Um QR-Codes DSGVO-konform zu nutzen, müssen Sie insbesondere bei dynamischen Varianten mit Tracking-Funktion die Grundsätze des Datenschutzes beachten. Entscheidend sind die Wahl eines Anbieters mit Serverstandort in der EU, transparente Informationen für die Nutzer über die Datenverarbeitung und das Einholen einer Einwilligung, falls personenbezogene Daten wie IP-Adressen erfasst werden. Statische QR-Codes ohne Datenerfassung sind in der Regel datenschutzrechtlich unproblematisch.
Was bedeutet DSGVO-Konformität bei QR-Codes?
QR-Codes sind aus dem Marketing und der Organisation von Geschäftsprozessen nicht mehr wegzudenken. Doch ihre Nutzung wirft datenschutzrechtliche Fragen auf. Die Konformität mit der Datenschutz-Grundverordnung (DSGVO) hängt maßgeblich von der Art des QR-Codes ab, den Sie verwenden.
Statischer vs. Dynamischer QR-Code
Ein statischer QR-Code enthält die Zielinformation, zum Beispiel eine Web-Adresse, direkt im Code selbst. Er ist unveränderlich und funktioniert ohne Umwege. Beim Scannen wird keine Verbindung zu einem Server des QR-Code-Anbieters hergestellt. Daher werden in der Regel keine personenbezogenen Daten erfasst, was den Einsatz aus DSGVO-Sicht unkompliziert macht.
Ein dynamischer QR-Code hingegen enthält nur eine kurze URL, die auf die Server des Anbieters verweist. Dieser Server leitet den Nutzer dann zur eigentlichen Ziel-URL weiter. Dieser Umweg ermöglicht es, das Ziel des QR-Codes nachträglich zu ändern und wertvolle Scan-Statistiken zu erheben. Genau hier beginnt die Relevanz der DSGVO: Bei dieser Weiterleitung können Daten wie die IP-Adresse, der Gerätetyp, der Standort und die Scan-Zeit erfasst werden.
Die rechtlichen Grundlagen: Wann werden personenbezogene Daten verarbeitet?
Sobald durch den Scan eines QR-Codes Daten erfasst werden, die einer Person zugeordnet werden können, handelt es sich um die Verarbeitung personenbezogener Daten. Dazu zählt bereits die IP-Adresse des scannenden Geräts. In diesem Moment müssen die Grundsätze der DSGVO eingehalten werden:
- Transparenz: Nutzer müssen klar und verständlich darüber informiert werden, welche Daten zu welchem Zweck erhoben werden.
- Zweckbindung: Die erhobenen Daten dürfen nur für den vorab festgelegten, eindeutigen und legitimen Zweck verwendet werden.
- Datenminimierung: Es dürfen nur so viele Daten erhoben werden, wie für den Zweck unbedingt erforderlich sind.
- Rechtsgrundlage: Für die Verarbeitung muss eine Rechtsgrundlage vorliegen, oft ist das die Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO).
Rechnungen und Belege ohne Tabellenchaos
QROVA erstellt Rechnungen nach § 14 UStG, erfasst Belege und führt die EÜR – speziell für Kleinunternehmer nach § 19 UStG.
Checkliste: QR-Codes datenschutzkonform einsetzen
Um sicherzustellen, dass Ihr Einsatz von QR-Codes den datenschutzrechtlichen Anforderungen genügt, können Sie sich an der folgenden Checkliste orientieren. Dies ist besonders wichtig, wenn Sie dynamische QR-Codes mit Tracking-Funktionen verwenden.
| Prüfpunkt | Beschreibung | Praktische Umsetzung |
|---|---|---|
| Anbieter-Auswahl | Wählen Sie einen Anbieter, der seine Server in Deutschland oder der EU betreibt und dessen Geschäftspraktiken der DSGVO entsprechen. | Prüfen Sie das Impressum und die Datenschutzerklärung des Anbieters. Schließen Sie einen Auftragsverarbeitungsvertrag (AVV) ab. |
| Transparenz und Information | Informieren Sie die Nutzer darüber, dass beim Scannen des Codes Daten verarbeitet werden. | Platzieren Sie einen kurzen Hinweis direkt unter dem QR-Code. Verlinken Sie auf Ihre ausführliche Datenschutzerklärung. |
| Einwilligung einholen | Wenn Sie nicht notwendige Daten (z. B. für Marketing-Analysen) tracken, benötigen Sie eine aktive Einwilligung des Nutzers. | Die Zielseite des QR-Codes sollte einen Cookie- oder Consent-Banner enthalten, bevor Tracking-Skripte geladen werden. |
| Datenminimierung | Erfassen Sie nur die Daten, die Sie für Ihren Zweck wirklich benötigen. | Konfigurieren Sie das Tracking in Ihrem QR-Code-Tool so, dass unnötige Daten (z.B. genauer Standort) deaktiviert sind. Nutzen Sie IP-Anonymisierung, falls verfügbar. |
| Zweckbindung | Verwenden Sie die gesammelten Daten ausschließlich für den Zweck, über den Sie den Nutzer informiert haben. | Wenn Sie Daten für die Analyse der Marketing-Effektivität sammeln, dürfen Sie diese nicht ohne Weiteres für andere Zwecke, wie die individuelle Profilbildung, nutzen. |
| Sicherheit der Daten | Stellen Sie sicher, dass die Datenübertragung und -speicherung sicher erfolgen. | Achten Sie darauf, dass Ihr Anbieter technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten implementiert hat. Dies wird auch im AVV geregelt. |
Einen DSGVO-konformen QR-Code-Generator auswählen
Die Wahl des richtigen Werkzeugs ist die Grundlage für den datenschutzkonformen Einsatz. Ein DSGVO-konformer QR-Code-Generator sollte mehrere Kriterien erfüllen:
- Serverstandort Deutschland/EU: Dies stellt sicher, dass die Datenverarbeitung im Geltungsbereich der DSGVO stattfindet und keine unsicheren Datentransfers in Drittländer erfolgen.
