# Besöksigenkänning och GDPR: en nykter bedömning

> Besöksigenkänning och GDPR i DE, AT och CH: två prövningssteg, samtycke eller berättigat intresse och en checklista för webbplatsägare.

Quelle: https://whovisit.app/sv/blog/besoksigenkanning-gdpr-nykter-bedomning
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Den som informerar sig om besöksigenkänning läser motstridiga uttalanden. Vissa leverantörer säger att ett samtycke alltid behövs. Andra lovar att man med deras lösning inte behöver någonting. Båda är för svepande. Den här artikeln visar prövningsstegen med vilka du själv förbereder frågan för din webbplats. Den är en bedömning, inte juridisk rådgivning. Den ersätter inte granskningen av dina dataskyddsombud eller advokater.

Källornas status: 06.11.2026. Kontrollera den aktuella ordalydelsen före ett beslut.

## Två skilda prövningar

Besöksigenkänning väcker två frågor som ofta blandas ihop:

1. **Får skriptet komma åt besökarens enhet?** Det regleras i Tyskland av [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html), i Österrike av [§ 165 Abs. 3 TKG 2021](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678). Båda reglerna härstammar från ePrivacy-direktivet. Lagras eller läses får i princip bara med samtycke, om inte åtkomsten är absolut nödvändig för att en uttryckligen önskad tjänst ska fungera.
2. **Får behandlingen av uppgifterna äga rum?** Det besvarar [GDPR](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), om det rör sig om personuppgifter. Du behöver en rättslig grund enligt art. 6.1, till exempel samtycke (bokstav a) eller berättigat intresse (bokstav f).

Båda prövningarna gäller sida vid sida. Ett berättigat intresse enligt GDPR ersätter inget samtycke för åtkomsten till enheten. Omvänt gör ett samtycke för skriptet inte behandlingen automatiskt laglig om den går utöver det man samtyckt till.

Ett skript som inte lagrar eller läser något alls på enheten berör kanske inte den första frågan. Om det stämmer beror på tekniken och bedöms olika. Fråga din leverantör konkret vad skriptet gör. Låt dig få det beskrivet skriftligt.

## Är IP-adressen en personuppgift?

Kort sagt: ofta ja. EU-domstolen har i mål [C-582/14 (Breyer)](https://curia.europa.eu/juris/liste.jsf?num=C-582/14) avgjort att även en dynamisk IP-adress kan vara en personuppgift om webbplatsägaren har rättsliga medel att via tredje part (till exempel internetleverantören) komma åt personen. Frågan beror alltså på det enskilda fallet. Myndigheter sätter tröskeln snarare lågt. Den utförliga versionen finns i [IP-adress och GDPR: är den en personuppgift?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

För besöksigenkänning innebär det: Räkna med att redan ögonblicket räknas då adressen når servern, även om den därefter förkastas.

## Företag, person, pseudonym

Besöksigenkänning i B2B hävdar att den bara känner igen företag och inte personer. Det är ett bra angreppssätt men inget frikort:

- **Företagsnivån hjälper.** Om resultatet är ett företagsnamn står det i slutet ingen enskild person. Det sänker risken, framför allt vid analysen.
- **Enskilda näringsidkare, frilansare och små kontor** är företag och person på en gång. Ett resultat som "Schmidt Beratung" kan avse en bestämd person.
- **Hemarbete.** Den som surfar hemifrån över ett företags-VPN dyker upp som företag, trots att en bestämd person står bakom. Mer om det i [Hemarbete, VPN och mobilnät: vem du inte ser](https://whovisit.app/blog/homeoffice-vpn-mobilfunk-besuchererkennung).
- **Koppling.** Så snart du söker en kontaktperson till företaget eller för samman beteendet med andra uppgifter kan en personkoppling uppstå.
- **Pseudonymisering** är en skyddsåtgärd, ingen utväg. Pseudonymiserade uppgifter förblir personuppgifter så länge personen går att bestämma med ytterligare information.

Den som använder musvideor eller beteendeprofiler kommer ännu närmare personen. Om det: [Session replay och dataskydd: använda musvideor rätt](https://whovisit.app/blog/mausvideos-website-datenschutz).

## Roller och avtal

- **Du som webbplatsägare** är som regel ansvarig i GDPR:s mening. Du bestämmer om och för vad uppgifterna samlas in.
- **Leverantören av besöksigenkänningen** behandlar som regel uppgifterna för din räkning och är då personuppgiftsbiträde. För det behöver du ett avtal enligt art. 28 GDPR. Kontrollera om leverantören också använder uppgifterna för egna ändamål, för då ändras rollen.
- **Underbiträden** (hostingleverantörer, databaser, leverantörer av företagsdata) måste förtecknas och vara bundna av avtal. Fråga efter serverns plats och om uppgifter flödar till tredjeländer.

