-Intent-Daten beruhen oft auf websiteübergreifendem Surfverhalten. Kann der Anbieter nicht zeigen, wie für diese Erhebung eine Einwilligung oder eine andere Rechtsgrundlage eingeholt wurde, übernehmen Sie diese Schwäche, sobald Sie die Daten nutzen. Fordern Sie vor der Unterschrift die Dokumentation zur Datenherkunft an und bevorzugen Sie First-Party-Verhaltenssignale. Die Abwägungen behandeln wir ausführlicher in unserem Leitfaden zu Intent-Daten für B2B-Website-Personalisierung.

Unbegrenzte Aufbewahrung

Personalisierungs-Tools speichern standardmäßig oft alles. Prüfen Sie die Aufbewahrungseinstellung jedes Tools im Stack, nicht nur die der Haupt-Personalisierungsplattform.

Checkliste vor dem Start

1. Dateninventur abgeschlossen, jeder Input als Stufe 1, 2 oder 3 eingeordnet.
2. Rechtsgrundlage pro Stufe dokumentiert, mit einer Interessenabwägung (LIA) für Stufe 1.
3. ePrivacy-Prüfung des IP-Lookups und aller clientseitigen Skripte durch die Rechtsberatung.
4. Das Consent-Banner hat eine Kategorie, die Personalisierung abdeckt, und ein Test in einem sauberen Browser bestätigt, dass vor der Einwilligung nichts gespeichert wird.
5. Auftragsverarbeitungsverträge mit allen Anbietern unterzeichnet; Speicherorte und Übermittlungsmechanismen dokumentiert.
6. Datenschutzerklärung und Cookie-Richtlinie aktualisiert.
7. Widerspruchs- und Opt-out-Weg funktioniert und wird von der Personalisierungs-Engine respektiert.
8. Aufbewahrungsfristen in jedem Tool konfiguriert.
9. Test-Betroffenenanfrage innerhalb der Fristen von DSGVO und CCPA abgeschlossen.
10. CCPA-Anwendungsbereich anhand der drei Schwellenwerte geprüft und weitere US-Bundesstaatengesetze erfasst, falls Sie dort Traffic haben.

Warum Datenschutzvorgaben zu besserer Personalisierung führen

Das ist der Meinungsteil, und manche Teams werden widersprechen. Die Arbeit innerhalb der Datenschutzregeln lenkt Sie hin zu der Art von Personalisierung, die ohnehin tendenziell funktioniert.

Segmente auf Unternehmensebene erreichen jeden Besucher, auch die, die Cookies ablehnen, sodass Ihr erster Test nicht auf die Teilmenge beschränkt ist, die „Akzeptieren“ geklickt hat. Für wenige, breitere Segmente (zum Beispiel fünf oder sechs nach Branche und Unternehmensgröße) lassen sich leichter gute Inhalte schreiben als für Dutzende Mikrosegmente aus Surfmustern, und jedes Segment bekommt genug Traffic, um es zu messen. Und wenn Sie sich nicht auf Third-Party-Daten stützen können, investieren Sie in eine First-Party-Datenstrategie, die darauf aufbaut, wie Menschen Ihre eigene Website tatsächlich nutzen, denn genau diese Daten spiegeln ihr Interesse speziell an Ihnen wider.

Wenn Sie einen Ausgangspunkt für diese Segmente suchen, zeigt unser Beitrag zu firmografischen Segmenten, die konvertieren, wie Sie sie auswählen, und wie die Besuchererkennung auf Unternehmensebene funktioniert erklärt, was der IP-Lookup verraten kann und was nicht.

Starten, ohne in der rechtlichen Prüfung festzustecken

Das realistische Risiko für die meisten B2B-Teams ist kein Bußgeld, sondern monatelanges Hin und Her, weil niemand der Rechtsabteilung ein konkretes Konzept zur Prüfung vorgelegt hat. Legen Sie eines vor:

1. Ein einseitiges Datenflussdiagramm, das den IP-Lookup zeigt, was zurückkommt und was gespeichert wird.
2. Die Stufentabelle oben, ausgefüllt für Ihren Stack.
3. Ein Entwurf der Interessenabwägung (LIA) und des Abschnitts in der Datenschutzerklärung.
4. Die Ergebnisse des Einwilligungstests im sauberen Browser.

Starten Sie dann Tier 1 auf einigen Seiten mit viel Traffic, messen Sie 30 Tage lang und ergänzen Sie Tier 2, sobald die Einwilligung funktioniert und die Zahlen es rechtfertigen.

Markettailor passt zu dieser Reihenfolge: Die firmografische Segmentierung arbeitet mit Daten auf Unternehmensebene, sodass Sie mit Tier-1-Regeln starten können, während die Arbeit an der Einwilligung abgeschlossen wird. Wenn Sie Pläne vergleichen wollen, bevor Sie mit der Rechtsabteilung sprechen, sehen Sie sich die Preise von Markettailor an.