QR-Codes gelten als datensparsam – grundsätzlich stimmt das. Doch sobald ein Code persönliche Daten enthält, auf eine Tracker-Seite führt oder in einem betrieblichen Kontekt verteilt wird, greift die DSGVO. Dieser Beitrag fasst zusammen, was für Betriebe, Vereine und Bildungseinrichtungen in Deutschland wirklich relevant ist – ohne Panikmache, aber mit klaren Regeln.

Der Grundsatz: Was der Code selbst speichert

Ein QR-Code ist reine Datenhalterung. Er speichert keine Informationen über die Person, die ihn scannt, und löst ohne Scan selbst gar nichts aus. Hier liegt seine größte datenschutzrechtliche Stärke gegenüber Kartenlesern oder NFC-Tags: Die bloße Existenz eines Codes erzeugt keinen Personenbezug.

Anders sieht es an drei Punkten aus: dem Inhalt des Codes, der Zielseite und der Auswertung des Scans.

Punkt 1: Enthält der Code selbst personenbezogene Daten?

Personenbezogen ist jede Information, die einer Person zugeordnet werden kann – auch mittelbar.

  • WLAN-Passwort: kein Personenbezug, solange das Netz nicht einer Person namentlich zugeordnet wird.
  • vCard mit Name, Telefon, E-Mail: klassisch personenbezogen. Sie befindet sich dann auf jedem Exemplar der Visitenkarte – genau wie zuvor aufgedruckt. Neue Risiken entstehen dadurch nicht; verteilen Sie die Karte wie bisher.
  • Kontakt mit sensiblen Angaben: Gesundheitsdaten, Mitgliedschaften in bestimmten Vereinen oder Notfallkontakte in einer vCard erhöhen den Schutzbedarf. Prüfen Sie, ob alle Felder wirklich nötig sind.
  • SEPA-GiroCode: enthält Kontodaten einer natürlichen oder juristischen Person. Er gehört wie die IBAN auf der Rechnung dorthin, wo die Rechnung ohnehin hingeht.

Faustregel: Was Sie vorher auf Papier gedruckt haben, dürfen Sie auch im Code verbreiten.

Punkt 2: Die Zielseite

Führt der Code auf Ihre Website, gelten die Regelungen ohnehin – Impressum, Datenschutzerklärung, Cookie-Einwilligung. Zwei Besonderheiten:

Kurz-URLs und Tracking-Dienste. Dynamische QR-Dienste protokollieren jeden Scan (IP-Adresse, Zeitpunkt, Gerät). Das ist eine Verarbeitung personenbezogener Daten. Nutzen Sie solche Dienste, gehört in die Datenschutzerklärung: wer Anbieter ist, wohin Daten übertragen werden, auf welcher Rechtsgrundlage, mit welchem Opt-out.

Externe Formulare. Ein Anmeldeformular von Diensten außerhalb der EU (US-Anbieter) kann einen Datentransfer auslösen. Entscheiden Sie bewusst über den Anbieter oder verweisen auf eine selbst gehostete Lösung.

Punkt 3: Auswertung und Statistik

„Wie oft gescannt?“ ist eine Frage, die viele Veranstalter stellen. Die Antwort:

  • Statische Codes auf eigener Seite erzeugen nur normale Seitenaufrufe – ausgewertet in Ihrer bestehenden Statistik, gemeldet in Ihrer Datenschutzerklärung.
  • Anbieter-Tracking mit Einzelauswertung ist eine eigenständige Verarbeitung. Für Betriebe mit mehr als 20 Personen regelmäßig (z. B. in NRW und Hessen: Beschäftigtendatenschutzbeauftragte) ist eine Lösch- und Zugriffskonzeption Pflicht.
  • Einwilligungspflichtige Statistik (Google Analytics & Co.) läuft über den Cookie-Banner – erst nach Zustimmung laden.

TTDSG: Der Cookie-Aspekt

Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG, seit 2024 im TDG) verlangt die Einwilligung für das Speichern von Informationen auf dem Endgerät. Konkret für QR-Seiten:

  • Rein technisch notwendige Speicherung (Warenkorb, Session) ist erlaubt.
  • Analyse- und Marketing-Cookies brauchen eine aktive Einwilligung vor dem Laden – kein vorgeladenes Skript mit voreingestelltem „Einverstanden“.
  • Wer Werbung schaltet (z. B. AdSense), lädt diese erst nach Marketing-Einwilligung. Unser Generator und diese Seite handhaben das genau so: Anzeigen und Messung starten erst nach Zustimmung im Banner.

Checkliste für den sicheren Einsatz

  1. Inhalt prüfen: Enthält der Code Namen, Konten, Zugangsdaten? Nur verteilen, wo die Information vorher auch gedruckt wäre.
  2. Zielseite prüfen: Impressum und Datenschutzerklärung erreichbar, keine versteckten Tracker vor der Einwilligung.
  3. Tracking dokumentieren: Jeder externe Scan-Tracker gehört in die Datenschutzerklärung.
  4. Zugriff einschränken: Codes mit sensiblen Inhalten nicht öffentlich aushängen (Krankenhaus-Einweisung, intererner Hausplan).
  5. Aus der Welt nehmen: Bei sensiblen Inhalten muss der Code deaktivierbar sein – bei statischen Codes über die Zielseite (Inhalt entfernen oder umleiten), nicht über den Code selbst.
  6. Verantwortliche nennen: In der Datenschutzerklärung angeben, wer die Verarbeitung verantwortet – bei uns nachlesbar in der Datenschutzerklärung.

Sonderfälle in der Praxis

Schulen: Elternkontakte und Notfalldaten sind besonders geschützt. WLAN- und Material-Codes sind unkritisch, Anmeldeformulare brauchen eine abgestimmte Rechtsgrundlage.

Vereine: Mitgliederlisten per Code? Besser nein. Spenden-GiroCodes sind unkritisch.

Gastronomie: Speisekarten-Codes ohne Login sind unkritisch. Bewertungs-Weiterleitungen auf Google sollten in der Datenschutzerklärung erwähnt werden, sobald eigene Bewertungs-Shortlinks genutzt werden.

Häufige Fragen

Braucht ein QR-Code selbst eine Einwilligung? Nein. Erst die Zielseite mit ihren Cookies und die eventuelle Scan-Auswertung.

Ist der Einsatz ohne Cookie-Banner erlaubt? Für rein statische, cookie-freie Zielseiten ja. Sobald Analyse oder Werbung dazukommt, ist ein Banner nötig.

Muss ich anonymisierte Statistiken melden? Anonymisierte, nicht personenbezogene Auswertung fällt nicht unter die DSGVO. Sobald IP-Adressen oder Gerätedetails gespeichert werden, schon.

Wer haftet für falsche Angaben in einer vCard? Derjenige, der die Karte verteilt – für die Richtigkeit der Daten verantwortlich ist, wer sie veröffentlicht.

Weiter im Detail: die Datenschutzerklärung und der Technik-Vergleich Statisch vs. dynamisch mit seinen Tracking-Folgen.