Der gedruckte Code verarbeitet nichts. Er ist ein statisches Muster aus Quadraten, wird offline dekodiert und unterliegt dem Datenschutzrecht nicht mehr als eine Telefonnummer auf einem Plakat.
Die Weiterleitung dahinter ist eine andere Sache. Sobald jemand den dekodierten Link öffnet, empfängt Ihr Server eine IP-Adresse, einen User-Agent, einen Zeitstempel und meist einen Referrer. Das ist die Verarbeitung personenbezogener Daten, und alles, was die GDPR an die Verarbeitung knüpft, gilt auch hier: eine Rechtsgrundlage, eine Datenschutzerklärung, die Menschen tatsächlich erreichen können, eine Aufbewahrungsfrist und eine belastbare Antwort darauf, wer die Daten sonst noch sieht.
Dieser Beitrag behandelt, was ein Scan tatsächlich erzeugt und was jedes Element erfordert. Der breitere Überblick über Links steht in GDPR für URL-Shortener, und die Cookie-Frage speziell in Cookie-Einwilligung für Kurzlinks.
Was ein Scan tatsächlich erzeugt
Das Dekodieren findet auf dem Gerät ohne Netzwerkverbindung statt. Zu diesem Zeitpunkt hat nichts das Telefon verlassen. Deshalb ist der Code selbst nicht die Compliance-Frage, für die ihn viele halten.
Das Öffnen des Links erzeugt eine gewöhnliche HTTP-Anfrage. Die Weiterleitung sieht die IP-Adresse, den User-Agent, die Uhrzeit und manchmal einen Referrer. Ein dynamischer Code fügt vor dem Ziel einen Hop hinzu, sodass zuerst Ihr Server diese Daten sieht und danach der Server des Ziels.
Eine IP-Adresse ist im Regelfall ein personenbezogenes Datum. Der Gerichtshof der Europäischen Union hat dies in Breyer festgestellt, und Artikel 4 definiert personenbezogene Daten so, dass auch die indirekte Identifizierung erfasst ist. Daraus folgen zwei Konsequenzen, gegen die sich viele sträuben: Sie müssen nicht wissen, wer jemand ist, damit die Daten personenbezogen sind, und aggregierte Zählwerte machen die Daten nicht nachträglich unbedenklich, weil die Aggregation erst nach der Erfassung erfolgt.
Welche Rechtsgrundlage
Für das Zählen von Scans sind berechtigte Interessen nach Artikel 6 Absatz 1 Buchstabe f normalerweise die richtige Grundlage. Sie ist die Grundlage, die die meisten Kampagnen verwenden sollten, statt eines Einwilligungsbanners, den niemand liest.
Diese Grundlage ist nicht voraussetzungslos. Vor der Kampagne muss eine Interessenabwägung schriftlich festgehalten werden: Worin besteht das Interesse (zu wissen, ob das Plakat am Nordeingang funktioniert), warum ist die Verarbeitung notwendig, welche Auswirkungen hat sie auf die betroffene Person und was haben Sie zu ihrer Minimierung getan? Das Kürzen von IP-Adressen, das Speichern des Landes statt von Koordinaten und ein kurzes Aufbewahrungsfenster sind die Maßnahmen, die die Abwägung zu Ihren Gunsten ausfallen lassen. Prüfen Sie, welche davon Ihr eigenes Tool tatsächlich zulässt; die nächsten Abschnitte kommen darauf zurück.
Eine Einwilligung wird an einem bestimmten Punkt notwendig, und es lohnt sich, genau zu wissen, wo diese Grenze liegt. Nicht für das Zählen. Nicht für die Aggregation auf Landesebene. Ja für nicht unbedingt erforderliche Cookies, die auf der Landingpage gesetzt werden. Das ist eine ePrivacy-Regel und keine GDPR-Regel und gilt unabhängig von Ihrer Rechtsgrundlage für die zugrunde liegenden Daten. Ja auch für ein Profil, das einer Person über mehrere Websites folgt, was ein Retargeting-Pixel auf der Zielseite bewirkt.
