QR-Code und DSGVO: Scans rechtssicher im deutschsprachigen Raum messen
Ein Scan ist kein Klick im Internet – er ist eine Begegnung im öffentlichen Raum. Wer einen QR-Code auf ein Plakat, eine Speisekarte oder eine Verpackung druckt, löst eine Datenverarbeitung im Sinne der Datenschutz-Grundverordnung aus, sobald jemand das Smartphone anhebt.
Welche Daten Sie bei einem Scan erheben dürfen, regelt nicht der Anbieter des Codes, sondern die DSGVO selbst. Wer QR-Code-Auswertungen DSGVO-konform betreiben will, muss daher zuerst verstehen, welche technischen Daten bei jedem Scan anfallen, welche davon personenbezogen sind und welche Rechtsgrundlage das eigene Vorgehen trägt.
Inhaltsverzeichnis
- Die wichtigsten Punkte
- Welche Daten entstehen bei einem QR-Code-Scan automatisch?
- QR-Code DSGVO-konform: Welche Pflichten gelten für Verantwortliche?
- Gesalzener IP-Hash vs. Roh-IP: Warum der Unterschied zählt
- Braucht ein QR-Code ein Impressum oder eine Datenschutzerklärung?
- Scan-Analyse ohne Pixel: Praktische Alternativen zu Analytics
- QR-Code im Außenbereich: Weniger ist mehr
- FAQ zur DSGVO-Konformität von QR-Codes
- Quellen
Die wichtigsten Punkte
- Ein QR-Code-Scan liefert dem Server automatisch die IP-Adresse, den Gerätetyp, das Betriebssystem, die Sprache des Browsers und die Herkunftsseite – alles Daten, die unter die DSGVO fallen.
- Eine Roh-IP-Adresse ist nach Auffassung des Europäischen Datenschutzausschusses ein personenbezogenes Datum; ein gesalzener Hash, der nicht in die Adresse zurückgerechnet werden kann, ist es nicht.
- Pixel-Tracker auf der Zielseite sind für die Scan-Messung nicht nötig und im deutschsprachigen Raum rechtlich heikel; serverseitige Auswertung genügt.
- Im Außenbereich gilt: weniger Daten, kürzere Speicherung, klarer Hinweis am Code selbst.
- Impressum und Datenschutzerklärung auf der Zielseite sind Pflicht, sobald die Seite gewerbliche Inhalte darstellt oder personenbezogene Daten verarbeitet.
Welche Daten entstehen bei einem QR-Code-Scan automatisch?
Ein Scan eines QR-Codes erzeugt auf dem Server, der die Weiterleitung ausliefert, mindestens fünf technische Datenpunkte:
- die IP-Adresse des zugreifenden Geräts,
- einen Zeitstempel,
- den User-Agent-String mit Gerätetyp und Betriebssystem,
- die bevorzugte Sprache des Browsers,
- die Herkunftsseite, von der aus der Aufruf erfolgt ist.
Hinzu kommen je nach Aufbau des Codes Geokoordinaten, wenn der Scan in einer App mit Ortungsfreigabe erfolgt, und ein HTTP-Referrer, falls der Code aus einer anderen Webseite heraus geöffnet wird.
All diese Werte fallen unter die DSGVO, sobald sie mit einem Aufwand gespeichert werden, der über eine reine Verbindungsherstellung hinausgeht. Eine reine Verbindungsherstellung im Sinne der ePrivacy-Richtlinie darf ohne Einwilligung erfolgen, jede darüber hinausgehende Speicherung benötigt eine Rechtsgrundlage nach Artikel 6 DSGVO.
Wer also nur weiterleitet und nichts speichert, ist weitgehend aus dem Schneider; jede Form von „Wir protokollieren Ihren Scan" ist eine Verarbeitung mit Folgen.
Die Konsequenz daraus: schon die Frage, ob ein QR-Code überhaupt DSGVO-konform eingesetzt werden kann, hängt nicht am Code selbst, sondern an dem, was der Server dahinter tut. Wer einen dynamischen Code verwendet, sollte vor dem Druck klären, ob der Anbieter Roh-Adressen speichert oder nur einen Hash, ob er ein Profiling betreibt und ob er Daten an Werbenetzwerke weitergibt. Wer einen statischen Code verwendet, entzieht diese Frage dem Anbieter und beantwortet sie auf der eigenen Zielseite.
