Website-Besucher identifizieren: was in Europa erlaubt ist (2026)

Ja, die Identifizierung von Unternehmen, die Ihre Website besuchen, kann in Europa zulässig sein, aber das EU-Recht behandelt sie als Tracking. Der Europäische Datenschutzausschuss (EDSA) legt die Einwilligungsregel der ePrivacy-Richtlinie (Art. 5 Abs. 3) so aus, dass sie nicht nur Cookies erfasst, sondern auch Tracking-Skripte und Pixel, und der Gerichtshof der Europäischen Union (EuGH) hat entschieden, dass IP-Adressen personenbezogene Daten sein können (Breyer, C-582/14). Die von uns geprüften Tools auf Personenebene benennen bei europäischem Traffic keine Einzelpersonen: RB2B schreibt „Person-Level ID is US-only“, und Warmly nennt „no personal-level anonymization in Europe“. Tools auf Firmenebene wie Albacross, Leadfeeder (ehemals Dealfront), Leadinfo und Snitcher hosten die Daten in der EU und haben kostenlose Pläne oder Einstiegspreise unter 70 € pro Monat bei jährlicher Abrechnung, dokumentieren die Einwilligung aber sehr unterschiedlich.

Geprüft am 15. Oktober 2026 anhand der Rechtsquellen und der Seiten der einzelnen Anbieter. Dies ist keine Rechtsberatung. Revexa entwickelt Leo, einen Kaufsignal-Agenten, der Unternehmen über öffentliche Signale wie Stellenausschreibungen, Finanzierungsrunden und neue Führungskräfte erreicht, statt Besucher zu tracken. Leo identifiziert keine Website-Besucher, ist also das falsche Tool, wenn Sie genau das brauchen, und taucht im Vergleich unten nicht auf.

Firmen- oder Personenebene: So funktioniert die Identifizierung

Firmenebene (Reverse-IP). Das JavaScript des Anbieters sendet die IP-Adresse und die Seitendaten jedes Besuchers an den Anbieter, der die IP in einer Datenbank nachschlägt, die IP-Adressen Unternehmen zuordnet; die meisten Tracker setzen zusätzlich ein First-Party-Cookie, um wiederkehrende Besuche zu erkennen. Der Tracker von Leadfeeder „captures visitor IP addresses, domains, and location data, then matches them against our proprietary IP-to-company databases“ (erfasst IP-Adressen, Domains und Standortdaten der Besucher und gleicht sie mit eigenen IP-zu-Firma-Datenbanken ab) (Leadfeeder-Hilfe). Remote-Mitarbeitende lassen sich schwerer zuordnen, da sie „usually use dynamic IP addresses that change ownership frequently“ (meist dynamische IP-Adressen nutzen, die häufig den Inhaber wechseln) (Leadfeeder).

Die Zahlen zur Abdeckung stammen von den Anbietern selbst: Leadinfo identifiziert Unternehmen für „typically around 30% of your total traffic“ (in der Regel rund 30 % Ihres gesamten Traffics) (Preise), und Warmly nennt eine „Company identification rate around 60%“ (Identifizierungsrate für Unternehmen von rund 60 %) (Hilfe). Einen unabhängigen Benchmark haben wir nicht gefunden.

Personenebene (Identitätsgraphen). Diese Tools ordnen den Browser einer Identität zu, die an anderer Stelle erfasst wurde. RB2B gleicht Besucher „against a fully-permissioned publisher network using a combination of 1st and 3rd party cookies, device IDs and IP addresses“ ab (mit einem Publisher-Netzwerk, für das alle Berechtigungen vorliegen, über eine Kombination aus First- und Third-Party-Cookies, Geräte-IDs und IP-Adressen) (RB2B-FAQ); Warmly prüft „Cookies, Fingerprinting or the IP Address of the visitor“. Beide nehmen Europa davon aus: Die Personen-ID von RB2B „will not identify individuals located outside the US (for GDPR and CCPA compliance)“ (identifiziert keine Personen außerhalb der USA, wegen DSGVO und CCPA), und Warmly bietet sie dort nicht an.

