B2B-Website-Besuchererkennung im indirekten Vertriebsmodell

26. September 2023

Ist die Weitergabe identifizierter Website-Leads an Vertriebspartner erlaubt?

von Dr. Thomas Schafft, Fachanwalt für Informationstechnologierecht, SSH Rechtsanwälte

Viele namhafte Unternehmen vertreiben ihr Angebot nicht mit eigenen Sales-Teams. Um ihr volles Marktpotenzial zu erschließen und sich ganz auf die Entwicklung und Produktion konzentrieren zu können, setzen sie auf eine indirekte Vertriebsstruktur mit einem Netz von rechtlich selbständigen Vertriebspartnern (z. B. Vertragshändlern).

Für die Entwicklung von Leads aus Website-Besuchern schafft dies eine Herausforderung: Denn B2B-Einkäufer von Organisationen, die sich im Web auf Anbietersuche machen, besuchen in der Regel zunächst die reichweitenstarken und umfangreichen Websites der Hersteller – um erst gegen Ende des Beschaffungsprozesses den Händler aufzusuchen, der den jeweiligen Hersteller vertritt und ihnen ein konkretes Angebot unterbreiten kann.

Umso wichtiger erscheint es für die Hersteller, die Daten derjenigen erkannten Firmen, die durch ihr Surf-Verhalten substantielles Vertriebspotenzial erkennen lassen, zur Lead-Qualifizierung an einen Vertriebspartner weitergeben zu dürfen. Aber ist eine solche Datenweitergabe ohne weiteres rechtskonform möglich?

I. Sachverhalt

Den grundlegenden Sachverhalt der rechtlichen Zulässigkeit der B2B-Website-Besuchererkennung haben wir bereits vor einiger Zeit in dem Bericht Datenschutz beim Website-Tracking für die Leadgenerierung erörtert – mit einem insgesamt positiven Fazit.

In der hier vorliegenden Konstellation stellt sich die Frage, ob der Hersteller und Betreiber einer B2B-Website die folgenden mit Hilfe der Besuchererkennungs-Software gewonnenen Daten an seinen indirekten Vertriebspartner übermitteln darf:

Firma des identifizierten Unternehmens (also z. B. „XY GmbH“);
Allgemeine Kontaktdaten des identifizierten Unternehmens (d. h. Postanschrift, Website-Adresse, generische Telefonnummer des Unternehmens, generische E-Mail-Adresse wie z.B. „info@…“);
Die vom Erkennungs-Tool identifizierten Interessenbereiche des Website-Besuchers (also z. B. „Produktkategorie 1“, „Produktkategorie 2“, etc.);
Die entsprechenden besuchten Seiten der Website, und zwar jeweils mit
- Zeitstempel (also z.B. „07.01.23 17:56:29“),
- URL (also z. B. „https://www.hersteller.com/produktkategorie_1“) und
- Dauer des Besuchs auf dieser Seite in Stunden/Minuten/Sekunden (also z. B. „00:00:30“).

Die eventuelle Übermittlung weiterer Daten ist nicht Gegenstand dieses Berichts.

II. Rechtliche Würdigung

Im Rahmen der bisherigen Beurteilung einer cookie-losen Website-Besucheridentifizierung gehörte zu den tragenden Argumenten bei der Interessenabwägung, dass – im Normalfall – keine Weitergabe der Daten an Dritte erfolgt und die „Zahl der beteiligten Akteure“ damit gering ist: Nach Einschätzung der Aufsichtsbehörden ist nämlich ein potenziell kritischer Aspekt beim Website-Tracking, wenn erhobene Tracking-Informationen an Dritte weitergegeben werden, die diese Daten sodann in eigener Verantwortung weiterverarbeiten (wie es z. B. beim Tracking von Werbe-Netzwerken typischerweise der Fall ist).

Hierzu heißt es im oben erwähnten Bericht unter dem Punkt „Beteiligte Akteure“:

„Je mehr Verantwortliche, Auftragsverarbeiter und sonstige Empfänger in die Verarbeitungstätigkeit einbezogen sind, desto größer ist die Beeinträchtigung für die betroffenen Personen. Bei der B2B-Website-Analyse gibt es jedoch nur einen einzigen Verantwortlichen (nämlich den Website-Betreiber), der den Tracking-Dienstleister als einzigen Auftragsverarbeiter einsetzt. Eine besondere Beeinträchtigung für die betroffenen Personen ist hierbei nicht zu erkennen.“

Es stellt sich daher die Frage, welchen Einfluss die oben beschriebene Übermittlung von Firmendaten an indirekte Vertriebspartner auf diese Argumente und die darauf basierende Interessenabwägung hat.