QR-Code DSGVO-konform: Welche Pflichten gelten für Verantwortliche?
QR-Code DSGVO-konform einzusetzen heißt, vier Pflichten aus der Verordnung sauber abzuarbeiten:
- Rechtsgrundlage – in der Regel ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO, wenn der Scan zu anonymen Reichweitenmessungen dient; eine Einwilligung nach lit. a wird nötig, sobald zusätzliche Tracker auf der Zielseite gesetzt werden oder Profile gebildet werden.
- Informationspflicht – die Person muss vor dem Scan erkennen können, was mit ihren Daten passiert, entweder über einen sichtbaren Hinweis am Code oder über eine Datenschutzerklärung, die ohne Umweg vom ersten Treffer erreichbar ist.
- Datensparsamkeit – nur so viel erheben wie nötig: Land und Geräteklasse reichen für die meisten Auswertungen, eine Roh-IP ist dafür nicht erforderlich.
- Betroffenenrechte – Auskunft, Löschung, Widerspruch müssen innerhalb eines Monats beantwortet werden, auch wenn sich der Antrag gegen den Server des Code-Anbieters richtet.
Die Pflichten verteilen sich auf mehrere Schultern. Verantwortlicher im Sinne der DSGVO ist in der Regel das Haus, das den Code druckt und die Zielseite betreibt, nicht der Anbieter des dynamischen Codes als Auftragsverarbeiter. Wer einen dynamischen QR-Code-Generator nutzt, sollte daher prüfen, ob ein Auftragsverarbeitungsvertrag vorliegt und ob der Anbieter die Daten in der EU oder in einem Drittland mit Angemessenheitsbeschluss hostet.
Die Konsequenzen bei Verstößen sind nicht abstrakt: Aufsichtsbehörden können Bußgelder nach Art. 83 DSGVO verhängen, und Abmahnverbände sehen in fehlender oder falscher Datenschutzinformation einen abmahnfähigen Wettbewerbsverstoß.
Welche Rechtsgrundlage trägt die Scan-Messung typisch?
Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO trägt die anonyme Reichweitenmessung, sofern die Interessen der scanenden Person nicht überwiegen. Einwilligung nach lit. a wird nötig, sobald Cookies mit Personenbezug gesetzt oder Profile gebildet werden.
Eine pauschale „Wir messen mit" genügt nicht; der Zweck der Messung muss benannt, die Speicherdauer begrenzt und die Auswertung auf das Notwendige beschränkt sein.
Gesalzener IP-Hash vs. Roh-IP: Warum der Unterschied zählt
Ein gesalzener Hash der IP-Adresse ist etwas anderes als die Roh-IP und gilt in der Regel als datenschutzfreundlichere Variante der Scan-Auswertung. Eine IP-Adresse ist nach der Stellungnahme des Europäischen Datenschutzausschusses vom 8. April 2014 zu dynamischen IP-Adressen ein personenbezogenes Datum, weil der Internetanbieter die Zuordnung zur Person vornehmen kann.
Ein Hash – eine Einwegabbildung der Zeichenkette – verliert diesen Personenbezug nur dann vollständig, wenn zwei Bedingungen erfüllt sind:
- der Hash muss mit einem geheimen, dem Server vorbehaltenen Salt erzeugt werden,
- der Salt darf nicht in dieselbe Eingabe rückgerechnet werden können.
Genau diesen Weg gehen Anbieter, die in ihren Datenschutzerklärungen festhalten, dass eine Rückrechnung des Hashes in die ursprüngliche Adresse ausgeschlossen ist.
Wird hingegen die Roh-IP gespeichert, ist die Verarbeitung nicht pauschal verboten, aber sie löst alle Pflichten der DSGVO aus: Auskunft auf Anfrage, Löschung auf Antrag, Dokumentation in einem Verzeichnis der Verarbeitungstätigkeiten. Wer die Speicherung auf das Notwendige reduzieren will, sollte daher vor dem Live-Gang prüfen, ob ein gesalzener Hash für die eigenen Auswertungsziele ausreicht.
Für Reichweitenmessung nach Land und Geräteklasse reicht ein Hash; für Fraud-Erkennung und Bot-Filterung, die eine Wiedererkennung über mehrere Scans hinweg erfordern, wird mehr gebraucht – und dort ist die Rechtsgrundlage erneut zu prüfen.
