Sind QR-Codes sicher? DSGVO-konformes QR-Code-Tracking erklärt

QR-Codes sind an sich ungefährlich: Ein QR-Code ist lediglich ein Muster, das einen Text speichert, meist eine URL. Die Datenschutzfrage beginnt erst, wenn diese URL über einen Tracking-Dienst läuft. DSGVO-konformes QR-Code-Tracking bedeutet, nur das zu erfassen, was zum Zählen und Verstehen der Scans nötig ist, dafür eine klare Rechtsgrundlage zu haben, auf der Landingpage transparent darüber zu informieren und die Daten nach einem festen Zeitplan zu löschen oder zu aggregieren. So umgesetzt, passen Scan-Analysen und europäisches Datenschutzrecht zusammen, ganz ohne Cookie-Banner oder Einwilligungsschranke vor jeder Weiterleitung.

Ist das Scannen von QR-Codes sicher, und wo liegt das Datenschutzrisiko tatsächlich?

Ein QR-Code kann weder Code ausführen noch Software installieren oder etwas vom Smartphone auslesen. Es handelt sich um einen zweidimensionalen Barcode nach ISO/IEC 18004, und die Kamera-App dekodiert lediglich den enthaltenen Text. Ist dieser Text eine URL, zeigt das Smartphone eine Vorschau und fragt vor dem Öffnen nach. Alles Weitere ist gewöhnlicher Webverkehr.

Daraus ergeben sich zwei getrennte Risikobereiche, die sich sauber auseinanderhalten lassen:

• Sicherheitsrisiko für die scannende Person. Ein manipulierter Code, oft ein Aufkleber über einem echten Code, kann auf eine Phishing-Seite führen. Das ist ein Betrugsproblem, kein Datenschutzproblem, und wird weiter unten behandelt.
• Datenschutzrisiko durch den Code-Inhaber. Ein dynamischer QR-Code verweist auf eine kurze Weiterleitungs-URL. Der Weiterleitungsserver empfängt die Anfrage, protokolliert sie und leitet die Person dann weiter. Was protokolliert wird, wie lange und wozu, ist der Punkt, an dem die DSGVO greift.

Die ehrliche Antwort auf die Frage, ob QR-Codes sicher sind, lautet also ja, mit einer Bedingung: Die Sicherheit eines Scans hängt davon ab, wer das Ziel kontrolliert und wie verantwortungsvoll mit den Daten umgegangen wird, die jede Anfrage preisgibt.

Welche personenbezogenen Daten erhebt ein dynamischer QR-Code-Scan?

Öffnet ein Smartphone eine Weiterleitungs-URL, sendet der Browser eine gewöhnliche HTTP-Anfrage. Jeder Webserver der Welt erhält dieselben Grundfelder. Ein Scan-Analyse-System macht daraus Berichte.

Datenpunkt	Herkunft	Personenbezogen?
IP-Adresse	Netzwerkverbindung	Ja, in den meisten Fällen
Land, Region, Stadt	Aus der IP-Adresse abgeleitet	Auf Stadtebene allein meist nicht
Gerätetyp, Betriebssystem, Browser	User-Agent-Header	Allein geringes Risiko, in Kombination höher
Referrer	Referer-Header, falls übermittelt	Selten
Zeitstempel	Serveruhr	In Kombination identifizierend

Entscheidend ist die Kombination. Eine Browserversion sagt nichts über eine Person aus. Eine IP-Adresse plus ein genauer Zeitstempel plus ein Gerätemodell können jedoch ein einzelnes Smartphone herausfiltern. Der Gerichtshof der Europäischen Union hat 2016 im Breyer-Urteil bestätigt, dass selbst eine dynamische IP-Adresse ein personenbezogenes Datum sein kann, wenn der Verantwortliche über rechtliche Mittel verfügt, sie einer Person zuzuordnen. Deshalb gilt ein Scan-Protokoll als personenbezogen, sofern es nicht gezielt reduziert wird.

Welche Kennzahlen sich überhaupt zu erfassen lohnen, zeigt unser Leitfaden zu QR-Code-Scan-Analysen.

Gilt die DSGVO überhaupt für QR-Code-Tracking?

