Interessenabwägung für Besucheridentifikation: Checkliste

Eine Interessenabwägung für Besucheridentifikation prüft in drei Schritten, ob Ihr berechtigtes Interesse die Interessen der Besucher überwiegt: Zweck benennen, Erforderlichkeit begründen, Gegeninteressen gewichten. Halten Sie das Ergebnis schriftlich fest. Dieser Beitrag liefert eine Checkliste, keine Rechtsberatung.

Wofür die Abwägung gebraucht wird

Art. 6 Abs. 1 lit. f DSGVO erlaubt die Verarbeitung, wenn sie zur Wahrung berechtigter Interessen erforderlich ist und nicht die Interessen oder Grundrechte der betroffenen Personen überwiegen. Die Rechenschaftspflicht aus Art. 5 Abs. 2 verlangt, dass Sie die Einhaltung nachweisen können. Der Europäische Datenschutzausschuss beschreibt die Prüfung in seinen Leitlinien 1/2024. Wie sich das in das Gesamtbild einfügt, steht in Besucheridentifizierung nach DSGVO.

Kernaussage: Eine Abwägung, die nur im Kopf existiert, schützt nicht. Dokumentieren Sie Datum, Verantwortliche und Begründung.

Schritt 1: Berechtigtes Interesse benennen

Beschreiben Sie konkret, was Sie erreichen wollen und warum das legitim ist. Vage Aussagen wie „Marketing optimieren" tragen nicht. Besser ist etwa: „Wir wollen Unternehmen erkennen, die sich für unsere B2B-Software interessieren, um relevante Ansprache zu priorisieren und Vertriebsressourcen zu steuern."

Fragen dazu:

• Ist der Zweck rechtmäßig und klar formuliert?
• Ist er tatsächlich vorhanden und nicht nur hypothetisch?
• Handelt es sich um B2B-Kontext, in dem Besucher geschäftliche Ansprache erwarten können?

Schritt 2: Erforderlichkeit prüfen

Fragen Sie, ob es ein milderes, gleich wirksames Mittel gibt.

Alternative	Reicht sie?	Bewertung
Nur aggregierte Analytics	Nein, keine Konten-Zuordnung	Milder, aber erfüllt Zweck nicht
Firmenebene statt Personenebene	Ja, für den Zweck	Mildere Variante, bevorzugen
Formularabfrage statt Erkennung	Nur für aktive Interessenten	Ergänzend, nicht ersetzend
Personenprofile aus Datenpools	Überschießend	Nicht erforderlich, riskant

Die Firmenebene ist hier Ihr stärkstes Argument. Ein Anbieter, der Personenebene für EU-Besucher gar nicht erst anbietet, erleichtert die Begründung. BusinessMCP beschreibt auf seiner Seite Visitor Identification und GDPR genau diese Beschränkung auf US-Traffic; ob das für Ihren Fall genügt, ist Ihre Prüfung.

Schritt 3: Gegeninteressen gewichten

Jetzt die schwierigste Frage: Was spricht aus Sicht der Besucher dagegen?

1. Vernünftige Erwartungen: Rechnet ein Fachbesucher einer B2B-Seite damit, dass die Firma erkannt wird?
2. Art der Daten: IP-Adresse, Firma, Seitenverlauf. Keine besonderen Kategorien.
3. Umfang und Dauer: Wie lange wird gespeichert, wer hat Zugriff?
4. Folgen für Betroffene: Entstehen Nachteile? Werden Einzelpersonen angeschrieben?
5. Schutzmaßnahmen: Kürzung, Löschfristen, Zugriffsbeschränkung, Widerspruch.

Je mehr Schutzmaßnahmen, desto eher fällt die Abwägung zu Ihren Gunsten aus. Beachten Sie auch die Besonderheit aus Ist die IP-Adresse ein personenbezogenes Datum?: Bei Einzelunternehmern ist der Personenbezug stärker.

Die Checkliste zum Abhaken

Vorbereitung

• [ ] Zweck in einem Satz formuliert
• [ ] Verarbeitete Daten aufgelistet (IP, Firma, Seitenverlauf, Zeitpunkt)
• [ ] Datenfluss und Empfänger dokumentiert
• [ ] Ebene festgelegt: Firma, keine Personenebene bei EU-Besuchern

Prüfung

• [ ] Berechtigtes Interesse beschrieben
• [ ] Erforderlichkeit begründet, mildere Mittel geprüft
• [ ] Gegeninteressen bewertet
• [ ] Schutzmaßnahmen festgelegt

Umsetzung

• [ ] Datenschutzerklärung angepasst
• [ ] AVV abgeschlossen, siehe AVV für Tracking-Tools
• [ ] Widerspruch technisch umgesetzt
• [ ] Löschfristen eingestellt
• [ ] Verarbeitungsverzeichnis ergänzt

Pflege

• [ ] Überprüfung terminiert, mindestens jährlich
• [ ] Verantwortliche benannt
• [ ] Ergebnis abgelegt mit Datum

