QR-Codes und DSGVO: was ein dynamischer QR-Code über Scannende erfährt

Was beim Scannen technisch passiert

Ein dynamischer QR-Code enthält eine kurze Adresse bei Same-QR. Scannt jemand den QR-Code, ruft sein Telefon diese Adresse auf, und Same-QR leitet zum Ziel weiter oder zeigt die Zielseite an. Wie bei jedem Aufruf einer Webseite kommt dabei technisch die IP-Adresse des Telefons an – ohne sie ließe sich die Antwort nicht zurückschicken.

Die Aufrufe laufen über Cloudflare als vorgelagerten Netzwerkdienst, der dabei die IP-Adresse sieht. Welche Dienstleister beteiligt sind und was sie verarbeiten, steht in der Datenschutzerklärung von Same-QR.

Was Same-QR speichert – und was nicht

Gespeichert wird je QR-Code eine einzige Zahl: wie oft er gescannt wurde. Damit dieselbe Person beim Zögern der Kamera nicht mehrfach zählt, merkt sich Same-QR für 60 Sekunden einen gesalzenen Hash des Internetanschlusses, nicht die IP-Adresse selbst. Danach ist auch dieser Hash weg. Bei Wein-E-Labels entfällt selbst dieser Hash, dort wird nur hochgezählt. Im kostenlosen Tarif zählt Same-QR außerdem die Scans je Konto und Kalendermonat, um die 100 enthaltenen Scans zu prüfen – ebenfalls nur als Zahl.

Nicht gespeichert werden die IP-Adresse, der Zeitpunkt des Scans, das Gerät, der Browser und der Standort. Als Kunde siehst du deshalb auch keine solchen Daten – nur die Summe je QR-Code. Eine Auswertung nach Tagen, Stunden oder Personen gibt es nicht.

Die Zielseite ist deine Sache

Nach dem Scan landet die Person auf deinem Ziel – deiner Website, einem Formular, einem Online-Shop. Was dort an Daten erhoben wird, etwa durch Cookies, Analysewerkzeuge oder Kontaktformulare, richtet sich nach dieser Seite und ihrer Datenschutzerklärung, nicht nach Same-QR. Wertest du Besucher aus dem QR-Code mit UTM-Parametern aus, geschieht das in deinem eigenen Analysewerkzeug und nach dessen Regeln.

Legst du die Zielseite direkt in Same-QR an, etwa eine Speisekarte oder Öffnungszeiten, setzt diese Seite kein Cookie, lädt nichts von fremden Servern und zählt Aufrufe ohne Wiedererkennung.

Brauche ich einen Datenschutzhinweis neben dem QR-Code?

Beim Scan selbst speichert Same-QR keine Daten, mit denen sich Personen erkennen ließen. Ob du einen Hinweis brauchst, hängt deshalb vor allem davon ab, was deine Zielseite tut. Erhebt sie personenbezogene Daten, gehört der Hinweis dorthin, wo die Daten erhoben werden. Im Zweifel klärst du das mit deiner Datenschutzberatung – dieser Artikel ersetzt keine Rechtsberatung.

• Same-QR speichert je QR-Code nur die Zahl der Scans.
• Keine IP-Adresse, kein Zeitpunkt, kein Gerät, kein Standort – zum Abgleich nur ein gesalzener Hash für 60 Sekunden.
• Die beteiligten Dienstleister nennt die Datenschutzerklärung von Same-QR.
• Was auf deiner Zielseite passiert, regelt deren Datenschutzerklärung.
• Direkt in Same-QR angelegte Seiten setzen kein Cookie.

Häufig gestellte Fragen