Das hängt vom Code-Typ ab. Ein statischer QR-Code speichert seinen Inhalt direkt im Muster. Zwischen Scan und Ziel liegt nichts, der Code-Inhaber erfährt also nichts, und auf QR-Ebene gibt es für die DSGVO nichts zu regeln. Was die Zielwebsite tut, ist eine separate Frage.

Ein dynamischer QR-Code ist bewusst anders aufgebaut. Er leitet jeden Scan über einen Server, damit sich das Ziel später ändern und die Scans zählen lassen. Dieser Server verarbeitet Anfragedaten, wodurch die DSGVO greift, sobald sich die scannende Person in der EU befindet oder das Unternehmen dort niedergelassen ist. Der Unterschied zwischen statischen und dynamischen QR-Codes entscheidet daher, ob Compliance überhaupt ein Thema ist.

Im Sinne der DSGVO sind die Rollen meist klar verteilt:

• Das Unternehmen, das den Code druckt und die Berichte auswertet, ist Verantwortlicher. Es entscheidet, wozu und wie Scan-Daten genutzt werden.
• Die QR-Plattform, die die Weiterleitung betreibt, ist Auftragsverarbeiter. Sie verarbeitet die Daten im Auftrag des Verantwortlichen.

Artikel 28 DSGVO verlangt zwischen beiden einen schriftlichen Auftragsverarbeitungsvertrag (AVV). Kann ein QR-Anbieter keinen AVV vorlegen, ist das allein schon ein Grund für einen Wechsel.

Welche Rechtsgrundlage deckt QR-Scan-Analysen ab: Einwilligung oder berechtigtes Interesse?

Jede Verarbeitungstätigkeit benötigt eine der sechs Rechtsgrundlagen aus Artikel 6. Für QR-Tracking kommen realistisch zwei infrage.

Berechtigtes Interesse (Artikel 6 Abs. 1 lit. f) passt zu einfachen, aggregierten Analysen. Es besteht ein nachvollziehbares Interesse daran, zu wissen, wie viele Menschen ein Plakat gescannt haben, in welcher Stadt und mit welcher Art von Gerät. Wer einen Link bewusst öffnet, rechnet vernünftigerweise damit, dass ein Server diesen Aufruf protokolliert. Die Abwägung fällt zugunsten des Verantwortlichen aus, solange keine Profile erstellt, Personen nicht seitenübergreifend verfolgt und die Daten nur kurz gespeichert werden. Diese Interessenabwägung sollte in einigen Absätzen dokumentiert werden; Aufsichtsbehörden fragen danach.

Einwilligung (Artikel 6 Abs. 1 lit. a) wird erforderlich, sobald darüber hinausgegangen wird. Typische Auslöser sind:

• das Setzen von Cookies oder das Auslesen des lokalen Speichers auf dem Smartphone zu Tracking-Zwecken,
• Geräte-Fingerprinting, um wiederkehrende Scans zu erkennen,
• die Verknüpfung von Scans mit Kundenkonten, E-Mail-Adressen oder Treue-IDs,
• die Weitergabe von Scan-Daten an Werbenetzwerke für Retargeting.

Eine Weiterleitung kann keinen Einwilligungsdialog anzeigen, ohne das Scan-Erlebnis zu zerstören. Die praktische Regel ist daher einfach: Die Weiterleitung selbst bleibt einwilligungsfrei und minimal, und alles, was eine Einwilligung erfordert, gehört auf die Landingpage, wo ein ordentliches Consent-Banner seine Aufgabe erfüllen kann.

Braucht eine QR-Code-Weiterleitung ein Cookie-Banner?

Nicht, wenn die Weiterleitung nichts auf dem Gerät speichert oder ausliest. Die Cookie-Regel stammt aus Artikel 5 Abs. 3 der ePrivacy-Richtlinie, nicht aus der DSGVO selbst. Sie erfasst das Speichern von Informationen in der Endeinrichtung eines Nutzers oder den Zugriff auf dort gespeicherte Informationen. Ein Server, der Standard-Header einer Anfrage liest und mit einer HTTP-Weiterleitung antwortet, tut im klassischen Sinne keines von beidem.

