Websitebezoekers identificeren: wat is legaal in Europa? (2026)

Ja, bedrijven identificeren die je website bezoeken kan in Europa legaal zijn, maar het EU-recht behandelt het als tracking. Het Europees Comité voor gegevensbescherming (EDPB) leest de toestemmingsregel van de ePrivacy-richtlijn (artikel 5, lid 3) zo dat die niet alleen cookies omvat, maar ook trackingscripts en pixels, en het Hof van Justitie van de EU heeft geoordeeld dat IP-adressen persoonsgegevens kunnen zijn (Breyer, C-582/14). De tools op persoonsniveau die we hebben bekeken, noemen bij Europees verkeer geen personen bij naam: RB2B zegt "Person-Level ID is US-only", en Warmly vermeldt "no personal-level anonymization in Europe". Tools op bedrijfsniveau zoals Albacross, Leadfeeder (voorheen Dealfront), Leadinfo en Snitcher hosten data in de EU en hebben gratis abonnementen of instapprijzen onder €70 per maand bij jaarlijkse facturering, maar ze documenteren toestemming heel verschillend.

Gecontroleerd op 15 oktober 2026 aan de hand van de juridische bronnen en de eigen pagina's van elke leverancier. Dit is geen juridisch advies. Revexa bouwt Leo, een koopsignaal-agent die bedrijven bereikt via openbare signalen zoals vacatures, financieringsrondes en nieuwe leidinggevenden, in plaats van bezoekers te volgen. Leo identificeert geen websitebezoekers, dus het is de verkeerde tool als je dat zoekt, en Leo staat niet in de vergelijking hieronder.

Bedrijfsniveau of persoonsniveau: zo werkt identificatie

Bedrijfsniveau (reverse IP). Het JavaScript van de leverancier stuurt het IP-adres en de paginagegevens van elke bezoeker naar de leverancier, die het IP-adres opzoekt in een database die IP-adressen aan bedrijven koppelt; de meeste trackers plaatsen daarnaast een first-party cookie om terugkerende bezoeken te herkennen. De tracker van Leadfeeder "captures visitor IP addresses, domains, and location data, then matches them against our proprietary IP-to-company databases" (legt IP-adressen, domeinen en locatiegegevens van bezoekers vast en vergelijkt die met eigen databases die IP-adressen aan bedrijven koppelen) (Leadfeeder-help). Thuiswerkers zijn lastiger te koppelen, omdat ze "usually use dynamic IP addresses that change ownership frequently" (meestal dynamische IP-adressen gebruiken die vaak van eigenaar wisselen) (Leadfeeder).

De dekkingscijfers komen van de leveranciers zelf: Leadinfo identificeert bedrijven voor "typically around 30% of your total traffic" (doorgaans zo'n 30% van je totale verkeer) (prijzen), en Warmly noemt een "Company identification rate around 60%" (identificatieratio voor bedrijven van zo'n 60%) (help). Een onafhankelijke benchmark hebben we niet gevonden.

Persoonsniveau (identiteitsgrafen). Deze tools koppelen de browser aan een identiteit die elders is gezien. RB2B matcht bezoekers "against a fully-permissioned publisher network using a combination of 1st and 3rd party cookies, device IDs and IP addresses" (met een publishernetwerk waarvoor alle toestemmingen zijn verkregen, via een combinatie van first- en third-party cookies, apparaat-ID's en IP-adressen) (RB2B-FAQ); Warmly kijkt naar "Cookies, Fingerprinting or the IP Address of the visitor". Beide houden dit buiten Europa: de identificatie op persoonsniveau van RB2B "will not identify individuals located outside the US (for GDPR and CCPA compliance)" (identificeert geen personen buiten de VS, vanwege de AVG en de CCPA), en Warmly biedt het daar niet aan.

De EU-regels die gelden

1. IP-adressen kunnen persoonsgegevens zijn

In het arrest Breyer (C-582/14, 2016), gewezen onder de voorganger van de Algemene verordening gegevensbescherming (AVG), oordeelde het Hof dat een dynamisch IP-adres dat een websitebeheerder registreert "een persoonsgegeven" vormt wanneer de beheerder "beschikt over wettige middelen" om de persoon te identificeren met gegevens die bij de internetprovider berusten (arrest). Ook een match op bedrijfsniveau kan een persoon identificeren, "for instance when it comes to sole traders" (bijvoorbeeld bij eenmanszaken), zoals Albacross opmerkt (privacybeleid).