Diese Unterscheidung ist der praktisch nützliche Teil des gesamten Themas: Das Zählen von Scans und websiteübergreifende Werbung sind unterschiedliche Tätigkeiten mit unterschiedlichen Regeln. Wer sie als eine Sache behandelt, erzeugt sowohl eine übermäßige Datenerfassung als auch sinnlose Banner.
Was die Datenschutzerklärung sagen muss und wo
Das Plakat kann die Datenschutzerklärung nicht enthalten, und wenn die Seite geladen ist, hat die Verarbeitung bereits stattgefunden. Die Erklärung gehört daher auf die Landingpage, muss ohne Suche erreichbar sein und ehrlich über einen Scan sprechen, statt allgemein über die Website. Dieselbe Seite hat eine eigene Pflicht zur Barrierefreiheit, die in QR-Code-Barrierefreiheit behandelt wird.
Die praktikable Fassung lautet: Das Scannen dieses Codes öffnet eine Seite, die den Besuch aufzeichnet. Wir erfassen die Uhrzeit, das ungefähre Land und den Gerätetyp. Wir tun dies, um zu messen, welche Platzierungen funktionieren, auf Grundlage berechtigter Interessen. Wir bewahren Rohdaten für einen kurzen, festgelegten Zeitraum auf. Und hier erfahren Sie, wer die Daten für uns verarbeitet.
Zwei Dinge gehen regelmäßig schief. Ein Code, der in einem Land auf physischem Material erscheint, während die Datenschutzerklärung der Landingpage nur in einer anderen Sprache vorhanden ist, ist nicht sinnvoll transparent. Und eine Erklärung, die "unsere Website" beschreibt, obwohl die Kampagne aus einem Regalaufkleber in einem Geschäft besteht, beschreibt nicht, was tatsächlich passiert ist.
Bei der Aufbewahrung geraten die meisten Kampagnen ins Rutschen
Die Zweckbindung erledigt hier den größten Teil der Arbeit. Ein Kampagnenbericht braucht Rohdaten für Wochen. Niemand braucht das Rohprotokoll jedes Scans eines Plakats aus dem Jahr 2024.
Das belastbare Muster ist ein kurzes Aufbewahrungsfenster für Rohdaten und danach eine unbefristete Aufbewahrung der Aggregate. Zählwerte nach Tag, Land und Code bleiben erhalten, die Zeile mit einer IP-Adresse nicht. Damit ist die Speicherbegrenzung erfüllt, ohne die Zahlen zu verlieren, nach denen jemals jemand fragen wird.
Damit ist auch die unangenehme Frage nach Auskunfts- und Löschanträgen beantwortet, denn nach Ablauf des Zeitfensters gibt es nichts Verknüpfbares mehr, das herausgegeben oder gelöscht werden könnte.
Auch der physische Speicherort der Daten ist wichtig. Für EU-Kampagnen ist er der Unterschied zwischen einer einfachen Antwort und einer Transferprüfung. EU-Datenresidenz für Marketing behandelt dieses Thema, und Schrems II und Tracking-Pixel erklärt, was passiert, wenn das Analytik-Tool nicht in der EU liegt.
Wann eine Datenschutz-Folgenabschätzung tatsächlich erforderlich ist
Bei einem Marketing-Code selten. Ein Plakat-Scan, der einen Seitenaufruf und einen Zähler erzeugt, ist nach jeder vernünftigen Betrachtung eine risikoarme Verarbeitung.
Die Schwelle ist überschritten, wenn der Scan mit einer identifizierbaren Person statt nur mit einem Zählwert verknüpft wird: ein mit einem Konto verbundener Treuecode, ein Arbeitscode, der erfasst, wer wann wo war, oder ein Code, der mit Standortdaten kombiniert wird, um ein Bewegungsmuster zu erstellen. Das ist systematische Überwachung, und Artikel 35 wird relevant. SOC 2 und HIPAA für Link-Tracking behandelt die angrenzende Frage des Trackings in regulierten Kontexten.
Das andere erwähnenswerte Risiko liegt nicht bei Ihnen. Ein QR-Code verbirgt sein Ziel, und genau das macht Quishing möglich. Ein Code auf Ihrer Verpackung, den ein Fremder mit einem Aufkleber überklebt, wird zu Ihrem Reputationsproblem, obwohl die Verarbeitung nie von Ihnen ausging. Die Gegenmaßnahmen sind eine Domain, die Menschen erkennen, und regelmäßige Prüfungen, ob die Codes im Umlauf noch auf das richtige Ziel verweisen.
Beim Anbieter nachzufragen, was ein Scan speichert und wo es liegt, ist die günstigste dieser Entscheidungen. Erstellen Sie einen Link im kostenlosen Tarif, scannen Sie ihn und lesen Sie den Datensatz, den er erzeugt, bevor die Kampagne in den Druck geht.
Sie sind der Verantwortliche, der Weiterleitungsanbieter der Auftragsverarbeiter
Das Unternehmen, das den Code druckt, entscheidet, warum Scans gezählt werden, und ist damit der Verantwortliche. Der Dienst, der die Weiterleitung betreibt, verarbeitet die Daten in seinem Auftrag. Deshalb verlangt Artikel 28 einen schriftlichen Auftragsverarbeitungsvertrag und eine Liste der Unterauftragsverarbeiter, bevor die Kampagne startet, nicht erst nach einer Beschwerde. Manche Datenschutzseiten von Anbietern versprechen Konformität in allgemeinen Worten. Was Sie von einem Anbieter brauchen, ist konkret: was pro Scan gespeichert wird, wie lange, wo und wer sonst darauf zugreift. GDPR für URL-Shortener geht die lesenswerten Klauseln durch.
Was Elido heute pro Scan erfasst
Die Antwort soll überprüfbar sein, deshalb hier, was der Code Stand 2026-11-12 tut. Jeder Scan eines dynamischen Elido-Codes wird als gewöhnlicher Klick protokolliert. Die Zeile enthält die am Edge gekürzte IP-Adresse (IPv4 auf /24, IPv6 auf /48), den vollständigen User-Agent, Referrer, Land, Region, Stadt, ungefähre Breiten- und Längengrade, Gerät und Browser. Scans werden nicht von Klicks auf einen Link getrennt, ein Code braucht also einen eigenen Link, wenn Sie seine Zahlen separat sehen wollen.
Ich möchte, dass Sie das hier lesen und nicht erst in einem Audit entdecken. Daraus folgen zwei Grenzen. Stadt, Koordinaten und der vollständige User-Agent werden weiterhin mit jedem Scan gespeichert, eine gekürzte IP macht die Zeile also nicht anonym. Und es gibt keine Möglichkeit, einen Workspace an eine Region zu binden: Die Primärdatenbank und der Analytics-Speicher liegen in der EU, aber Redirect-Knoten in den USA und in Singapur verarbeiten ebenfalls Besucheranfragen. Aufbewahrung von Klickdaten zeigt das vollständige Inventar und eine Richtlinie, die Sie übernehmen können. Verlassen Sie sich nicht auf Schutzmaßnahmen, die wir nicht ausgeliefert haben. Schreiben Sie die Interessenabwägung um das herum, was tatsächlich gespeichert wird.
Eine Checkliste vor dem Druck
Bevor ein Code in den Druck geht:
- Benennen Sie den Zweck in einem Satz und die Rechtsgrundlage, die ihn trägt.
- Legen Sie auf der Landingpage einen scanspezifischen Hinweis an.
- Bestätigen Sie, dass der Anbieter pro Scan nicht mehr speichert, als Ihr Zweck erfordert.
- Legen Sie ein Zeitfenster für die Aufbewahrung der Rohdaten fest und schreiben Sie es auf.
- Entscheiden Sie, wer eine Auskunfts- oder Löschanfrage bearbeitet und wie diese Person eine Zeile findet.
Die Cornerstone-Serie lesen
Dieser Beitrag gehört zum Compliance-Cluster. Beginnen Sie mit GDPR für URL-Shortener für die Analyse auf Weiterleitungsebene und lesen Sie anschließend Cookie-Einwilligung für Kurzlinks, um zu erfahren, wo eine Einwilligung tatsächlich gilt. Die Trust-Seite beschreibt unsere eigene Verarbeitungspraxis.
Weitere Blog-Beiträge
- GDPR für URL-Shortener: was dein DPO tatsächlich sehen will
- Was ist ein QR-Code und wie funktioniert das Scannen wirklich?
- Sind QR-Codes sicher? Quishing und wie man geschützt bleibt
- EU-Datenresidenz für Marketing-Tools: Checkliste für DSB
- QR-Code-Barrierefreiheit: WCAG, Kontrast und Alternativen
- Aufbewahrung von Klickdaten: Wie lange man Analytics behält
Häufig gestellte Fragen
Fallen QR-Codes unter die GDPR?
Der gedruckte Code tut das nicht, denn ein Muster aus Quadraten verarbeitet nichts. Die Weiterleitung, auf die er zeigt, schon: Wenn ein gescannter Link aufgelöst wird, empfängt Ihr Server eine IP-Adresse, einen User-Agent und einen Zeitstempel. Das ist die Verarbeitung personenbezogener Daten mit allem, was die Verordnung daran knüpft.
Ist eine IP-Adresse nach der GDPR ein personenbezogenes Datum?
Ja, im Regelfall. Der Gerichtshof der Europäischen Union hat in Breyer festgestellt, dass eine dynamische IP-Adresse für einen Websitebetreiber ein personenbezogenes Datum ist, wenn rechtmäßige Mittel vorhanden sind, um die dahinterstehende Person zu identifizieren, und die Definition in Artikel 4 umfasst die indirekte Identifizierung. Sie müssen niemanden namentlich identifizieren können, damit die Daten personenbezogen sind.
Brauche ich eine Einwilligung, um QR-Code-Scans zu zählen?
Für das alleinige Zählen normalerweise nicht. Aggregierte Scan-Analysen ohne Cookies oder websiteübergreifende Profilbildung können sich nach Artikel 6 Absatz 1 Buchstabe f in der Regel auf berechtigte Interessen stützen, die durch eine Interessenabwägung dokumentiert werden. Eine Einwilligung wird notwendig, sobald Sie nicht unbedingt erforderliche Cookies auf der Landingpage setzen oder Profile erstellen, die einer Person über mehrere Websites folgen.
Was muss in der Datenschutzerklärung für eine QR-Kampagne stehen?
Dass das Scannen des Codes die Person auf eine Seite führt, die den Besuch aufzeichnet, was aufgezeichnet wird, warum und auf welcher Rechtsgrundlage, wie lange die Daten gespeichert werden und wer sie sonst noch sieht. Die Erklärung muss von der Landingpage aus erreichbar sein, denn das Plakat kann sie nicht enthalten und der Scan ist zu diesem Zeitpunkt bereits erfolgt.
Wie lange dürfen Scan-Daten aufbewahrt werden?
Nur so lange, wie es der angegebene Zweck erfordert. Ein Kampagnenbericht rechtfertigt Rohdaten für Wochen, nicht für Jahre. Praktisch bedeutet das ein kurzes Aufbewahrungsfenster für Rohprotokolle und eine unbefristete Aufbewahrung der Aggregate, damit die Zählwerte ohne die zugrunde liegenden Identifikatoren erhalten bleiben. In Elido laufen Klickzeilen heute nach dem Fenster des Tarifs ab (90 Tage im Free-Tarif, ein Jahr in Pro, zwei Jahre in Business), und jeder Tarif kann es verkürzen.
Braucht ein QR-Code auf einem Produkt eine Datenschutz-Folgenabschätzung?
Selten allein deshalb. Ein Scan, der einen Seitenaufruf und einen Zähler erzeugt, ist risikoarm. Eine Datenschutz-Folgenabschätzung wird relevant, wenn der Scan mit einer identifizierbaren Person verknüpft, zur systematischen Überwachung eingesetzt oder mit Standortverfolgung kombiniert wird. Das ist eher das Muster bei Treueprogrammen und im Arbeitseinsatz als bei Marketingplakaten.
Elido testen
URL einfügen, kurzer Link in Sekunden
Kein Konto nötig. Link bleibt 30 Tage aktiv. Konto erstellen, um ihn dauerhaft zu behalten.
Keine Anmeldung nötig. Kostenlos registrieren für 50 Links im Monat.