QR-Codes und DSGVO: was erfasst wird und was Sie darüber sagen sollten

Die meisten Texte zu diesem Thema bleiben vage, weil die meisten QR-Dienste vage bleiben, was sie erheben. Dieser listet die Felder auf.

Das ist keine Rechtsberatung. Es beschreibt, was die Software tut. Ob Ihr konkreter Einsatz ein Consent-Banner, eine Zeile in der Datenschutzerklärung oder einen Auftragsverarbeitungsvertrag braucht, ist eine Frage für Ihre Anwältin oder Ihren Datenschutzbeauftragten — und hängt von Branche und Land genauso ab wie von der Technik.

Was ein Scan genau erfasst

Wird ein dynamischer Code gescannt, entsteht vor der Weiterleitung eine Zeile. Sie enthält:

• Den Zeitpunkt des Scans.
• Den Code, der gescannt wurde.
• Gerätetyp — Mobil, Tablet oder Desktop.
• Betriebssystem und Browser, wie der User-Agent sie meldet.
• Referrer, falls der Browser einen sendet. Ein Kamera-Scan sendet meist keinen.
• Einen Hash der IP-Adresse — SHA-256 über ein geheimes Salt plus Adresse. Er dient dem Zählen eindeutiger Besucher und wird nicht neben der Adresse selbst gespeichert.

Das ist die ganze Zeile. Kein Name, keine E-Mail, keine Werbe-ID, keine Verknüpfung mit dem Verhalten auf anderen Websites.

Was absichtlich nicht erhoben wird

• Standort. In der Auswertung steckt keinerlei Geolokalisierung — kein Land, keine Stadt, keine Koordinaten. Viele Dienste leiten aus der IP ein Land ab; dieser nicht. „Welche Stadt hat gescannt" kann das Dashboard also nicht beantworten.
• Cookies bei der Weiterleitung. Ein Scan setzt kein Cookie. Die einzige Ausnahme ist ein passwortgeschützter Code: Beim Entsperren wird ein funktionales Cookie gesetzt, das sich das korrekte Passwort merkt — nichts anderes nutzt es.
• Identität. Die Zähler können nicht sagen, wer gescannt hat. Wer das wissen will, muss die Zielseite fragen lassen — dann sind es Ihr Formular und Ihre Datenschutzerklärung.

Der ehrliche Teil zum IP-Hash

Eine IP-Adresse ist nach DSGVO ein personenbezogenes Datum. Sie mit geheimem Salt zu hashen ist Pseudonymisierung, keine Anonymisierung: Der Wert lässt sich nicht in eine Adresse zurücklesen und ist zum Nachschlagen einer Person absichtlich unbrauchbar — aber er ist ein stabiler Kennwert für eine Besucherin über Zeit, und genau das macht das Zählen eindeutiger Besucher überhaupt möglich.

Das sagen wir lieber deutlich, als die Daten als anonym zu bezeichnen. Praktisch heißt es: eine Tabelle, mit der man niemanden identifizieren könnte, selbst wenn man sie in die Hand bekäme.

Wo Ihre Pflichten wachsen: Pixel

Ein Code kann Retargeting-Pixel von Meta, Google Ads oder LinkedIn tragen. Das ist die eine Funktion, die Drittanbieter-Tracking in den Weg eines Scans stellt, und sie verändert das Bild vollständig — diese Unternehmen bauen Profile.

Deshalb sind Pixel hier an eine Zustimmung gebunden. Ein Code mit Pixeln zeigt eine kurze Zwischenseite mit Auswahl, die Pixel feuern erst nach Zustimmung, und die Antwort wird im Local Storage des Browsers gemerkt. Ohne Zustimmung wird sofort weitergeleitet und nichts feuert.

Das ist der Mechanismus. Ob der Text Ihres Banners für Ihre Rechtsordnung genügt, ist genau die Frage für die Anwältin — und wer kein Retargeting braucht, trifft mit leeren Pixelfeldern die einfachste Datenschutzentscheidung, die es gibt.

Wer ist Verantwortlicher?

Üblich ist bei einem Dienst wie diesem, dass Sie Verantwortlicher der Scan-Daten Ihrer Codes sind — Sie entscheiden über die Codes und was mit den Zahlen passiert — und der Dienst Auftragsverarbeiter nach Ihren Weisungen. Enterprise-Kunden wollen das üblicherweise in einem AV-Vertrag festgehalten haben.

Wir beschreiben die übliche Konstellation, wir bescheinigen nicht Ihre. Lassen Sie das von Ihren Beratern bestätigen, besonders in regulierten Branchen.

Was in Ihre Datenschutzerklärung gehört

Ein oder zwei Sätze genügen meist:

• Dass ein Scan zu statistischen Zwecken erfasst wird, und grob welche technischen Felder — Zeit, Gerät, Betriebssystem, Browser, Referrer, gehashte IP.
• Dass keine Standortdaten erhoben werden.
• Dass danach weitergeleitet wird und das Ziel eine eigene Erklärung hat.
• Bei aktivierten Pixeln: wer die Daten erhält und was die Zustimmung bewirkt.

In der Sprache des Publikums schreiben. Sechs Erklärungen in sechs Sprachen sind Arbeit; eine falsche in der Sprache des Lesers ist schlimmer als eine schlichte.

Die Falle, die nichts mit Auswertung zu tun hat

Der größte Datenschutzfehler bei QR-Codes ist nicht das Tracking, sondern personenbezogene Daten in einen statischen Code zu kodieren.

Ein statischer Code trägt seinen Inhalt im Muster. Drucken Sie eine vCard mit der Handynummer einer Person auf fünftausend Flyer, ist diese Nummer dauerhaft im Umlauf — nicht änderbar, nicht widerrufbar, und ein Löschverlangen erreicht kein Papier. Dasselbe gilt für einen statischen Code mit privater Buchungs-URL oder Kundenreferenz.

Müssen personenbezogene Daten hinter einen Code, dann hinter einen dynamischen, dessen Ziel geändert oder abgeschaltet werden kann — und die Daten auf einer Seite, die Sie kontrollieren.

Löschen

Wird ein Code gelöscht, verschwinden seine Scan-Zeilen mit ihm — die Beziehung kaskadiert in der Datenbank, es bleibt keine verwaiste Historie zurück. Wer eine kürzere Aufbewahrung braucht als „bis ich den Code lösche", sollte das bewusst entscheiden statt annehmen.

Kurze Antworten

• Erfasst ein Scan personenbezogene Daten? Hier: Gerät, OS, Browser, Referrer, Zeit und ein gesalzener IP-Hash. Der Hash ist pseudonymisiertes personenbezogenes Datum, der Rest technisch.
• Erfassen Sie, wo gescannt wurde? Nein. Keine Geolokalisierung.
• Brauche ich ein Cookie-Banner? Die Weiterleitung setzt keine Cookies; Pixel sind zustimmungsgebunden. Ob Ihr Fall ein Banner braucht, ist eine Rechtsfrage.
• Bin ich Verantwortlicher? Für die Scan-Daten Ihrer Codes typischerweise ja, mit dem Dienst als Auftragsverarbeiter.
• Darf ich Kontaktdaten in einen QR-Code legen? Nicht in einen statischen — gedruckt ist er endgültig. Dynamischer Code, eigene Seite.
• Was passiert beim Löschen eines Codes? Seine Scan-Daten werden mitgelöscht.

Nochmals: Das beschreibt die Software, nicht Ihre Rechtslage. Für die Rechtslage fragen Sie jemanden, der sie beurteilen darf.