Salesforce Pardot & DSGVO: B2B-Marketing-Automation einordnen
Salesforce Pardot — heute Marketing Cloud Account Engagement — ist eine B2B-Marketing-Automation-Plattform. Ihr Tracking-Code verfolgt Website-Besuche, vergibt Lead-Scores und kann Besuche mit bereits bekannten Kontakten verknüpfen, etwa nach einem Klick aus einer E-Mail. Als Dienst eines US-Anbieters kommt ein möglicher Drittlandtransfer hinzu.
Das Risiko
- Das Tracking kann Besuche mit identifizierbaren Kontakten verknüpfen — das ist heikler als anonyme Statistik und löst typischerweise die Einwilligungspflicht aus.
- Lead-Scoring wertet das Verhalten einzelner Personen aus; solche Profile sind erklärungsbedürftig und gehören in die Datenschutzerklärung.
- Als US-Dienst kann Pardot einen Drittlandtransfer auslösen, der einen tragfähigen Übermittlungsmechanismus voraussetzt.
- Häufig ist der Tracking-Code seitenweit eingebunden, obwohl er nur für einzelne Kampagnen-Seiten gebraucht wird.
Wie konfora das erkennt
konfora erkennt Salesforce Pardot an seinen Requests und ordnet es der Kategorie CRM & Marketing zu. Erkannt werden:
- pi.pardot.com
- go.pardot.com
Was im Report steht
- Ein Befund „Salesforce Pardot“ mit standardmäßiger Severity Warnung.
- Belege: die kontaktierten Hosts, Beispiel-Request-URLs, die Anzahl passender Requests und das Vendor-Land (US).
- Ein Soll-Ist-Hinweis, falls Pardot technisch erkannt, aber in der Datenschutzerklärung nicht genannt ist.
Typische Maßnahmen
- Lade den Pardot-Tracking-Code erst nach dokumentierter Einwilligung über dein Consent-Tool.
- Deaktiviere das Besucher-Tracking in den Einstellungen, wenn du es nicht aktiv nutzt.
- Schließe einen AVV mit Salesforce ab und dokumentiere den Übermittlungsmechanismus für den US-Transfer.
- Nenne den Dienst in deiner Datenschutzerklärung — inklusive Lead-Scoring, falls du es einsetzt.
Grenzen der automatischen Prüfung
Der Check macht technische Hinweise sichtbar und hilft beim Priorisieren. Er ist kein Rechtsgutachten, keine Vollständigkeitsgarantie und ersetzt keine fachkundige Prüfung durch eine Datenschutzbeauftragte oder eine Kanzlei.
- Die Verknüpfung mit Kontakten und das Scoring passieren serverseitig bei Salesforce und sind clientseitig nicht sichtbar.
- Ob und auf welcher Grundlage das Tracking im Einzelfall zulässig ist, bleibt eine rechtliche Bewertung.
konfora prüft als einen von 16 Bereichen automatisiert, welche Dienste deine Seite lädt, und macht solche Funde im Report sichtbar — als technische Bestandsaufnahme mit konkreter Aufgabenliste, nicht als Rechtsgutachten.
Den schnellen, kostenlosen ersten Eindruck bekommst du im Schnellcheck. Der Report als PDF liegt bei 14,99 € (Einmalkauf, kein Abo); den Zugang bekommst du per Magic-Link an deine E-Mail.
Dieser Beitrag liefert technische Hinweise und mögliche Risiken, keine Rechtsberatung. Für eine verbindliche Einschätzung deiner konkreten Situation wendest du dich an deine Datenschutzbeauftragte oder einen Fachanwalt.