DSGVO bei QR-Code Tracking – was ist erlaubt?

DSGVO QR-Code Tracking ist ein Thema, das viele Unternehmen verunsichert. Dieser Leitfaden erklärt, welche Daten beim Scannen erhoben werden dürfen und wie Sie rechtssicher tracken.

QR-Codes mit Tracking-Funktion sammeln Nutzerdaten – doch was ist in Deutschland und der EU eigentlich erlaubt? Die DSGVO (Datenschutz-Grundverordnung) stellt klare Anforderungen an die Erhebung und Verarbeitung personenbezogener Daten. In diesem Artikel erfahren Sie, welche Daten beim QR-Code Tracking erfasst werden, welche rechtlichen Vorgaben gelten und wie Sie QR-Codes datenschutzkonform einsetzen.

Was passiert beim QR-Code Tracking?

Wenn ein Nutzer einen dynamischen QR-Code scannt, werden verschiedene Datenpunkte erfasst. Diese Daten ermöglichen es Unternehmen, den Erfolg ihrer QR-Code-Kampagnen zu messen und zu optimieren. Doch nicht alle dieser Daten sind datenschutzrechtlich unproblematisch.

Welche Daten werden typischerweise erfasst?

Beim Scannen eines trackbaren QR-Codes werden in der Regel folgende Informationen gesammelt:

• IP-Adresse: Die Internet-Protokoll-Adresse des Nutzers, die einen ungefähren Standort ermitteln lässt
• Ungefährer Standort: Basierend auf der IP-Adresse wird die Stadt oder Region bestimmt (Geolocation)
• Zeitpunkt des Scans: Datum und Uhrzeit, wann der QR-Code gescannt wurde
• Gerätetyp: Ob der Scan mit einem Smartphone, Tablet oder Desktop erfolgte
• Betriebssystem: iOS, Android, Windows oder andere Systeme
• Browser: Welcher Browser für den Scan verwendet wurde
• Referrer: Von welcher Quelle der Nutzer kam (wenn verfügbar)

Von diesen Daten ist die IP-Adresse aus datenschutzrechtlicher Sicht der kritischste Punkt, da sie als personenbezogenes Datum gilt.

DSGVO-Grundlagen für QR-Code Tracking

Die Datenschutz-Grundverordnung (DSGVO) regelt seit Mai 2018 die Verarbeitung personenbezogener Daten in der gesamten EU. Für das QR-Code Tracking sind insbesondere folgende Grundsätze relevant:

1. Rechtsgrundlage erforderlich (Art. 6 DSGVO)

Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. Beim QR-Code Tracking kommen zwei Grundlagen in Frage:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Das Unternehmen hat ein berechtigtes Interesse daran, die Nutzung seiner Marketingmaterialien zu analysieren – vorausgesetzt, die Interessen der betroffenen Personen überwiegen nicht.
• Einwilligung (Art. 6 Abs. 1 lit. a): Der Nutzer stimmt der Datenerfassung aktiv zu, etwa über ein Cookie-Banner auf der Zielseite.

In der Praxis wird beim QR-Code Tracking häufig das berechtigte Interesse als Rechtsgrundlage herangezogen, sofern die Daten anonymisiert oder pseudonymisiert verarbeitet werden. Dies ist vergleichbar mit der Webanalyse auf Websites.

2. Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)

Es dürfen nur Daten erhoben werden, die für den Zweck der Verarbeitung tatsächlich erforderlich sind. Für die Analyse der QR-Code-Performance sind aggregierte Daten wie Scan-Anzahl, ungefährer Standort und Gerätetyp ausreichend – eine vollständige IP-Adresse ist dafür nicht zwingend nötig.

3. Transparenz (Art. 13 DSGVO)

Nutzer müssen darüber informiert werden, dass und welche Daten beim Scannen des QR-Codes erfasst werden. Dies geschieht typischerweise über die Datenschutzerklärung der Zielseite oder des Unternehmens.

4. Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO)

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck der Verarbeitung erforderlich ist. Für Tracking-Daten bedeutet das: Sobald die Analysezeiträume abgelaufen sind, sollten personenbezogene Daten gelöscht oder vollständig anonymisiert werden.