Die geltenden EU-Regeln

1. IP-Adressen können personenbezogene Daten sein

Im Fall Breyer (C-582/14, 2016), der noch nach der Vorgängerregelung der Datenschutz-Grundverordnung (DSGVO) entschieden wurde, stellte der EuGH fest, dass eine dynamische IP-Adresse, die ein Websitebetreiber speichert, „ein personenbezogenes Datum“ darstellt, wenn der Betreiber „über rechtliche Mittel verfügt“, die Person mithilfe der Zusatzinformationen des Internetzugangsanbieters bestimmen zu lassen (Urteil). Auch ein Treffer auf Firmenebene kann eine Person identifizieren, „for instance when it comes to sole traders“ (etwa bei Einzelunternehmern), wie Albacross anmerkt (Datenschutzerklärung).

2. Das Skript braucht eine Einwilligung, bevor es läuft

Art. 5 Abs. 3 der ePrivacy-Richtlinie erlaubt die Speicherung von Informationen im Endgerät eines Nutzers oder den Zugriff darauf nur mit Einwilligung, es sei denn, dies ist für die Übertragung einer Nachricht nötig oder „unbedingt erforderlich“ für einen Dienst, der vom Nutzer „ausdrücklich gewünscht“ wurde (Richtlinie 2002/58/EG). Im Fall Planet49 (C-673/17, 2019) entschied der EuGH, dass dies unabhängig davon gilt, ob es sich bei den Informationen um personenbezogene Daten handelt (Urteil).

Die Leitlinien 2/2023 des EDSA (Version 2.0, angenommen am 7. Oktober 2024) wenden die Regel über Cookies hinaus an (EDSA). JavaScript, mit dem die zugreifende Stelle „den Browser des Nutzers anweist, asynchrone Anfragen mit den gewünschten Informationen zu senden“, fällt „eindeutig“ darunter, ebenso das Erfassen von Kennungen über Tracking-Pixel. Zum Tracking allein über die IP-Adresse: „Solange die Stelle nicht sicher ausschließen kann, dass die IP-Adresse vom Endgerät eines Nutzers oder Teilnehmers stammt, muss sie alle Maßnahmen gemäß Artikel 5 Absatz 3 ePrivacy-RL ergreifen.“ Der EDSA ergänzt, dass dies „nicht systematisch bedeutet, dass eine Einwilligung eingeholt werden muss“, weil es Ausnahmen gibt. Nach unserer Lesart ist die Identifizierung des Arbeitgebers eines Besuchers für den Vertrieb nicht unbedingt erforderlich für einen Dienst, den der Besucher angefordert hat; sicher ist daher, zuerst die Einwilligung einzuholen.

3. Das Nachfassen stützt sich auf das berechtigte Interesse, in Grenzen

Wer jemanden bei einem identifizierten Unternehmen kontaktiert, verarbeitet dessen personenbezogene Daten, und B2B-Akquise kann sich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen. Ein wirtschaftliches Interesse kann genügen, doch die Verarbeitung muss dafür „absolut notwendig“ sein, und die Rechte der Person dürfen nicht überwiegen (EuGH, C-621/22, 4. Oktober 2024) (Urteil). Der Entwurf der EDSA-Leitlinien 1/2024 nennt zwei Grenzen: Dient das Tracking der Direktwerbung, werde die Einwilligung „voraussichtlich die geeignete Rechtsgrundlage“ sein, womit ein Rückgriff auf Art. 6 Abs. 1 lit. f „in der Regel ausgeschlossen“ sei; und die Interessenabwägung werde „kaum“ positiv ausfallen, wenn es um das „Tracking von Personen über mehrere Websites, Standorte, Geräte oder Dienste hinweg“ geht (EDSA).

Außerdem müssen Sie spätestens beim ersten Kontakt mitteilen, woher Sie die Daten haben (Art. 14 Abs. 3 lit. b DSGVO), und aufhören, sobald die Person widerspricht (Art. 21 Abs. 3 DSGVO). Das nationale Werberecht kommt hinzu: In Deutschland verlangt UWG §7 für E-Mail-Werbung eine vorherige ausdrückliche Einwilligung, auch im B2B-Bereich (unser Leitfaden). Unser Leitfaden zu DSGVO und B2B-E-Mails erklärt die Interessenabwägung Schritt für Schritt.