Wie erkennt man einen datenschutzfreundlichen Anbieter?
Ein datenschutzfreundlicher Anbieter schreibt in seiner Datenschutzerklärung, dass er keine Roh-IP speichert, dass er einen gesalzenen Hash verwendet und dass er den Salt nicht herausgibt. Er benennt einen Sitz in der EU oder einem Land mit Angemessenheitsbeschluss, schließt einen Auftragsverarbeitungsvertrag und verzichtet auf Drittweitergaben an Werbenetzwerke.
Wer Scans rechtssicher messen will, sollte diese Punkte vor dem Druck vertraglich fixieren, nicht erst nach dem ersten Bußgeld.
Braucht ein QR-Code ein Impressum oder eine Datenschutzerklärung?
Ein gedruckter QR-Code selbst braucht kein Impressum, weil er kein eigenständiges Telemedium ist. Die Seite, auf die er zeigt, unterliegt jedoch den Regeln des Telemedienrechts des Sitzlandes. In Deutschland folgt die Impressumspflicht aus § 5 DDG (Digitale-Dienste-Gesetz, in Kraft seit 2024), die Pflicht zur Datenschutzerklärung aus Art. 13 und 14 DSGVO.
Beide Pflichten greifen, sobald die Zielseite geschäftsmäßig betrieben wird und personenbezogene Daten verarbeitet werden – und ein Scan, der irgendetwas speichert, ist genau das.
In der Praxis heißt das: der Code selbst darf schlicht sein, aber die Zielseite muss von jedem Code, der eine Verarbeitung scanender Personen erlaubt, in maximal zwei Klicks zur Datenschutzerklärung führen. Wer einen Code auf eine Visitenkarte druckt und auf das eigene LinkedIn-Profil zeigt, braucht kein zusätzliches Impressum auf der Visitenkarte, weil LinkedIn seine eigenen Pflichten erfüllt. Wer auf eine eigene Landingpage zeigt, die Kontaktdaten erhebt, muss dort sichtbar Anbieter, Zweck und Speicherdauer benennen.
Wer unsicher ist, ob die eigene Konfiguration die Impressumspflicht auslöst, sollte die Zielseite so behandeln, als wäre sie eine eigene Webseite.
Muss der Code selbst einen Hinweis tragen?
Ein kurzer Hinweis am Code – „Scan erfasst anonymisierte Nutzungsdaten" – ist im Außenbereich nach der Auffassung vieler Aufsichtsbehörden sinnvoll, rechtlich aber nicht in jedem Fall zwingend. Pflicht wird er, sobald der Scan über die bloße Verbindungsherstellung hinaus personenbezogene Daten speichert oder Profile ermöglicht.
Im Zweifel ist ein sichtbarer Hinweis am Aufstellungsort die preiswertere Variante als eine nachträgliche Auskunftspflicht auf Anfrage.
Scan-Analyse ohne Pixel: Praktische Alternativen zu Analytics
QR-Code-Pixel-Tracking zu vermeiden heißt nicht, auf Auswertung zu verzichten, sondern den Pixel durch eine serverseitige Logauswertung zu ersetzen. Die Zielseite braucht kein JavaScript, keinen Cookie und kein Drittskript, um zu zählen, wie oft sie über einen Code aufgerufen wurde; die Information liegt bereits in den Logfiles des Servers, der die Weiterleitung ausliefert.
Für die meisten Fragen reicht eine Aggregation dieser Logdaten:
- welcher Code wurde wann wie oft gescannt,
- mit welchem Gerät,
- aus welchem Land.
Wer mehr Komfort will, kann auf eine schlanke Eigenlösung setzen: ein Endpunkt, der pro Code einen Zähler führt, Land und Geräteklasse aus dem User-Agent ableitet und das Ergebnis in einem internen Dashboard anzeigt. Wer eine gehostete Lösung will, sollte darauf achten, dass sie die Daten in der EU hostet, keine Drittskripte nachlädt und keine Personenprofile baut.
Für die Frage, wie sich Pixel-Tracking bei QR-Codes vermeiden lässt, ist die Antwort fast immer: gar nicht erst einbauen. Reichweite kommt aus dem Serverlog, nicht aus dem Browser.
Was liefert eine serverseitige Auswertung, was Pixel-Tracking nicht liefert?