## Informationsskyldigheter

Besökare måste få veta vad som sker. Dataskyddsinformationen bör åtminstone innehålla:

- att en besöksigenkänning används och för vad
- vilka uppgifter som behandlas (till exempel besökta sidor, tidpunkter, ursprung, besökstid)
- den rättsliga grunden
- hur länge uppgifterna lagras
- mottagaren eller kategorin av mottagare, alltså din leverantör
- de registrerades rättigheter: tillgång, radering, invändning, klagomål hos tillsynsmyndigheten

En allmän mening om "webbanalys" räcker inte om en företagskoppling ligger bakom. Beskriv den som en egen punkt.

## Schweiz

Schweiz har med den [reviderade dataskyddslagen (revDSG)](https://www.fedlex.admin.ch/eli/cc/2022/491/de) egna regler som gäller sedan den 1 september 2023. De är mindre samtyckescentrerade och mer inriktade på transparens:

- Du måste på lämpligt sätt informera registrerade om insamlingen och behandlingen av deras personuppgifter.
- Behandlingen måste vara proportionerlig och ändamålsbunden.
- Den som uttryckligen invänder, vars uppgifter får bara fortsätta behandlas vid en rättfärdigandegrund.
- För cookies och liknande tekniker tillkommer informationsskyldigheter ur teleområdets lagstiftning.

Om ditt erbjudande också gäller besökare från EU kan dessutom GDPR slå till.

## Checklista för webbplatsägare

1. Beskriv skriftligt vilka uppgifter lösningen samlar in, när och var de lagras.
2. Klargör om skriptet kommer åt slutenheten. Avgör sedan om du ska inhämta ett samtycke för det.
3. Välj en rättslig grund för behandlingen och dokumentera avvägningen.
4. Ingå ett personuppgiftsbiträdesavtal och låt dig nämna underbiträdena.
5. Kontrollera serverns plats och möjliga överföringar till tredjeländer.
6. Komplettera dataskyddsinformationen med ett eget avsnitt.
7. Fastställ lagringsfrister och kontrollera att radering sker.
8. Spärra känsliga områden som kassa, konto och formulär med hälsouppgifter.
9. Inrätta en väg för att hantera begäranden om tillgång och radering.
10. Avgör om en konsekvensbedömning avseende dataskydd behövs. Anteckna resultatet.
11. För in behandlingen i registret över behandlingsverksamhet.

Hur du lägger upp urvalsförfarandet visar [Jämföra besöksigenkänning: 12 kriterier för valet](https://whovisit.app/blog/besuchererkennung-vergleich-kriterien).

## Öppna frågor för din juridiska rådgivning

Några punkter är inte slutgiltigt klarlagda eller beror på ditt fall. Ta med dem:

- Räcker ett samtycke till kategorin "statistik" för åtkomsten till enheten, eller behövs ett eget samtycke?
- Är det berättigade intresset hållbart för en företagskoppling? Hur faller avvägningen ut för små företag och enskilda näringsidkare?
- Från vilken storlek eller bolagsform är ett resultat otvetydigt "inte personuppgift"?
- Hur noga måste besökare informeras om företagskopplingen?
- Hur hanterar du invändningar när IP-adressen inte lagras?

Ett svar finns bara i det enskilda fallet. Den som svepande lovar dig att ingen juridisk risk återstår säljer dig en garanti som ingen kan ge.

## Hur en leverantör kan hantera det

Som exempel från praktiken: Whovisit förkastar IP-adressen efter förfrågan, lagrar bara företag och institutioner och sätter ingen cookie. Var uppgifterna ligger och vem som är inblandad står på sidan [Dataskyddsprincip](https://whovisit.app/datenschutz-prinzip). Hur länge vad lagras står i hjälpen under [Lagring och radering](https://whovisit.app/hilfe/datenschutz-und-aufbewahrung). Om det räcker för din webbplats avgör du tillsammans med din juridiska rådgivning.

## Kort sammanfattat

Pröva besöksigenkänning i två steg: åtkomst till enheten och behandling. Företagsnivån minskar risken men undanröjer den inte. Klargör roller och avtal, informera separat och radera tidigt. Och ta med de öppna frågorna till ett samtal med någon som känner din verksamhet.