4. Was sich ändern könnte

Der Vorschlag der Kommission für den Digital-Omnibus (COM(2025) 837) würde die Regel als Art. 88a in die DSGVO überführen und die Reichweitenmessung freistellen, wenn sie „von dem für diesen Online-Dienst Verantwortlichen ausschließlich für seine eigene Nutzung durchgeführt wird“ (Vorschlag). Am 15. Oktober 2026 stand er im Parlament noch auf „Awaiting committee decision“ (Beschluss des Ausschusses steht aus) (Legislative Observatory). Nach unserer Lesart deckt keine der vorgeschlagenen Ausnahmen die Identifizierung von Besuchern für den Vertrieb ab.

Nationale Regeln: Deutschland und Schweden

Deutschland. § 25 TDDDG (bis zum 14. Mai 2024 TTDSG) erlaubt die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder den Zugriff darauf nur mit einer Einwilligung nach der DSGVO, ausgenommen die Übertragung einer Nachricht oder was unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann (TDDDG §25). Die Orientierungshilfe der deutschen Aufsichtsbehörden (DSK, Version 1.2, November 2024) ergänzt, dass die Einwilligung auch ohne Personenbezug der Informationen erforderlich ist und eingeholt werden muss, bevor einwilligungsbedürftige Cookies gesetzt werden (DSK).

Schweden. Kapitel 9 § 28 des Gesetzes über elektronische Kommunikation (LEK, SFS 2022:482) erlaubt das Speichern von Daten im Endgerät eines Nutzers oder das Auslesen daraus nur, wenn der Nutzer über den Zweck informiert wird und einwilligt, mit denselben zwei Ausnahmen (LEK). Die Aufsichtsbehörde PTS versteht die Vorschrift so, dass sie auch andere Techniken als Cookies erfasst (PTS). Laut IMY beaufsichtigt allein die PTS die Cookie-Regeln des LEK, während die anschließende Verarbeitung personenbezogener Daten, etwa Analyse oder Profiling, unter die DSGVO und die IMY fällt (IMY).

Beispiele aus der Aufsichtspraxis

• Frankreich, 150 Millionen € (2025). Die CNIL verhängte am 1. September 2025 ein Bußgeld gegen SHEIN (Infinite Styles Services Co. Limited). Werbe-Cookies wurden bei Besuchern gesetzt, „sobald sie auf der Website ankamen“, und ein Klick auf „Alle ablehnen“ verhinderte keine neuen Cookies (EDSA-Zusammenfassung der CNIL-Entscheidung).
• Schweden, Verwarnungen (2025). Am 30. April 2025 sprach die IMY gegen drei schwedische Unternehmen Verwarnungen wegen ihrer Cookie-Banner aus: gegen ATG unter anderem wegen irreführender Gestaltung und gegen Aller Media, weil sich das Unternehmen auf berechtigtes Interesse berief, ohne es zu begründen oder eine Interessenabwägung nachzuweisen (IMY).

Was die einzelnen Anbieter zu Europa sagen

In alphabetischer Reihenfolge.

Albacross (Stockholm) identifiziert Unternehmen und verkauft Guthaben für verifizierte E-Mail-Adressen und Telefonnummern; als Partner für Kontaktdaten nennt der Anbieter Cognism. Sein Hilfebereich ist am deutlichsten: „you must obtain valid consent and inform your visitors on your website“ (Sie müssen eine gültige Einwilligung einholen und Ihre Besucher auf Ihrer Website informieren), und zwar über das Skript (DSGVO-FAQ, Checkliste). Zu den verarbeiteten Daten gehört ein „Fingerprint hash“, und sobald Albacross die Daten Ihrer Besucher in die eigene Datenbank übernimmt, gilt: „We then become data controllers“ (dann werden wir zu Verantwortlichen).