- Auftragsverarbeitungsvertrag (AVV): Ein seriöser Anbieter muss Ihnen die Möglichkeit bieten, einen AVV nach Art. 28 DSGVO abzuschließen. Dieses Dokument regelt rechtlich verbindlich, wie der Anbieter mit Ihren Daten umgeht.
- Transparente Datenschutzerklärung: Der Anbieter selbst muss transparent darlegen, welche Daten er wie und warum verarbeitet.
- Konfigurationsmöglichkeiten: Idealerweise können Sie im Tool genau einstellen, welche Daten getrackt werden sollen und Funktionen wie die IP-Anonymisierung aktivieren.
Die Software von qrova.io ist eine Lösung, die diese Anforderungen erfüllt. Als deutsches Unternehmen mit Serverstandort in Deutschland unterliegt qrova.io vollständig den hiesigen Datenschutzgesetzen und bietet eine DSGVO-konforme Plattform zur Erstellung und Verwaltung von dynamischen QR-Codes.
Praktische Beispiele für den DSGVO-konformen Einsatz
Beispiel 1: QR-Code auf einem Flyer
Sie drucken einen QR-Code auf einen Werbeflyer, der zu einer Landingpage für ein neues Produkt führt. Sie möchten die Scans zählen, um den Erfolg des Flyers zu messen.
- Umsetzung: Sie nutzen einen dynamischen QR-Code. Unter den Code drucken Sie einen Hinweis: „Durch Scannen des Codes werden anonymisierte Statistikdaten erfasst. Mehr Infos in unserer Datenschutzerklärung auf [Ihre Webseite].“ Die Zielseite benötigt einen Consent-Banner, wenn dort weitere Cookies für Marketingzwecke gesetzt werden.
Beispiel 2: Digitale Speisekarte im Restaurant
Ein QR-Code auf dem Tisch führt zur digitalen Speisekarte.
- Umsetzung: Wenn Sie nur zur Speisekarte verlinken und keine Scans tracken, ist ein statischer QR-Code ausreichend und datenschutzrechtlich unbedenklich. Möchten Sie jedoch wissen, wie oft die Karte aufgerufen wird, nutzen Sie einen dynamischen Code und informieren in Ihrer Datenschutzerklärung darüber. Da das Tracking hier für die reine Funktionsbereitstellung nicht zwingend notwendig ist, ist eine Einwilligung zu empfehlen.
Der bewusste und transparente Umgang mit Daten ist kein Hindernis, sondern ein Qualitätsmerkmal. Er schafft Vertrauen bei Ihren Kunden und schützt Sie als Unternehmer vor rechtlichen Konsequenzen.
Dieser Beitrag ersetzt keine steuerliche oder rechtliche Beratung. Er gibt den Stand August 2026 wieder. Für verbindliche Auskünfte wenden Sie sich bitte an eine Steuerberaterin oder einen Steuerberater.
Häufige Fragen
Ist jeder QR-Code DSGVO-relevant?
Nicht zwangsläufig. Ein statischer QR-Code, der nur eine URL ohne Tracking enthält, ist meist unproblematisch. Sobald jedoch ein dynamischer QR-Code mit Tracking-Funktionen genutzt wird, werden personenbezogene Daten wie die IP-Adresse erfasst. In diesem Fall sind die Vorgaben der DSGVO vollständig zu beachten, da eine Datenverarbeitung stattfindet.
Was passiert, wenn ich QR-Codes nicht DSGVO-konform nutze?
Der nicht datenschutzkonforme Einsatz von QR-Codes kann zu Abmahnungen und Bußgeldern durch die Datenschutzbehörden führen. Zudem riskieren Sie einen Vertrauensverlust bei Ihren Kunden. Es ist daher essenziell, die Transparenzpflichten zu erfüllen, bei Tracking eine Einwilligung einzuholen und einen vertrauenswürdigen Anbieter zu wählen.
Benötige ich einen Auftragsverarbeitungsvertrag (AVV) mit meinem QR-Code-Anbieter?
Ja, wenn Sie einen Anbieter für dynamische QR-Codes nutzen, der in Ihrem Auftrag personenbezogene Daten durch Tracking verarbeitet. Der Anbieter agiert als Auftragsverarbeiter, weshalb ein AV-Vertrag gemäß Art. 28 DSGVO zwingend erforderlich ist. Dieser regelt die Rechte und Pflichten im Umgang mit den Daten und sichert die Einhaltung der DSGVO ab.
Kann ich IP-Adressen beim QR-Code-Tracking anonymisieren?
Ja, viele DSGVO-konforme QR-Code-Generatoren bieten die Möglichkeit, IP-Adressen zu anonymisieren. Dies ist eine wichtige Maßnahme zur Datenminimierung, bei der Teile der IP-Adresse entfernt werden, sodass ein direkter Personenbezug nicht mehr oder nur mit erheblichem Aufwand hergestellt werden kann. Prüfen Sie, ob Ihr Anbieter diese Funktion unterstützt.
Dynamischer QR-Code mit Tracking
Ziel jederzeit ändern, Scans auswerten, DSGVO-konform aus Deutschland.
