Welcher QR-Code-Anbieter ist DSGVO-konform?

Unsere Antwort: Ein DSGVO-Siegel für QR-Code-Anbieter gibt es nicht, denn die DSGVO kennt kein solches Siegel. Prüfen kannst du aber, ob ein Anbieter die sechs Fragen unten offen beantwortet. Same-QR beantwortet sie in seiner Datenschutzerklärung, auch dort, wo die Antwort nicht nur „EU“ lautet.

Frage 1: Setzt der Scan Cookies?

Wer scannt, hat noch keiner Datenschutzerklärung zugestimmt. Cookies auf der Scan-Seite brauchen deshalb in der Regel eine Einwilligung, und ein Banner vor der Speisekarte nervt. Frag, ob Scan-Seite und gehostete Seiten Cookies setzen.

Frage 2: Werden Dritte geladen?

Schriften, Analysewerkzeuge oder Werbenetzwerke von Dritten bekommen die IP-Adresse deines Gastes. Ein Blick in die Entwicklerwerkzeuge des Browsers zeigt, welche Adressen eine Seite nachlädt.

Frage 3: Wo liegen die Daten, und wer sieht sie?

Wichtig sind drei Ebenen: Sitz des Betreibers, Standort der Rechenzentren und die Liste der Dienstleister. Fast jeder Webdienst nutzt Dienstleister aus den USA. Entscheidend ist, dass sie genannt sind und es Rechtsgrundlagen für die Übermittlung gibt.

Frage 4: Gibt es einen Auftragsverarbeitungsvertrag?

Laufen über deine Codes personenbezogene Daten, etwa aus einem Kontaktformular, brauchst du einen Vertrag zur Auftragsverarbeitung. Ein seriöser Anbieter stellt ihn ohne Nachfrage bereit.

Frage 5: Was wird gespeichert, und wie lange?

Ein Anbieter sollte sagen können, was ein Scan protokolliert und wann es gelöscht wird. „Wir speichern nur das Nötigste“ ist keine Antwort.

Frage 6: Kann ich alles wieder löschen?

Codes, Seiten, Konto. Frag auch, ob die Kurzadresse eines gelöschten Codes neu vergeben wird. Sonst könnte ein Fremder hinter deinen alten Aufklebern landen.

Was du selbst regeln musst

Führt dein Code auf deine eigene Website, gilt dort deine Datenschutzerklärung. Nutzt du UTM-Parameter und ein Analysewerkzeug, brauchst du dort die passende Einwilligung. Auf einer Seite mit Kontaktformular nennst du, wofür du die Daten verwendest.

Die Antworten von Same-QR

• Scan-Seiten und gehostete Seiten ohne Cookies, nichts von Dritten geladen
• Betreiber ARAVILO in Innsbruck, Anwendung und Datenbank in EU-Rechenzentren, wo der Dienstleister es zulässt, einige Dienstleister aus den USA, alle in der Datenschutzerklärung genannt
• Vertrag zur Auftragsverarbeitung unter sameqr.com/avv
• Kurzadressen gelöschter Codes werden nie neu vergeben

Fazit

Frag nicht „DSGVO-konform?“, sondern nach Cookies, Dritten, Speicherort, Vertrag, Speicherdauer und Löschung. Wer alle sechs schriftlich beantwortet, ist ein guter Kandidat.

Häufig gestellte Fragen