Leadfeeder (ehemals Dealfront) identifiziert Unternehmen und verkauft ab dem Activate-Plan Kontaktdaten. Dealfront wurde am 24. März 2026 zu Leadfeeder (FAQ). Der Anbieter schreibt „Yes, Leadfeeder is GDPR compliant“ (Ja, Leadfeeder ist DSGVO-konform) (Leadfeeder), hostet die Daten bei AWS in Irland und schließt den Auftragsverarbeitungsvertrag (AVV) automatisch ab (DSGVO-Seite). Sein Einwilligungsmodus verzögert nur das Cookie: „If the visitor does not grant consent, the tracker will still work and identify companies on your website!“ (Wenn der Besucher nicht einwilligt, funktioniert der Tracker trotzdem und identifiziert Unternehmen auf Ihrer Website!) Leadfeeder rät davon ab, den gesamten Tracker zu blockieren, weil Sie dann weniger Unternehmen sähen (Hilfe); nach der Lesart des EDSA ist das Blockieren die vorsichtige Lösung. Der kostenlose Lite-Plan zeigt die letzten 100 Unternehmen pro Monat (Preise).

Leadinfo (Niederlande) identifiziert Unternehmen und bietet eine „Database with +300M decision makers“ (Datenbank mit über 300 Mio. Entscheidern). Der Anbieter behandelt die IP-Adresse als personenbezogenes Datum, hostet bei AWS in Irland, bietet „a cookie-free tracking option“ (eine cookiefreie Tracking-Option) und überlässt Ihnen die Rechtsgrundlage, rät aber: „We also recommend obtaining consent from your website visitors before activating the Leadinfo tracking code“ (Wir empfehlen außerdem, die Einwilligung Ihrer Website-Besucher einzuholen, bevor Sie den Tracking-Code von Leadinfo aktivieren) (DSGVO-Seite).

RB2B benennt Personen in den USA und Unternehmen weltweit über Demandbase. Auf der Startseite heißt es „Person-Level ID is US-only, GDPR doesn't apply“ (Identifizierung auf Personenebene nur in den USA, die DSGVO gilt nicht) (RB2B), und zur weltweiten Identifizierung auf Firmenebene sagt die DSGVO-Seite: „you MUST use a Consent Management Solution“ (Sie MÜSSEN eine Consent-Management-Lösung verwenden) (DSGVO-Seite); der Hilfebereich rät, das Snippet dort, wo es vorgeschrieben ist, erst nach der Einwilligung zu laden (Hilfe). Zwei Vorbehalte: Auf die Frage, ob RB2B EU-IP-Adressen erfasst, „to know when to fire your script“ (um zu wissen, wann Ihr Skript ausgelöst werden soll), nennt der Anbieter diese Erfassung „incidental“ (beiläufig); und die DSGVO gilt für in der EU niedergelassene Verantwortliche, „unabhängig davon, ob die Verarbeitung in der Union stattfindet“ (Art. 3 Abs. 1 DSGVO).

Snitcher (Niederlande) identifiziert Unternehmen; individuelle Kontaktdaten gibt es nur auf Wunsch: „surface individual contact details only when you choose to reveal them“ (individuelle Kontaktdaten erst anzeigen, wenn Sie sie aufdecken möchten) (Preise). Snitcher stützt sich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO und hostet bei AWS in Frankfurt. Der Einwilligungsmodus verzögert die Cookies, nicht das Skript: Der Tracker „does not set any cookies or persistent browser storage until the visitor has given consent“ (setzt weder Cookies noch dauerhaften Browserspeicher, bis der Besucher eingewilligt hat), bis dahin gilt aber: „only keeps a temporary identifier in sessionStorage“ (hält nur eine temporäre Kennung im sessionStorage) (DSGVO-Hilfe).

Warmly benennt Personen außerhalb Europas und identifiziert in Europa Unternehmen. Kunden können „place both the JavaScript and cookie behind a cookie banner“ (sowohl das JavaScript als auch das Cookie hinter ein Cookie-Banner setzen) oder nur das Cookie, denn „The Warmly JavaScript allows for account identification without dropping a cookie“ (das JavaScript von Warmly ermöglicht die Identifizierung von Accounts, ohne ein Cookie zu setzen) (Compliance).

Vergleichstabelle

„Preis ab“ ist der niedrigste angegebene Preis für die kleinste Stufe am 15. Oktober 2026. Website-Besuche sind ein Kaufsignal unter mehreren: siehe unseren Vergleich von Kaufsignal-Tools und den Intent-Data-Leitfaden.

