QR-Code-Tracking datenschutzkonform umsetzen

Dynamische QR-Codes liefern wertvolle Zahlen: wie oft, wann und mit welchem Gerät gescannt wurde. Dabei werden jedoch Daten verarbeitet, die unter das Datenschutzrecht fallen. Dieser Artikel erklärt, welche Daten beim Scannen entstehen, welche Gesetze greifen und wie Sie QR-Code-Tracking möglichst datensparsam aufsetzen.

Hinweis: Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für Ihren konkreten Fall sprechen Sie bitte mit Ihrem Datenschutzbeauftragten oder einer Fachanwältin beziehungsweise einem Fachanwalt.

Was beim Scannen technisch passiert

Ein dynamischer QR-Code enthält eine kurze Weiterleitungsadresse. Scannt jemand den Code, ruft das Smartphone diese Adresse beim Server des QR-Code-Dienstes auf. Dabei übermittelt der Browser automatisch einige technische Angaben, wie bei jedem Aufruf einer Website:

• die IP-Adresse, also die Netzwerkadresse, unter der das Gerät gerade im Internet erreichbar ist
• den User-Agent, eine Kennung von Browser und Betriebssystem
• Zeitpunkt des Aufrufs und gegebenenfalls die Spracheinstellung

Aus diesen Angaben erstellt der Dienst die Statistik. Über GeoIP wird aus der IP-Adresse die ungefähre Region abgeleitet, etwa Land, Bundesland oder Stadt. GeoIP nutzt dafür Datenbanken, die IP-Adressbereiche bestimmten Orten zuordnen. Eine genaue Adresse liefert das Verfahren nicht.

Ist die IP-Adresse ein personenbezogenes Datum?

Ja, in aller Regel. Der Europäische Gerichtshof hat 2016 im Fall Breyer (Rechtssache C-582/14) entschieden, dass auch eine dynamische IP-Adresse für einen Website-Betreiber ein personenbezogenes Datum sein kann, wenn er über rechtliche Mittel verfügt, die Person mithilfe von Zusatzinformationen des Internetanbieters bestimmen zu lassen. In der Praxis wird die IP-Adresse deshalb als personenbezogen behandelt.

Damit gilt für die Verarbeitung die Datenschutz-Grundverordnung (DSGVO). Sie brauchen eine Rechtsgrundlage, müssen transparent informieren und dürfen nur so viele Daten verarbeiten, wie für den Zweck nötig sind.

Welche Gesetze greifen?

DSGVO

Die DSGVO regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Für QR-Code-Tracking kommen vor allem zwei Rechtsgrundlagen aus Art. 6 Abs. 1 DSGVO in Betracht:

• Einwilligung (Buchstabe a): Die Person stimmt der Verarbeitung freiwillig, informiert und eindeutig zu.
• Berechtigtes Interesse (Buchstabe f): Die Verarbeitung ist zur Wahrung Ihrer berechtigten Interessen erforderlich, und die Interessen der betroffenen Person überwiegen nicht.

TDDDG

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) hieß bis Mai 2024 Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG). Inhaltlich ist es weitgehend gleich geblieben. Sein § 25 setzt die europäische ePrivacy-Richtlinie um und regelt den Zugriff auf Endgeräte: Wer Informationen auf dem Gerät des Nutzers speichert oder dort gespeicherte Informationen ausliest, braucht grundsätzlich eine Einwilligung. Ausnahmen gelten nur, wenn der Zugriff für die Übertragung einer Nachricht oder für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist.

Das betrifft vor allem Cookies, lokale Speicher und vergleichbare Techniken, etwa auf der Zielseite. Eine Interessenabwägung wie in der DSGVO sieht § 25 TDDDG nicht vor. Ob bereits das Auswerten der automatisch übermittelten Angaben bei der Weiterleitung unter § 25 fällt, wird unterschiedlich beurteilt. Der Europäische Datenschutzausschuss legt den Anwendungsbereich in seinen Leitlinien 2/2023 weit aus und bezieht neben Cookies ausdrücklich auch vergleichbare Techniken ein.

Einwilligung oder berechtigtes Interesse?

Bei einer Weiterleitung über einen QR-Code gibt es keinen Moment, in dem Sie vor dem Aufruf eine Einwilligung einholen könnten. Die Weiterleitung soll sofort erfolgen. Deshalb kommt für die reine Scan-Statistik in der Praxis meist das berechtigte Interesse in Betracht, und zwar nur dann, wenn die Verarbeitung auf das Nötige beschränkt ist.

Diese Tabelle ist eine vereinfachte Orientierung. Für die Abwägung nach Art. 6 Abs. 1 lit. f DSGVO sollten Sie dokumentieren, welches Interesse Sie verfolgen, warum die Daten dafür erforderlich sind und wie Sie die Interessen der Nutzer schützen.

Datensparsam umsetzen: konkrete Maßnahmen

Daten minimieren

• IP-Adressen kürzen oder verwerfen: Für Statistiken reicht in der Regel die abgeleitete Region. Die vollständige IP-Adresse muss dafür nicht dauerhaft gespeichert werden. Klären Sie mit Ihrem Anbieter, wie lange sie vorgehalten wird.
• Regionen grob halten: Land oder Bundesland genügt für die meisten Auswertungen. Eine sehr feine Ortsauflösung erhöht das Risiko, dass Rückschlüsse auf Einzelne möglich werden.
• Keine Wiedererkennung: Verzichten Sie auf Kennungen, mit denen dieselbe Person über mehrere Scans erkannt wird, wenn Sie dafür keine Einwilligung haben.
• Speicherfristen festlegen: Bewahren Sie Rohdaten nur so lange auf, wie sie benötigt werden, und arbeiten Sie danach mit zusammengefassten Zahlen.

Den Anbieter prüfen

Wenn ein externer Dienst die Scans verarbeitet, handelt er in der Regel als Auftragsverarbeiter. Sie benötigen dann einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Fragen Sie außerdem nach dem Serverstandort: Eine Verarbeitung innerhalb der EU vermeidet die zusätzlichen Anforderungen an Datenübermittlungen in Drittländer.

Transparent informieren

Nach Art. 13 DSGVO müssen Sie Betroffene informieren. Ergänzen Sie Ihre Datenschutzerklärung um einen Abschnitt zu QR-Codes: welcher Dienst eingesetzt wird, welche Daten beim Scan verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Ein kurzer Hinweis neben dem gedruckten Code, etwa „Dieser Code erfasst eine Scan-Statistik, Details unter …“, schafft zusätzliches Vertrauen.

Die Zielseite nicht vergessen

Viele Datenschutzprobleme entstehen nicht beim Scan, sondern auf der Zielseite. Laden dort Analyse- oder Marketing-Tools, die nicht unbedingt erforderlich sind, brauchen Sie dafür eine Einwilligung über ein Cookie-Banner, das diese Tools erst nach Zustimmung aktiviert.

Checkliste: QR-Code-Tracking datenschutzkonform aufsetzen

1. Zweck der Auswertung schriftlich festhalten
2. Nur die dafür nötigen Daten erfassen, Regionen grob halten
3. Klären, ob und wie lange vollständige IP-Adressen gespeichert werden
4. Rechtsgrundlage festlegen und Interessenabwägung dokumentieren
5. Auftragsverarbeitungsvertrag mit dem QR-Code-Anbieter abschließen
6. