QR-Codes und DSGVO: wer beim Scannen was erfährt

Sobald ein QR-Code in einer Kampagne auftaucht, kommt die Frage, ob man damit „Nutzer trackt“. Die Antwort hängt an einer einzigen technischen Unterscheidung: Steht die Zieladresse wörtlich im Muster, oder läuft der Aufruf über einen Server dazwischen.

Was beim Scannen technisch passiert

Der Ablauf hat vier Schritte, und jeder davon hat einen anderen Beteiligten:

1. Dekodieren. Die Kamera-App liest das Muster und wandelt es lokal in Text um. Bei den Kamera-Apps von iOS und Android geschieht das auf dem Gerät. Es gibt keinen Server, der davon erfährt.
2. Öffnen. Der Nutzer tippt auf das Ergebnis; das Betriebssystem übergibt die Adresse an den Browser.
3. Aufrufen. Der Browser stellt eine HTTP-Anfrage an den Server hinter der Adresse. Dabei übermittelt er zwangsläufig die IP-Adresse und den User-Agent; der Server protokolliert außerdem den Zeitpunkt und die aufgerufene Adresse.
4. Nachladen. Die Zielseite lädt, was sie eben lädt: Schriften, Karten, Videoeinbettungen, Analysewerkzeuge. Jeder dieser Anbieter sieht dieselbe IP-Adresse.

Der entscheidende Punkt steckt in Zeile drei: Sie ist die einzige, die Sie durch die Wahl des Codes selbst verursachen oder vermeiden.

Ein statischer Code überträgt selbst nichts

Ein statischer QR-Code enthält die Zieladresse wörtlich. Beim Scannen wird nichts gesendet, nichts protokolliert, nichts gezählt — die Datenverarbeitung beginnt erst mit dem Aufruf der Zielseite, und die hätte auch stattgefunden, wenn jemand die Adresse abgetippt hätte. Der Code fügt dem nichts hinzu.

Deshalb entsteht durch das Erzeugen und Drucken eines statischen Codes für sich genommen keine zusätzliche Verarbeitung. Wird der Code im Browser erzeugt, wie im Generator auf dieser Seite, verlässt auch der kodierte Text das Gerät nicht — relevant, wenn er personenbezogene Daten enthält.

Der dynamische Code ist eine Auftragsverarbeitung

Ein dynamischer Code enthält nicht Ihr Ziel, sondern eine kurze Adresse beim Dienstleister. Jeder Scan ist ein Aufruf dieses Servers, der die Anfrage protokolliert und anschließend weiterleitet. Protokolliert wird typischerweise:

• die IP-Adresse des Geräts,
• der Zeitpunkt auf die Sekunde genau,
• der User-Agent mit Betriebssystem und Browserversion,
• daraus abgeleitet Land oder Region,
• die Kennung des konkreten Codes.

Genau daraus entstehen die Auswertungen, für die dynamische Codes gekauft werden: Scans pro Tag, pro Standort, pro Gerätetyp. Dass diese Daten aggregiert dargestellt werden, ändert nichts an der Verarbeitung dahinter. IP-Adressen gelten nach überwiegender Auffassung als personenbezogene Daten, und der Anbieter verarbeitet sie in Ihrem Auftrag und nach Ihren Weisungen.

Daraus folgt der praktische Teil:

• Vertrag nach Art. 28 DSGVO mit dem Anbieter, vor dem ersten Scan.
• Rechtsgrundlage für die Verarbeitung bestimmen und dokumentieren; für eine reine Reichweitenmessung wird regelmäßig ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO herangezogen, für weitergehende Profilbildung nicht mehr.
• Eintrag im Verzeichnis der Verarbeitungstätigkeiten.
• Serverstandort und Drittlandtransfer klären. Viele Anbieter dynamischer Codes sitzen außerhalb der EU; dann brauchen Sie zusätzlich eine Grundlage nach Kapitel V der DSGVO.
• Löschfristen für die Protokolle vereinbaren, statt sie unbefristet laufen zu lassen.

Ein oft übersehener Nebeneffekt ist die Abhängigkeit: Endet der Vertrag, ist jeder gedruckte Code tot. Ein Datenschutzproblem ist das nicht, ein Betriebsrisiko schon.

Scanner-Apps von Drittanbietern

Ein Beteiligter fehlt in den meisten Betrachtungen, weil Sie ihn nicht auswählen können: die App, mit der gescannt wird. Wer die Kamera-App von iOS oder Android benutzt, dekodiert lokal. Wer eine kostenlose Scanner-App aus dem Store installiert hat, überträgt den Inhalt je nach Anbieter an dessen Server — samt Verlauf, Werbekennung und oft weit mehr Berechtigungen, als ein Codeleser braucht.

Verantwortlich dafür sind Sie nicht, beeinflussen können Sie es kaum. Zwei Dinge lassen sich trotzdem tun: die Zieladresse so wählen, dass sie für sich genommen nichts Sensibles verrät — eine sprechende Adresse wie /beratung/schulden verrät dem App-Anbieter das Thema, eine neutrale Kennung nicht —, und in Umgebungen mit besonders schutzwürdigen Daten den Hinweis ergänzen, mit der Kamera-App zu scannen.

UTM-Parameter, Einwilligung und die Zielseite

UTM-Parameter hängen an der Adresse und enthalten für sich keine Personendaten — utm_medium=qr sagt nur, über welchen Kanal jemand kam. Sie ermöglichen die Zuordnung ohne Weiterleitungsdienst: Sie kodieren die echte Zieladresse und sehen die Kampagne trotzdem in Ihrer eigenen Statistik.

Die datenschutzrechtliche Frage stellt sich eine Ebene weiter, auf der Zielseite. Sobald dort Informationen im Endgerät gespeichert oder ausgelesen werden — durch Cookies, localStorage oder vergleichbare Techniken —, ist das nach § 25 TDDDG einwilligungspflichtig, sofern es für den vom Nutzer gewünschten Dienst nicht unbedingt erforderlich ist. Das gilt unverändert, wenn der Besucher über einen QR-Code kommt.

Zwei Konsequenzen für die Praxis: Erstens ist eine Landingpage, auf der ein Cookie-Banner den halben Bildschirm belegt, der schlechteste Empfang für jemanden, der gerade vor einem Plakat steht. Zweitens braucht diese Seite die Informationen nach Art. 13 DSGVO — auf das Plakat passt keine Datenschutzerklärung, auf die Zielseite schon. Beschreiben Sie dort auch die Messung des Scanverhaltens, wenn Sie sie einsetzen.

Datenminimierung bei vCard- und WLAN-Codes

Nicht jeder Code führt ins Netz, und gerade die anderen enthalten oft mehr personenbezogene Daten als jede Kampagne.

Ein vCard-Code auf einer Visitenkarte, einem Türschild oder einer Signatur trägt Namen, Funktion, Telefonnummer und E-Mail-Adresse offen im Muster — für jeden lesbar, der ihn scannt, dauerhaft und ohne Rückholmöglichkeit. Nehmen Sie nur die Felder auf, die tatsächlich gebraucht werden. Die private Mobilnummer gehört selten dazu, und Beschäftigtendaten gehören überhaupt nur mit Wissen der Betroffenen in ein öffentlich ausgehängtes Muster. Welche Felder sinnvoll sind und wie sie sich auf die Codegröße auswirken, steht im Ratgeber zum QR-Code auf der Visitenkarte; im Baukasten unter Visitenkarten-QR-Code lassen Sie ein Feld schlicht leer, dann taucht es im Muster gar nicht erst auf.

Ein WLAN-Code enthält kein personenbezogenes Datum, aber ein Passwort im Klartext, das jeder mitnehmen kann, der den Aushang fotografiert. Hier gilt dieselbe Logik in der Sicherheitsvariante: nur ein Gastnetz, getrennt vom internen Netz. Das Format und seine Fallstricke behandelt der Ratgeber zum WLAN-QR-Code, erzeugen lässt sich der Code unter WLAN-QR-Code erstellen — auch dort passiert alles im Browser, das Passwort geht an keinen Server.

Der eigene Redirect ist die datenschutzfreundlichere Variante

Wer die Zieladresse später ändern können will, braucht nicht zwingend einen externen Dienst. Eine Weiterleitung auf der eigenen Domain leistet dasselbe:

https://ihre-domain.de/r/messe-2026  →  302  →  /produkte/neuheit/

Der Statuscode ist hier keine Nebensache: Nehmen Sie 302, nicht 301. Ein 301 ist eine dauerhafte Weiterleitung, die Browser aggressiv zwischenspeichern — wer den Code einmal gescannt hat, landet danach womöglich monatelang beim alten Ziel, und genau die Änderbarkeit, für die diese Konstruktion gebaut wurde, wäre wieder weg.

Die Vorteile sind unmittelbar. Es gibt keinen zusätzlichen Empfänger, also keinen Vertrag nach Art. 28 DSGVO und keinen Drittlandtransfer. Die Protokolle liegen auf Ihrem Server, Sie bestimmen Umfang und Löschfrist selbst und können die IP-Adresse kürzen oder gar nicht speichern. Nichts kann abgeschaltet werden, solange die Domain Ihnen gehört. Und weil /r/messe-2026 kurz ist, wird der Code kleiner und damit aus größerer Entfernung lesbar — die Rechnung dazu steht im Ratgeber zur Druckgröße.

Kurze Prüfliste vor dem Druck

1. Statisch oder dynamisch — und ist die Begründung dafür belastbar?
2. Bei dynamisch: Vertrag nach Art. 28, Serverstandort, Löschfrist geklärt?
3. Zielseite: Informationspflichten erfüllt, Einwilligung sauber gelöst?
4. Enthält der Code selbst personenbezogene Daten, und wenn ja: welche Felder lassen sich streichen?
5. Sind die Kampagnenparameter am Ziel überhaupt auswertbar, oder verlängern sie nur die Adresse?

Wie diese Seite selbst mit Eingaben und Statistik umgeht — Erzeugung im Browser, cookielose Messung, keine Speicherung erzeugter Codes —, steht kompakt auf der Fragenseite.

Dieser Text ist eine praxisorientierte Einordnung und keine Rechtsberatung; für die verbindliche Bewertung Ihres konkreten Falls wenden Sie sich an Ihre Datenschutzbeauftragte oder eine Rechtsanwältin.