2. Het script heeft toestemming nodig voordat het draait

Artikel 5, lid 3, van de ePrivacy-richtlijn staat het opslaan van informatie op het apparaat van een gebruiker of het verkrijgen van toegang daartoe alleen toe met toestemming, tenzij dat nodig is om een communicatie te verzenden of "strikt noodzakelijk" is voor een "uitdrukkelijk door de abonnee of gebruiker gevraagde dienst" (Richtlijn 2002/58/EG). In het arrest Planet49 (C-673/17, 2019) oordeelde het Hof dat dit geldt ongeacht of de informatie persoonsgegevens zijn (arrest).

De richtsnoeren 2/2023 van het EDPB (versie 2.0, vastgesteld op 7 oktober 2024) passen de regel toe op meer dan alleen cookies (EDPB). JavaScript-code waarmee de entiteit "de browser van de gebruiker opdraagt om asynchrone verzoeken met de te verkrijgen informatie te verzenden", valt er "duidelijk" onder, en dat geldt ook voor het verzamelen van identificatoren via trackingpixels. Over tracking op basis van alleen het IP-adres: "Tenzij de entiteit ervoor kan zorgen dat het IP-adres niet afkomstig is van de eindapparatuur van een gebruiker of abonnee, moet zij alle maatregelen nemen overeenkomstig artikel 5, lid 3, ePD." Het EDPB voegt eraan toe dat dit "niet systematisch betekent dat toestemming moet worden verkregen", omdat er uitzonderingen bestaan. Volgens onze lezing is het identificeren van de werkgever van een bezoeker voor sales niet strikt noodzakelijk voor een dienst waar de bezoeker om heeft gevraagd, dus eerst toestemming vragen is de veilige inrichting.

3. Opvolging steunt op gerechtvaardigd belang, binnen grenzen

Wie contact opneemt met iemand bij een geïdentificeerd bedrijf, verwerkt diens persoonsgegevens, en B2B-outreach kan steunen op gerechtvaardigd belang op grond van artikel 6, lid 1, sub f, AVG. Een commercieel belang kan volstaan, maar de verwerking moet daarvoor "strikt noodzakelijk" zijn en de rechten van de persoon mogen niet zwaarder wegen (HvJ EU, C-621/22, 4 oktober 2024) (arrest). De conceptrichtsnoeren 1/2024 van het EDPB voegen twee grenzen toe: als tracking wordt gebruikt voor direct marketing, zal toestemming "waarschijnlijk de passende rechtsgrond" zijn, waardoor een beroep op artikel 6, lid 1, sub f, "normaal gesproken uitgesloten" is; en de belangenafweging zal "nauwelijks" positief uitvallen bij het "volgen van personen over meerdere websites, locaties, apparaten of diensten" (EDPB).

Je moet ook uiterlijk bij het eerste contact vertellen waar je de gegevens vandaan hebt (artikel 14, lid 3, sub b, AVG) en stoppen zodra de persoon bezwaar maakt (artikel 21, lid 3, AVG). Nationaal marketingrecht voegt daar een laag aan toe: de Duitse UWG §7 vereist voorafgaande uitdrukkelijke toestemming voor e-mailreclame, ook bij B2B (onze gids). Onze gids over de AVG en B2B-e-mail loopt de belangenafweging stap voor stap door.

4. Wat er kan veranderen

Het Digital Omnibus-voorstel van de Commissie (COM(2025) 837) zou de regel als artikel 88a naar de AVG verplaatsen en bereiksmeting vrijstellen wanneer die "uitsluitend voor eigen gebruik wordt uitgevoerd door de verwerkingsverantwoordelijke van die onlinedienst" (voorstel). Op 15 oktober 2026 stond het in het Parlement nog op "Awaiting committee decision" (wacht op een besluit van de parlementaire commissie) (Legislative Observatory). Volgens onze lezing dekt geen enkele voorgestelde uitzondering het identificeren van bezoekers voor sales.

Nationale regels: Duitsland en Zweden

Duitsland. § 25 TDDDG (tot 14 mei 2024 TTDSG geheten) staat het opslaan van informatie op het apparaat van een gebruiker of het verkrijgen van toegang daartoe alleen toe met toestemming volgens de AVG, behalve voor de verzending van een communicatie of wat strikt noodzakelijk is voor een digitale dienst die de gebruiker uitdrukkelijk wil (TDDDG §25). De handreiking van de Duitse toezichthouders (DSK, versie 1.2, november 2024) voegt toe dat toestemming ook nodig is als er geen persoonsgegevens in het spel zijn, en dat die er moet zijn voordat er een cookie wordt geplaatst waarvoor toestemming nodig is (DSK).

Zweden. Hoofdstuk 9, § 28 van de Zweedse wet op elektronische communicatie (LEK, SFS 2022:482) staat alleen toe dat gegevens op de eindapparatuur van een gebruiker worden opgeslagen of daaruit worden uitgelezen als de gebruiker over het doel wordt geïnformeerd en toestemming geeft, met dezelfde twee uitzonderingen (LEK). Toezichthouder PTS leest de bepaling zo dat ook andere technieken dan cookies eronder vallen (PTS). Volgens IMY houdt alleen PTS toezicht op de cookieregels van de LEK, terwijl de verwerking van persoonsgegevens die daarop volgt, zoals analyse of profilering, onder de AVG en IMY valt (IMY).

Voorbeelden van handhaving

• Frankrijk, €150 miljoen (2025). De CNIL legde SHEIN (Infinite Styles Services Co. Limited) op 1 september 2025 een boete op. Advertentiecookies werden bij bezoekers geplaatst "zodra ze op de website kwamen", en klikken op "Alles weigeren" hield nieuwe cookies niet tegen (EDPB-samenvatting van het CNIL-besluit).
• Zweden, berispingen (2025). Op 30 april 2025 gaf IMY drie Zweedse bedrijven een berisping vanwege hun cookiebanners: ATG onder meer voor een misleidend ontwerp, en Aller Media omdat het zich op gerechtvaardigd belang beriep zonder dat te onderbouwen of een belangenafweging te tonen (IMY).

Wat elke leverancier zegt over Europa

In alfabetische volgorde.

Albacross (Stockholm) identificeert bedrijven en verkoopt tegoed voor geverifieerde e-mailadressen en telefoonnummers, met Cognism als partner voor contactgegevens. Het helpcentrum is het duidelijkst: "you must obtain valid consent and inform your visitors on your website" (je moet geldige toestemming verkrijgen en je bezoekers op je website informeren), namelijk over het script (AVG-FAQ, checklist). Tot de verwerkte gegevens hoort een "Fingerprint hash", en zodra Albacross de gegevens van je bezoekers aan de eigen database toevoegt, geldt: "We then become data controllers" (dan worden wij verwerkingsverantwoordelijke).

Leadfeeder (voorheen Dealfront) identificeert bedrijven en verkoopt contacten vanaf het Activate-abonnement. Dealfront werd op 24 maart 2026 Leadfeeder (FAQ). De leverancier zegt "Yes, Leadfeeder is GDPR compliant" (ja, Leadfeeder voldoet aan de AVG) (Leadfeeder), host data bij AWS in Ierland en sluit de verwerkersovereenkomst automatisch af (AVG-pagina). De toestemmingsmodus stelt alleen de cookie uit: "If the visitor does not grant consent, the tracker will still work and identify companies on your website!" (als de bezoeker geen toestemming geeft, werkt de tracker toch en identificeert hij bedrijven op je website!) Leadfeeder raadt af om de hele tracker te blokkeren, omdat je dan minder bedrijven ziet (help); volgens de lezing van het EDPB is blokkeren de voorzichtige inrichting. Het gratis Lite-abonnement toont de laatste 100 bedrijven per maand (prijzen).

Leadinfo (Nederland) identificeert bedrijven en biedt een "Database with +300M decision makers" (database met meer dan 300 miljoen beslissers). Leadinfo behandelt het IP-adres als persoonsgegeven, host bij AWS in Ierland, biedt "a cookie-free tracking option" (een cookieloze trackingoptie) en laat de rechtsgrond aan jou over, met dit advies: "We also recommend obtaining consent from your website visitors before activating the Leadinfo tracking code" (we raden ook aan toestemming van je websitebezoekers te vragen voordat je de trackingcode van Leadinfo activeert) (AVG-pagina).

RB2B noemt personen in de VS en bedrijven wereldwijd via Demandbase. Op de homepage staat "Person-Level ID is US-only, GDPR doesn't apply" (identificatie op persoonsniveau alleen in de VS, de AVG is niet van toepassing) (RB2B), en over wereldwijde identificatie op bedrijfsniveau zegt de AVG-pagina: "you MUST use a Consent Management Solution" (je MOET een consentmanagementoplossing gebruiken) (AVG-pagina); het helpcentrum raadt aan het snippet waar dat vereist is pas na toestemming te laden (help). Twee kanttekeningen: op de vraag of RB2B IP-adressen uit de EU verzamelt "to know when to fire your script" (om te weten wanneer je script moet afgaan), noemt RB2B die verzameling "incidental" (bijkomstig); en de AVG geldt voor verwerkingsverantwoordelijken die in de EU gevestigd zijn, "ongeacht of de verwerking in de Unie al dan niet plaatsvindt" (artikel 3, lid 1, AVG).