Serverseitige Auswertung liefert Scan-Zahlen, Zeitverlauf, Land und Geräteklasse – alles, was zur Reichweitenmessung nötig ist. Sie liefert nicht das Verhalten auf der Zielseite, keine Verweildauer, keine Scrolltiefe.
Wer das braucht, sollte prüfen, ob ein datenschutzfreundliches Analysetool wie eine On-Premise-Instanz von Matomo oder ein vergleichbares Produkt eingesetzt wird – und die Einwilligungspflicht auf der Zielseite sauber abbilden.
QR-Code im Außenbereich: Weniger ist mehr
QR-Code im Außenbereich steht unter denselben Regeln wie im Innenraum, mit einem verschärften Faktor Öffentlichkeit. Wer im Außenbereich scannt, hat in der Regel keine bewusste Einwilligung in eine Datenverarbeitung gegeben, sondern folgt einem Hinweis auf dem Plakat. Das verschiebt die Argumentationslast: wer dort etwas speichert, muss zeigen können, dass die Speicherung für den Erreichen des Zwecks erforderlich ist und keinen unverhältnismäßigen Eingriff darstellt.
In der Praxis folgt daraus eine einfache Regel: weniger Daten, kürzere Speicherung, klarer Zweck am Aufstellungsort. Ein Code, der auf eine Speisekarte zeigt, braucht keine Geokoordinaten und keine Verweildauerprüfung; ein Code, der auf eine Aktionsseite zeigt, braucht keine monatelange Speicherung der Scan-Zahlen auf Personenebene.
Aggregation nach Tag, Land und Geräteklasse, Löschung der Rohdaten nach 7 bis 90 Tagen, ein sichtbarer Hinweis am Code – das ist die Grundlinie. Wer diese Linie einhält, kann auch im Außenbereich messen, ohne die DSGVO zu verbieten.
Wie lange darf man Scan-Daten aufbewahren?
Eine starre Frist kennt die DSGVO nicht; maßgeblich ist der Zweck. Für anonyme Reichweitenmessung genügen oft 30 bis 90 Tage, danach liegt kein Nutzen mehr in der Einzelauflistung. Für Aggregationen, die keine Personenbezüge mehr enthalten, gilt keine Aufbewahrungsfrist im engeren Sinn; sie können so lange bleiben, wie sie für die Geschäftsentscheidung benötigt werden.
FAQ zur DSGVO-Konformität von QR-Codes
Ist ein QR-Code-Scan in der DSGVO eine Datenverarbeitung?
Ja, sobald der Server, der die Weiterleitung ausliefert, etwas über den eigentlichen Verbindungsaufbau hinaus speichert. IP-Adresse, Zeitstempel, User-Agent und Sprache sind personenbezogene Daten im Sinne der DSGVO; jede Speicherung löst die Pflichten aus Art. 5 und Art. 6 aus.
Brauche ich für jeden QR-Code eine eigene Datenschutzerklärung?
Nein, eine zentrale Datenschutzerklärung reicht aus, sofern sie von jedem Code in maximal zwei Klicks erreichbar ist und die für den jeweiligen Scan spezifischen Punkte – Zweck, Speicherdauer, Rechtsgrundlage – nennt.
Darf ich die IP-Adresse meiner Scan-Besucher speichern?
Eine Roh-IP darf gespeichert werden, wenn eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt und die Speicherung auf das Notwendige begrenzt ist. Ein gesalzener Hash, der nicht in die Adresse zurückgerechnet werden kann, ist in der Regel die mildere Form der Verarbeitung und für Reichweitenanalysen ausreichend.
Muss ich für einen QR-Code auf einem Plakat eine Einwilligung einholen?
Eine Einwilligung ist nötig, sobald die Zielseite Cookies mit Personenbezug setzt, Profile bildet oder Daten an Werbenetzwerke weitergibt. Für eine anonyme Reichweitenmessung über serverseitige Logs reicht in der Regel ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO und ein sichtbarer Hinweis am Code.
Wie kann ich QR-Code-Scans ohne Pixel-Tracking messen?
Die Reichweite lässt sich vollständig serverseitig aus den Logfiles des Weiterleitungs-Servers messen: Land, Geräteklasse, Zeitverlauf. Wer mehr Komfort will, kann auf eine schlanke Eigenlösung oder einen datenschutzfreundlichen gehosteten Dienst setzen; Pixel-Tracker sind dafür nicht nötig.