1. Kein Personen-, sondern Unternehmensbezug

Für die Zulässigkeit der beschriebenen Übermittlung spricht zunächst, dass die auf statischen (nicht dynamischen) IP-Adressen beruhende Datensammlung der Erkennungslösung keine personenbezogenen, sondern lediglich unternehmensbezogene Daten erfasst, so dass der Anwendungsbereich der DSGVO per se nicht eröffnet ist. Verwiesen sei insoweit auf Ziffer 2. a) des erwähnten grundlegenden Berichts. Die dortigen Überlegungen zum fehlenden Personenbezug der verarbeiteten Daten gelten auch für die Übermittlung der oben in Abschnitt I beschriebenen Datenkategorien an Vertriebspartner. Mangels Anwendbarkeit der DSGVO kommt es also auf die einleitend angesprochenen Argumente im Rahmen der Interessenabwägung gar nicht entscheidend an.

2. Interessenabwägung bei indirektem Vertrieb

Unterstellt man – entgegen den vorstehenden Überlegungen – einen Personenbezug der durch die Tracking-Software verarbeiteten Daten, so stellt sich weiter die Frage, ob trotzdem auch die Übermittlung der oben in Abschnitt I beschriebenen Datenkategorien an Vertriebspartner durch eine Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO gerechtfertigt werden kann. Hierzu folgende Überlegungen:

Die oben erwähnten Bedenken der Aufsichtsbehörden beruhen im Kern darauf, dass die Weitergabe von Daten an Dritte zu einem faktischen „Kontrollverlust“ der betroffenen Personen über ihre Daten führen kann. Im Kontext der Website-Analyse denken die Aufsichtsbehörden dabei insbesondere an eigenständig agierende „Player“ wie z. B. Google, Facebook oder große Werbenetzwerke, die auf vielen verschiedenen Websites Dritter Daten sammeln und diese Daten dann in eigener Verantwortung (und weitgehend nach eigenem Ermessen) weiterverarbeiten. Ein solcher „Kontrollverlust“ lässt sich aber vermeiden, wenn der Website-Betreiber die über die Erkennungsplattform erhobenen Daten nicht an eine unbestimmte Vielzahl von Empfängern weitergibt, sondern – im Idealfall – lediglich an einen einzigen seiner Vertriebspartner, der für die Bearbeitung des entsprechenden Leads am besten positioniert ist (z.B. bei einem regional organisierten Vertrieb der jeweilige regional zuständige Vertriebspartner).
Gegen den ggf. drohenden Kontrollverlust der betroffenen Personen lässt sich weiter vorsehen, dass der Vertriebspartner die vom Website-Betreiber erhaltenen Daten nicht frei nach eigenem Ermessen nutzen darf, sondern dass sich der Vertriebspartner vertraglich – soweit relevant und praktikabel – den gleichen Restriktionen unterwirft, die sich der Website-Betreiber selbst im Hinblick auf die über per Website-Tracking erhobenen Daten auferlegt. Hierzu gehört insbesondere, dass der Vertriebspartner die erhaltenen Daten ebenfalls innerhalb der vom Website-Betreiber festgelegten Löschfristen zu löschen hat und sie nicht an zusätzliche Dritte weitergeben darf (oder zumindest nur unter den gleichen Restriktionen wie beim Website-Betreiber selbst, d. h. die Weitergabe des Vertriebspartners an einen Unter-Vertriebspartner könnte ebenso möglich sein und geregelt werden wie die vorherige Weitergabe des Website-Betreibers an seinen unmittelbaren Vertriebspartner).
Durch solche vertraglichen Regelungen mit dem Vertriebspartner nähert sich seine Stellung der eines Auftragsverarbeiters für den Website-Betreiber an, auch wenn die eigentliche Kontaktaufnahme zum Interessenten durch den Vertriebspartner als eigenständiges Unternehmen und im eigenen Namen erfolgt, d. h. in eigener datenschutzrechtlicher Verantwortlichkeit (so dass keine Auftragsverarbeitung im eigentlichen Sinne vorliegt). Diese einer Auftragsverarbeitung angenäherte Stellung ist ein zusätzliches Argument dafür, dass den betroffenen Personen kein Nachteil durch eine derart ausgestaltete Einbindung der Vertriebspartner droht.
Ein wichtiges Argument im Rahmen der Interessenabwägung sind auch die berechtigten Erwartungen der betroffenen Website-Besucher, vgl. Erwägungsgrund 47 Satz 1 der DSGVO. Im Hinblick auf diese Erwartungen sollte in den Website-Datenschutzhinweisen nicht nur über den Einsatz der Erkennungstechnologie als solche informiert werden, sondern auch über (i) den indirekt organisierten Vertrieb und (ii) die Weitergabe der oben in Abschnitt I genannten Daten an diese indirekten Vertriebspartner.