Bei den Details ist dennoch Vorsicht geboten. Der Europäische Datenschutzausschuss hat 2023 Leitlinien veröffentlicht, die Artikel 5 Abs. 3 weit auslegen und Tracking-Pixel, Tracking-Links und ähnliche Techniken einbeziehen, wenn sie dazu dienen, Zugriff auf Informationen auf dem Gerät zu erlangen. Eine Weiterleitung, die nur protokolliert, was der Browser ohnehin sendet, ist auf der sicheren Seite. Eine Weiterleitung, die ein Cookie setzt, ein Fingerprinting-Skript ausführt oder über mehrere Drittanbieter-Tracker verkettet ist, dagegen nicht.

Das sauberste Setup sieht so aus: Der Scan trifft auf eine serverseitige Weiterleitung, der Server schreibt einen minimalen Protokolleintrag, und die Person landet in deutlich unter einer Sekunde auf der Zielseite. Keine Cookies, kein JavaScript, keine Drittanbieter im Weiterleitungsschritt.

Wie lässt sich DSGVO-konformes QR-Code-Tracking Schritt für Schritt einrichten?

Der Großteil der Arbeit besteht aus einer Handvoll Entscheidungen, die einmal getroffen und dann auf jede Kampagne angewendet werden.

1. Den passenden Code-Typ wählen. Werden weder Analysen noch spätere Änderungen benötigt, genügt ein statischer Code, und die Frage erübrigt sich. Für messbare Kampagnen eignet sich ein dynamischer QR-Code.
2. Einen Anbieter mit Datenverarbeitung in der EU wählen. Hosting innerhalb der EU vermeidet den zusätzlichen Aufwand, den Kapitel V der DSGVO für internationale Datenübermittlungen vorschreibt.
3. Einen Auftragsverarbeitungsvertrag (AVV) abschließen. Artikel 28 macht ihn verpflichtend. Zu prüfen ist, ob Unterauftragsverarbeiter und Hosting-Standorte genannt werden.
4. Die gespeicherten Daten minimieren. Zu klären ist, ob vollständige IP-Adressen gespeichert oder gekürzt werden und ob der Standort nur auf Länder- oder Stadtebene aufgelöst wird.
5. Eine Speicherdauer festlegen. Es gilt zu entscheiden, wie lange rohe Scan-Protokolle bestehen bleiben, bevor sie gelöscht oder aggregiert werden. Eine Kampagne mit drei Monaten Laufzeit braucht selten einzelne Scan-Einträge über zwei Jahre.
6. Die Datenschutzerklärung aktualisieren. Artikel 13 verlangt, darüber zu informieren, was erhoben wird, wozu, auf welcher Rechtsgrundlage und wie lange. Ein Link dazu gehört auf jede Landingpage, die über einen QR-Code erreicht wird.
7. Alles dokumentieren. QR-Scan-Analysen gehören zusammen mit der Interessenabwägung in das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30.

Sind diese sieben Punkte geklärt, übernimmt jeder neue Code das Setup. Eine neue Bewertung ist nicht für jedes Plakat nötig, sondern nur, wenn sich Zweck oder Daten ändern.

Was passiert, wenn QR-Tracking gegen die DSGVO verstößt?

Das Risiko ist nicht theoretisch. Nach Artikel 83 DSGVO können die schwersten Verstöße mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Kleinere Unternehmen müssen in der Regel mit deutlich geringeren Summen rechnen, doch die Obergrenze zeigt, wie ernst die Verordnung unrechtmäßige Verarbeitung nimmt.

Die Durchsetzung erfolgt kontinuierlich, nicht sporadisch. Laut dem DLA Piper GDPR Fines and Data Breach Survey (Januar 2026) verhängten europäische Aufsichtsbehörden 2025 Bußgelder von rund 1,2 Milliarden Euro, womit sich die Gesamtsumme seit Mai 2018 auf etwa 7,1 Milliarden Euro beläuft, während im Schnitt 443 Datenpannen pro Tag gemeldet wurden.

Bußgelder sind nur ein Teil der Kosten. Eine Beschwerde beginnt meist mit einer einzelnen Person, die einen Code gescannt hat, auf einer Seite ohne Datenschutzerklärung gelandet ist und wissen will, was mit ihren Daten geschieht. Ein Auskunftsersuchen innerhalb eines Monats zu beantworten, fällt deutlich leichter, wenn die Scan-Daten minimal und dokumentiert sind.