IP-Anonymisierung – der Schlüssel zur DSGVO-Konformität

Die IP-Anonymisierung ist eine der wichtigsten technischen Maßnahmen, um QR-Code Tracking DSGVO-konform zu gestalten. Dabei wird die IP-Adresse des Nutzers vor der Speicherung gekürzt oder vollständig entfernt.

Bei der IP-Anonymisierung wird typischerweise das letzte Oktett der IPv4-Adresse (z. B. 192.168.1.xxx) auf Null gesetzt. Dadurch ist eine Identifizierung einzelner Nutzer nicht mehr möglich, während die ungefähre geografische Zuordnung (Stadt/Region) erhalten bleibt.

QROVA setzt diese Technik standardmäßig ein. Jede IP-Adresse wird vor der Speicherung automatisch anonymisiert. Damit erhalten Sie aussagekräftige Standortdaten für Ihre Analysen, ohne personenbezogene Daten zu speichern. Mehr dazu erfahren Sie auf unserer Datenschutzseite.

Serverstandort und Datenübermittlung

Ein weiterer kritischer Punkt ist der Serverstandort des QR-Code-Anbieters. Seit dem Schrems-II-Urteil des EuGH (2020) ist die Übermittlung personenbezogener Daten in die USA und andere Drittländer deutlich eingeschränkt.

Viele internationale QR-Code-Anbieter nutzen Server in den USA oder Asien. Selbst mit Standardvertragsklauseln (SCCs) bleibt ein Restrisiko, da US-Behörden unter bestimmten Umständen auf die Daten zugreifen können.

QROVA löst dieses Problem konsequent: Alle Daten werden ausschließlich auf Servern in der EU gespeichert. Es findet keine Datenübermittlung in Drittländer statt. Damit entfallen sämtliche Probleme rund um Drittlandtransfers und Sie sind auf der sicheren Seite.

Auftragsverarbeitung und AVV

Wenn Sie einen QR-Code-Anbieter nutzen, der Tracking-Daten in Ihrem Auftrag verarbeitet, liegt eine Auftragsverarbeitung gemäß Art. 28 DSGVO vor. In diesem Fall ist der Abschluss eines Auftragsverarbeitungsvertrags (AVV) erforderlich.

Der AVV regelt unter anderem:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen
• Technische und organisatorische Maßnahmen (TOMs)

QROVA stellt auf Anfrage einen AVV zur Verfügung, der alle Anforderungen der DSGVO erfüllt. So können Sie das QR-Code Tracking rechtssicher in Ihre Prozesse integrieren.

Praktische Tipps für DSGVO-konformes QR-Code Tracking

Mit den folgenden Maßnahmen stellen Sie sicher, dass Ihr QR-Code Tracking den Anforderungen der DSGVO entspricht:

1. Anbieter mit EU-Servern wählen

Nutzen Sie einen QR-Code-Anbieter, der Daten ausschließlich auf Servern in der EU speichert. Damit vermeiden Sie die rechtlichen Risiken von Drittlandtransfers.

2. IP-Anonymisierung aktivieren

Stellen Sie sicher, dass IP-Adressen vor der Speicherung anonymisiert werden. Bei QROVA ist dies standardmäßig aktiviert – bei anderen Anbietern müssen Sie diese Einstellung möglicherweise manuell vornehmen.

3. Datenschutzerklärung aktualisieren

Ergänzen Sie Ihre Datenschutzerklärung um einen Abschnitt zum QR-Code Tracking. Erklären Sie, welche Daten erfasst werden, zu welchem Zweck und auf welcher Rechtsgrundlage.

4. AVV abschließen

Schließen Sie mit Ihrem QR-Code-Anbieter einen Auftragsverarbeitungsvertrag ab. Dieser ist bei Auftragsverarbeitung gesetzlich vorgeschrieben.

5. Datenminimierung beachten

Erfassen Sie nur die Daten, die Sie tatsächlich für Ihre Analysen benötigen. Verzichten Sie auf unnötige Datenpunkte und löschen Sie Tracking-Daten, wenn sie nicht mehr benötigt werden.