Angesichts dieser Überlegungen sind auch bei der hier betrachteten Konstellation keine wesentlichen Nachteile für die betroffenen Website-Besucher zu erkennen. Es sprechen daher auch hier die besseren Argumente dafür, dass jedenfalls unter den oben beschriebenen Rahmenbedingungen, d. h. bei

Übermittlung nur an den (einen) jeweils zuständigen Vertriebspartner,
vertraglicher Weitergabe der vom Website-Betreiber festgelegten Restriktionen für den Umgang mit Website-Firmenbesucher-Daten (also z. B. kurze Speicherdauer beim Vertriebspartner, weitere Datenübermittlungen vom Vertriebspartner allenfalls an den (einen) ggf. zuständigen Unter-Vertriebspartner etc.) und
entsprechender Information über die Beteiligung des indirekten Vertriebs in den Website-Datenschutzhinweisen

auch die hier betrachtete Übermittlung auf die Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO gestützt werden kann. Eine eventuelle Einwilligung der Website-Besucher ist daher auch insoweit nicht erforderlich.

Ob eine Übermittlung der Daten auch ohne die beschriebenen Rahmenbedingungen (also z.B. an eine unbeschränkte Vielzahl von Vertriebspartnern ohne Vorgaben für deren weitere Datenverarbeitung) zulässig wäre, ist nicht Gegenstand dieses Berichts.

3. Wettbewerbsrechtliche Vorgaben

Die Tatsache, dass bei der hier betrachteten Datenübermittlung an indirekte Vertriebspartner u.a. eine (generische) Telefonnummer und/oder eine (generische) E-Mail-Adresse des Unternehmens übermittelt werden, bedeutet nicht, dass der Vertriebspartner diese Daten automatisch für eine Kontaktaufnahme per Telefon und/oder per E-Mail nutzen darf. Auch im B2B-Umfeld macht § 7 UWG in Abs. 2 Nr. 1 und Nr. 2 relativ enge Vorgaben für werbliche Kontaktaufnahmen per Telefon und/oder E-Mail, die im Regelfall nur mit vorheriger Einwilligung des jeweiligen Adressaten erlaubt sind. Diese rechtlichen Vorgaben müssen – selbstverständlich – auch vom jeweiligen Vertriebspartner beachtet werden.

Eine nach § 7 UWG erforderliche Einwilligung der Adressaten kann über die Erkennungssoftware zwangsläufig nicht eingeholt werden. Trotzdem erscheint die Übermittlung von Telefonnummer und E-Mail-Adresse an den Vertriebspartner als sinnvoll (und damit im datenschutzrechtlichen Sinne als erforderlich), da diese Daten z. B. nach einem erfolgreichen Erstkontakt per Brief – der auch ohne Einwilligung des Adressaten zulässig ist – mit einer positiven Rückmeldung des angeschriebenen Unternehmens für die weitere Abstimmung mit dem Interessenten benötigt werden.

Die Einzelheiten der insoweit geltenden wettbewerbsrechtlichen Restriktionen von § 7 UWG für werbliche Kontaktaufnahmen ohne vorherige Einwilligung sind jedoch nicht Gegenstand dieses Berichts.

4. Internationale Datentransfers

Als zusätzliche Facette ist ggf. zu beachten, dass die DSGVO in ihren Art. 44 ff. gewisse Restriktionen für die Übermittlung personenbezogener Daten in Länder außerhalb der EU vorgibt. Wenn man die Abschnitt I beschriebenen Daten als personenbezogen ansieht (was nach der hier vertretenen Auffassung bereits nicht der Fall ist, vgl. oben in Abschnitt II.1) und der indirekte Vertriebspartner außerhalb der EU ansässig ist, müsste die entsprechende Übermittlung noch näher im Lichte von Art. 44 ff. DSGVO betrachtet werden.