Hinzu kommt eine wirtschaftliche Seite. In der Cisco 2025 Data Privacy Benchmark Study, für die 2.600 Datenschutz- und Sicherheitsfachleute in 12 Ländern befragt wurden, gaben 86 Prozent an, dass Datenschutzgesetze sich positiv auf ihre Organisation auswirken, und 96 Prozent, dass Investitionen in Datenschutz mehr einbringen, als sie kosten.

Wie lassen sich scannende Personen vor manipulierten QR-Codes schützen?

Datenschutz-Compliance schützt die Daten der Menschen, die Codes scannen. Sicherheitsmaßnahmen schützen die Menschen selbst. Beides entscheidet darüber, ob Kundschaft den Codes genug vertraut, um sie zu scannen.

• Eine eigene Domain oder eine wiedererkennbare Kurz-Domain nutzen. Immer mehr Menschen prüfen die URL-Vorschau, bevor sie darauf tippen. Eine vertraute Domain schafft Sicherheit.
• Codes an öffentlichen Orten kontrollieren. Plakate, Parkautomaten und Tischaufsteller regelmäßig auf Aufkleber prüfen, die über den Originalcode geklebt wurden.
• Direkt nach einem Scan nie nach Zugangsdaten oder Zahlungen fragen, sofern der Kontext nicht klar macht, warum. Betrüger kopieren genau dieses Muster.
• Durchgängig HTTPS verwenden. Sowohl die Weiterleitung als auch die Landingpage sollten über eine verschlüsselte Verbindung ausgeliefert werden.
• Ablaufdaten und Scan-Limits einsetzen für Codes, die nur während eines Kampagnenzeitraums funktionieren sollen, damit alte Drucke nicht auf veraltete oder gekaperte Seiten führen.

Ein dynamischer Code bietet hier einen zusätzlichen Sicherheitsvorteil: Wird ein manipulierter Standort oder ein veraltetes Ziel entdeckt, lässt sich das Ziel sofort ändern oder deaktivieren, ohne etwas neu drucken zu müssen.

Häufige Fragen

Kann ein QR-Code selbst Daten erheben?

Nein. Ein QR-Code ist ein statisches Muster, das Text speichert. Daten werden erst erhoben, wenn die gescannte URL zu einem Server führt, der Anfragen protokolliert, wie es bei dynamischen QR-Codes und gewöhnlichen Websites der Fall ist.

Ist ein statischer QR-Code automatisch DSGVO-konform?

Auf Code-Ebene ja, da zwischen Scan und Ziel nichts getrackt wird. Die Website, die der Code öffnet, braucht trotzdem eine eigene Datenschutzerklärung und, falls sie Cookies verwendet, ein eigenes Consent-Banner.

Ist für das Zählen von QR-Code-Scans eine Einwilligung nötig?

Für aggregierte Zählungen nach Zeit, Land und Gerätetyp meist nicht, denn diese lassen sich auf das berechtigte Interesse stützen. Eine Einwilligung ist erforderlich, sobald Cookies, Fingerprinting oder seitenübergreifendes Tracking hinzukommen oder Scans mit identifizierbaren Kundendatensätzen verknüpft werden.

Wie lange sollten QR-Scan-Daten gespeichert werden?

Die DSGVO schreibt keine feste Frist vor; sie verlangt, Daten nicht länger als nötig aufzubewahren. Die Speicherdauer sollte sich am Zweck orientieren, etwa an der Kampagnenlaufzeit plus einem Prüfzeitraum, und ältere Daten sollten zu Statistiken aggregiert werden.

Spielt es eine Rolle, wo der QR-Code-Anbieter seine Server betreibt?

Ja. Hosting innerhalb der EU hält Scan-Daten im Rahmen der DSGVO und erspart die Garantien für Übermittlungen in Drittländer, was die Dokumentation erheblich vereinfacht.

QR-Codes verantwortungsvoll tracken mit QRiety

QRiety wird von einem Team mit Sitz in der EU entwickelt und bietet dynamische QR-Codes, deren Ziel sich jederzeit ändern lässt, inklusive Scan-Analysen nach Standort, Gerät und Zeit. Statische Codes sind in jedem Tarif unbegrenzt und laufen nie ab, sodass immer die schlankere Variante zur Wahl steht, wenn kein Tracking nötig ist. Jetzt kostenlos den ersten QR-Code erstellen und die Kontrolle über die eigenen Scan-Daten behalten.