Welke QR-code-aanbieder is AVG-conform?

Ons antwoord: een AVG-keurmerk voor QR-code-aanbieders bestaat niet, want de AVG kent zo'n keurmerk niet. Je kunt wel controleren of een aanbieder de zes vragen hieronder openlijk beantwoordt. Same-QR beantwoordt ze in zijn privacyverklaring, ook waar het antwoord niet gewoon “EU” luidt.

Vraag 1: Plaatst de scan cookies?

Wie scant, heeft nog geen privacyverklaring geaccepteerd. Cookies op de scanpagina vereisen daarom meestal toestemming, en een banner voor de menukaart is vervelend. Vraag of de scanpagina en de gehoste pagina's cookies plaatsen.

Vraag 2: Worden er diensten van derden geladen?

Lettertypen, analysetools of advertentienetwerken van derden krijgen het IP-adres van je gast. In de ontwikkelaarstools van de browser zie je welke adressen een pagina erbij laadt.

Vraag 3: Waar staan de gegevens en wie ziet ze?

Er zijn drie niveaus die tellen: de vestigingsplaats van de exploitant, de locatie van de datacenters en de lijst met dienstverleners. Vrijwel elke webdienst gebruikt dienstverleners uit de VS. Doorslaggevend is dat ze genoemd worden en dat er een rechtsgrond is voor de doorgifte.

Vraag 4: Is er een verwerkersovereenkomst?

Lopen er via je QR-codes persoonsgegevens, bijvoorbeeld uit een contactformulier, dan heb je een verwerkersovereenkomst nodig. Een serieuze aanbieder stelt die zonder navraag beschikbaar.

Vraag 5: Wat wordt er opgeslagen en hoe lang?

Een aanbieder moet kunnen zeggen wat een scan vastlegt en wanneer dat wordt verwijderd. “Wij slaan alleen het strikt noodzakelijke op” is geen antwoord.

Vraag 6: Kan ik alles weer verwijderen?

QR-codes, pagina's, account. Vraag ook of het korte adres van een verwijderde QR-code opnieuw wordt uitgegeven. Anders kan een vreemde achter je oude stickers terechtkomen.

Wat je zelf moet regelen

Leidt je QR-code naar je eigen website, dan geldt daar jouw privacyverklaring. Gebruik je UTM-parameters en een analysetool, dan heb je daar de juiste toestemming nodig. Op een pagina met contactformulier vermeld je waarvoor je de gegevens gebruikt.

De antwoorden van Same-QR

• Scanpagina's en gehoste pagina's zonder cookies, niets van derden geladen
• Exploitant ARAVILO in Innsbruck, applicatie en database in EU-datacenters waar de dienstverlener dat toelaat, enkele dienstverleners uit de VS, allemaal genoemd in de privacyverklaring
• Verwerkersovereenkomst op sameqr.com/avv
• Korte adressen van verwijderde QR-codes worden nooit opnieuw uitgegeven

Conclusie

Vraag niet “AVG-conform?”, maar naar cookies, derden, opslaglocatie, overeenkomst, bewaartermijn en verwijdering. Wie alle zes schriftelijk beantwoordt, is een goede kandidaat.

Veelgestelde vragen