Snitcher (Nederland) identificeert bedrijven; individuele contactgegevens komen er alleen op verzoek: "surface individual contact details only when you choose to reveal them" (toont individuele contactgegevens pas als je ervoor kiest ze zichtbaar te maken) (prijzen). Snitcher steunt op gerechtvaardigd belang op grond van artikel 6, lid 1, sub f, AVG en host bij AWS in Frankfurt. De toestemmingsmodus stelt cookies uit, niet het script: de tracker "does not set any cookies or persistent browser storage until the visitor has given consent" (plaatst geen cookies of blijvende browseropslag tot de bezoeker toestemming heeft gegeven), maar tot dat moment geldt: "only keeps a temporary identifier in sessionStorage" (bewaart alleen een tijdelijke identificator in sessionStorage) (AVG-help).

Warmly noemt personen buiten Europa en identificeert in Europa bedrijven. Klanten kunnen "place both the JavaScript and cookie behind a cookie banner" (zowel het JavaScript als de cookie achter een cookiebanner zetten) of alleen de cookie, want "The Warmly JavaScript allows for account identification without dropping a cookie" (het JavaScript van Warmly maakt accountidentificatie mogelijk zonder een cookie te plaatsen) (compliance).

Vergelijkingstabel

"Prijs vanaf" is de laagste vermelde prijs voor het kleinste pakket op 15 oktober 2026. Websitebezoeken zijn één koopsignaal naast andere: zie onze vergelijking van koopsignaaltools en de gids over intent data.

Checklist voor een compliante inrichting

1. Laad het hele script pas na toestemming. Zet de tracker, niet alleen de cookie, in de categorie statistieken of marketing van je consenttool, en maak weigeren net zo makkelijk als accepteren. Reken op minder geïdentificeerde bedrijven.
2. Houd EU-verkeer op bedrijfsniveau. Zet geen functies op persoonsniveau aan voor Europese bezoekers, en behandel een match met een eenmanszaak als persoonsgegeven.
3. Teken de verwerkersovereenkomst en ga na wie waarvoor verantwoordelijk is. Leadfeeder, Leadinfo en Albacross beschrijven jou als verwerkingsverantwoordelijke en zichzelf als verwerker; Albacross en Leadinfo treden ook op als verwerkingsverantwoordelijke wanneer ze de gegevens van je bezoekers hergebruiken, dus noem ze in je privacyverklaring.
4. Werk je privacybeleid en cookielijst bij. Noem de leverancier, het doel, de gegevens (IP-adres, bekeken pagina's, cookie-ID's), de looptijd van de cookies en toegang door derden. Albacross, Leadfeeder, Leadinfo en Snitcher publiceren voorbeeldteksten, en RB2B somt op wat je moet vermelden.
5. Mail geïdentificeerde personen niet zonder rechtsgrond. Documenteer een belangenafweging, vertel uiterlijk bij het eerste contact waar je de gegevens vandaan hebt, stop bij bezwaar en controleer de nationale regels. Ons advies: vertel een prospect niet dat je zijn bezoek hebt gezien, want je weet zelden wie het was.
6. Leg bewaartermijnen vast. Bepaal hoe lang je bezoekgegevens en contacten die nooit reageren bewaart, documenteer dat (artikel 5, lid 1, sub e, AVG) en gebruik de verwijder- of anonimiseringsinstellingen van de tool, zoals de IP-anonimisering van Leadfeeder.

Veelgestelde vragen

Is het identificeren van websitebezoekers legaal onder de AVG?

Op bedrijfsniveau kan dat, als het script pas na toestemming draait, je je bezoekers informeert en je een verwerkersovereenkomst met de leverancier hebt. Identificatie op persoonsniveau steunt op tracking over meerdere sites, die volgens het EDPB nauwelijks door een toets van het gerechtvaardigd belang zou komen, en RB2B en Warmly bieden het in Europa niet aan.

Voldoet RB2B aan de AVG?

RB2B zegt dat de identificatie op persoonsniveau alleen in de VS werkt, zodat de AVG daarop niet van toepassing is. Buiten de VS biedt RB2B alleen identificatie op bedrijfsniveau en zegt dat je daarvoor een consenttool moet gebruiken. Is je bedrijf in de EU gevestigd, dan geldt de AVG nog steeds voor je eigen verwerking (artikel 3, lid 1).

Voldoet Leadfeeder (Dealfront) aan de AVG?

Leadfeeder zegt van wel, host data bij AWS in Ierland en sluit automatisch een verwerkersovereenkomst af. De rest hangt af van je inrichting: de toestemmingsmodus stelt alleen de cookie uit, dus de voorzichtige inrichting blokkeert de hele tracker tot de bezoeker toestemming geeft.

Hoe identificeer ik in de EU welke bedrijven mijn website bezoeken?

Kies een tool op bedrijfsniveau die data in de EU host (Albacross, Leadfeeder, Leadinfo of Snitcher), laad het script via je consenttool, teken de verwerkersovereenkomst en werk je privacy- en cookieverklaringen bij. Volg alleen op met een gedocumenteerde rechtsgrond, en test de dekking eerst met een gratis abonnement of proefperiode.