Muster-Gliederung für Ihr Dokument

Ein tragfähiges Dokument braucht keine Dutzend Seiten. Diese Gliederung hat sich bewährt:

1. Beschreibung der Verarbeitung (Was, wozu, welche Daten, welcher Anbieter)
2. Berechtigtes Interesse
3. Erforderlichkeit und mildere Mittel
4. Interessen der Betroffenen und Gewichtung
5. Schutzmaßnahmen
6. Ergebnis und Entscheidung mit Datum und Unterschrift
7. Wiedervorlage

Grenzen der Abwägung

Die Abwägung ist kein Freibrief. Sie wird hinfällig, wenn sich die Verarbeitung ändert: Neue Datenquellen, Personenebene, Weitergabe an Dritte, längere Speicherung. Prüfen Sie bei jeder Änderung neu. Auch wenn die Abwägung zu Ihren Gunsten ausfällt, bleiben der Endgerätezugriff nach § 25 TDDDG und der Widerspruch nach Art. 21 DSGVO eigene Themen, mehr dazu in Cookieless Tracking und DSGVO.

Ziehen Sie bei Zweifeln die Datenschutzbeauftragte oder einen Fachanwalt hinzu. Wer einen Anbieter bewertet, kann dessen Produktdokumentation, etwa die Seite Website Visitor Identification, als Informationsquelle für den Datenfluss nutzen; verlassen Sie sich aber nicht allein darauf.

Ein durchgespieltes Beispiel

Damit die Schritte greifbar werden, hier ein fiktives, vereinfachtes Beispiel. Es ist keine Vorlage zum Kopieren, sondern zeigt die Denkweise.

Verarbeitung: Ein Maschinenbau-Zulieferer wertet Zugriffe auf seine Website aus. Die IP-Adresse eines Abrufs wird serverseitig einem Unternehmen zugeordnet. Gespeichert werden Firmenname, Branche, Größe, besuchte Seiten und Zeitpunkt. Die Rohadresse wird nach der Zuordnung gelöscht. Personenebene wird nicht genutzt.

Interesse: Das Unternehmen will erkennen, welche Branchenfirmen sich für seine Leistungen interessieren, um den Vertrieb gezielt auszurichten.

Erforderlichkeit: Aggregierte Statistik zeigt keine Konten. Formulare erfassen nur aktive Anfragen. Die Firmenerkennung ist das mildeste Mittel, das den Zweck erreicht.

Gegeninteressen: Besucher sind überwiegend Fachleute im geschäftlichen Kontext. Es werden keine besonderen Datenkategorien verarbeitet. Einzelunternehmer könnten stärker betroffen sein; deshalb werden Treffer ohne Firmenbezug (Provider, Privatanschlüsse) verworfen.

Schutzmaßnahmen: Kurze Aufbewahrung der Rohadresse, Zugriffsbeschränkung, Widerspruch über einen Link in der Datenschutzerklärung, jährliche Überprüfung.

Ergebnis: Die Interessen des Unternehmens überwiegen unter diesen Bedingungen. Entscheidung mit Datum und Verantwortlicher abgelegt.

Ob eine Aufsichtsbehörde das im Einzelfall genauso sehen würde, kann niemand garantieren. Das Beispiel zeigt aber, wie konkret die Begründung sein sollte. Die technischen Hintergründe zum Personenbezug stehen im Beitrag Ist die IP-Adresse ein personenbezogenes Datum?.

Typische Schwachstellen in Abwägungsdokumenten

Schwachstelle	Warum sie problematisch ist	Besser
Zweck zu vage	Nicht überprüfbar	Konkreten Nutzen und Zielgruppe nennen
Mildere Mittel nicht erwogen	Erforderlichkeit nicht belegt	Alternativen auflisten und bewerten
Gegeninteressen fehlen	Einseitige Begründung	Erwartungen und Folgen der Besucher benennen
Keine Schutzmaßnahmen	Gewichtung kippt	Löschfristen, Zugriff, Widerspruch ergänzen
Kein Datum, keine Verantwortlichen	Nicht nachweisbar	Unterschrift und Wiedervorlage
Nie aktualisiert	Veraltet bei Änderungen	Jährlich und bei Änderungen prüfen

Zusammenspiel mit anderen Pflichten

Die Abwägung ist ein Baustein. Daneben stehen die Information der Besucher, der Widerspruch nach Art. 21 und der Vertrag mit dem Anbieter, siehe AVV für Tracking-Tools. Wer im Anbietervergleich Datenschutzangaben prüft, kann Anbieterdokumente wie die DPA-Seite von BusinessMCP als Beispiel dafür heranziehen, welche Unterlagen ein Anbieter bereitstellt. Ob sie Ihren Anforderungen genügen, bleibt Ihre Prüfung.

Zuletzt: Verwechseln Sie die Abwägung nicht mit einer Einwilligung. Sie begründet nur die Verarbeitung auf Basis berechtigter Interessen. Sobald Sie etwas im Endgerät speichern, bleibt § 25 TDDDG gesondert zu beachten, wie im Beitrag Cookieless Tracking und DSGVO beschrieben.