6. Cookie-Banner auf Zielseiten

Wenn die QR-Code-Zielseite zusätzliche Tracking-Tools (wie Google Analytics oder Facebook Pixel) einsetzt, ist ein Cookie-Banner mit aktiver Einwilligung erforderlich. Das QR-Code-Tracking selbst kann – bei ausreichender Anonymisierung – unter berechtigtem Interesse laufen.

Was macht QROVA DSGVO-konform?

QROVA wurde von Anfang an mit dem Fokus auf Datenschutz entwickelt. Die wichtigsten Datenschutzmerkmale im Überblick:

• Automatische IP-Anonymisierung: Jede IP-Adresse wird vor der Speicherung anonymisiert
• EU-Server: Alle Daten werden ausschließlich auf Servern in der EU gespeichert
• Kein Drittlandtransfer: Keine Übermittlung von Daten in die USA oder andere Drittländer
• AVV auf Anfrage: Auftragsverarbeitungsvertrag für rechtssichere Nutzung
• Datenminimierung: Es werden nur die für die Analyse notwendigen Daten erfasst
• Transparenz: Klare Dokumentation der Datenverarbeitung
• Löschkonzept: Regelmäßige Bereinigung nicht mehr benötigter Daten

Mit diesen Maßnahmen können Sie das QR-Code Tracking von QROVA bedenkenlos einsetzen – auch in datenschutzsensiblen Branchen wie dem Gesundheitswesen, der Finanzbranche oder der öffentlichen Verwaltung.

Bußgelder bei Verstößen: Was droht?

DSGVO-Verstöße können teuer werden. Die Aufsichtsbehörden können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängen – je nachdem, welcher Betrag höher ist. Auch wenn solche Höchststrafen selten sind, verhängen deutsche Datenschutzbehörden regelmäßig Bußgelder im fünf- bis sechsstelligen Bereich.

Besonders riskant ist die Nutzung von Tracking-Tools ohne ausreichende Rechtsgrundlage oder die Datenübermittlung in Drittländer ohne geeignete Schutzmaßnahmen. Wer auf einen DSGVO-konformen Anbieter wie QROVA setzt, minimiert dieses Risiko erheblich.

Häufig gestellte Fragen

Ist QR-Code Tracking ohne Einwilligung erlaubt?

Grundsätzlich ja, sofern die Daten ausreichend anonymisiert werden und ein berechtigtes Interesse vorliegt. Durch IP-Anonymisierung und den Verzicht auf Cookies kann QR-Code Tracking ohne explizite Einwilligung erfolgen. Auf der Zielseite eingesetzte Tools wie Google Analytics erfordern jedoch weiterhin eine Einwilligung per Cookie-Banner.

Welche Daten gelten als personenbezogen beim QR-Code Tracking?

Primär die vollständige IP-Adresse. Aggregierte Daten wie Scan-Anzahl, ungefährer Standort (Stadt/Region) und Gerätetyp gelten nach Anonymisierung nicht als personenbezogene Daten und können ohne Einwilligung erfasst werden.

Muss ich meine Datenschutzerklärung anpassen?

Ja. Wenn Sie dynamische QR-Codes mit Tracking einsetzen, sollten Sie dies in Ihrer Datenschutzerklärung erwähnen. Beschreiben Sie, welche Daten erfasst werden, zu welchem Zweck und wer der Auftragsverarbeiter ist. QROVA stellt hierfür einen Mustertext zur Verfügung.

Sind QR-Code-Anbieter aus den USA DSGVO-konform?

Das ist seit dem Schrems-II-Urteil problematisch. Auch mit dem EU-US Data Privacy Framework bleiben Restrisiken. Für maximale Rechtssicherheit empfehlen wir einen Anbieter mit EU-Serverstandort wie QROVA, der keine Daten in Drittländer übermittelt.

Weiterführende Informationen: DSGVO-Gesetz (Volltext)

DSGVO QR-Code — Vorteile und Funktionen

Mit DSGVO QR-Code von QROVA profitierst du von modernster Scan-Technologie. DSGVO QR-Code ermöglicht dir Echtzeit-Einblicke in das Nutzerverhalten. Teste DSGVO QR-Code jetzt kostenlos und überzeuge dich selbst von den Vorteilen.