Fachwissen für digitale Entscheidungen
Sind dynamische QR-Codes DSGVO-konform einsetzbar?
Kurzantwort
Was beim Scan technisch passiert
Der Code enthält eine Weiterleitungsadresse. Beim Aufruf sieht der Server mindestens: IP-Adresse, Zeitpunkt, angefragte Adresse, oft auch Gerätetyp und Sprache. Die IP-Adresse wird nach ständiger Rechtsprechung als personenbezogenes Datum behandelt.
Ein zulässiger Aufbau
- Rechtsgrundlage klären. Für reine Reichweitenmessung ohne Wiedererkennung kommt ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Wird über Geräte hinweg wiedererkannt oder werden Profile gebildet, ist eine Einwilligung erforderlich.
- IP verkürzen oder gar nicht speichern. Für die Frage „wie oft wurde gescannt" genügt ein Zähler.
- Keine Cookies ohne Einwilligung. Werden auf dem Endgerät Informationen gespeichert oder ausgelesen, greift § 25 TDDDG – dann ist eine Einwilligung nötig, unabhängig vom Personenbezug.
- Aufbewahrung begrenzen. Rohdaten löschen, Auswertungen aggregiert behalten.
- Transparenz. Die Datenschutzerklärung muss die Messung benennen.
In der Schweiz
Dort gilt das revidierte Datenschutzgesetz (revDSG). Die Grundgedanken sind vergleichbar, die Anforderungen an die Einwilligung sind in Teilen weniger streng. Bei Angeboten, die sich auch an Personen in der EU richten, ist ohnehin die DSGVO massgeblich.
Kurzfassung für die Praxis
Zählen, wie oft ein Plakat gescannt wurde: unkritisch bei sparsamer Speicherung. Nachvollziehen, welche Person wann welchen Code gescannt hat: einwilligungspflichtig.
Diese Einordnung ersetzt keine Rechtsberatung.
Kernfakten
- Kritischer Punkt
- IP-Adresse gilt in der Regel als personenbezogenes Datum
- Ohne Einwilligung möglich
- Aggregierte Zählung ohne Wiedererkennung
- Mit Einwilligung
- Wiedererkennung, Profilbildung, Cookies (§ 25 TDDDG)
Quellen
Alle externen Angaben nachvollziehbar belegt.- 01
-
02
§ 25 TDDDG – Schutz der Endeinrichtungen Bundesministerium der Justiz