Checkliste für ein rechtskonformes Setup

1. Laden Sie das gesamte Skript erst nach der Einwilligung. Ordnen Sie den Tracker, nicht nur sein Cookie, in Ihrem Consent-Tool der Kategorie Statistik oder Marketing zu, und machen Sie das Ablehnen so einfach wie das Zustimmen. Rechnen Sie mit weniger identifizierten Unternehmen.
2. Bleiben Sie bei EU-Traffic auf Firmenebene. Schalten Sie für europäische Besucher keine Funktionen auf Personenebene ein, und behandeln Sie einen Treffer auf einen Einzelunternehmer als personenbezogenes Datum.
3. Schließen Sie den AVV ab und klären Sie, wer wofür verantwortlich ist. Leadfeeder, Leadinfo und Albacross sehen Sie als Verantwortlichen und sich selbst als Auftragsverarbeiter; Albacross und Leadinfo handeln zudem als Verantwortliche, wenn sie die Daten Ihrer Besucher weiterverwenden, nennen Sie sie also in Ihrer Datenschutzerklärung.
4. Aktualisieren Sie Datenschutzerklärung und Cookie-Liste. Nennen Sie Anbieter, Zweck, Daten (IP-Adresse, aufgerufene Seiten, Cookie-IDs), Laufzeit der Cookies und Zugriff durch Dritte. Albacross, Leadfeeder, Leadinfo und Snitcher veröffentlichen Musterformulierungen, und RB2B listet auf, was offengelegt werden muss.
5. Schreiben Sie identifizierten Personen keine E-Mails ohne Rechtsgrundlage. Dokumentieren Sie eine Interessenabwägung, nennen Sie spätestens beim ersten Kontakt die Herkunft der Daten, hören Sie bei Widerspruch auf und prüfen Sie die nationalen Regeln. Unser Rat: Sagen Sie einem Interessenten nicht, dass Sie seinen Besuch beobachtet haben, denn Sie wissen selten, wer es war.
6. Legen Sie Speicherfristen fest. Entscheiden Sie, wie lange Sie Besuchsdaten und Kontakte aufbewahren, die nie antworten, dokumentieren Sie das (Art. 5 Abs. 1 lit. e DSGVO) und nutzen Sie die Lösch- oder Anonymisierungseinstellungen des Tools, etwa die IP-Anonymisierung von Leadfeeder.

Häufig gestellte Fragen

Ist die Identifizierung von Website-Besuchern nach der DSGVO erlaubt?

Auf Firmenebene kann sie es sein, wenn das Skript erst nach der Einwilligung läuft, Sie die Besucher informieren und mit dem Anbieter einen AVV haben. Die Identifizierung auf Personenebene beruht auf websiteübergreifendem Tracking, das nach Ansicht des EDSA eine Abwägung auf Basis des berechtigten Interesses kaum bestehen würde, und RB2B und Warmly bieten sie in Europa nicht an.

Ist RB2B DSGVO-konform?

RB2B sagt, die Identifizierung auf Personenebene gebe es nur in den USA, deshalb gelte die DSGVO dafür nicht. Außerhalb der USA bietet RB2B nur die Identifizierung auf Firmenebene an und schreibt dafür ein Consent-Tool vor. Ist Ihr Unternehmen in der EU niedergelassen, gilt die DSGVO trotzdem für Ihre eigene Verarbeitung (Art. 3 Abs. 1).

Ist Leadfeeder (Dealfront) DSGVO-konform?

Leadfeeder sagt ja, hostet die Daten bei AWS in Irland und schließt den AVV automatisch ab. Den Rest entscheidet Ihr Setup: Der Einwilligungsmodus verzögert nur das Cookie, die vorsichtige Lösung blockiert daher den gesamten Tracker, bis der Besucher einwilligt.

Wie identifiziere ich in der EU Unternehmen, die meine Website besuchen?

Wählen Sie ein Tool auf Firmenebene, das die Daten in der EU hostet (Albacross, Leadfeeder, Leadinfo oder Snitcher), laden Sie sein Skript über Ihr Consent-Tool, schließen Sie den AVV ab und aktualisieren Sie Datenschutzerklärung und Cookie-Hinweise. Fassen Sie nur mit einer dokumentierten Rechtsgrundlage nach, und testen Sie die Abdeckung zuerst mit einem kostenlosen Plan oder einer Testphase.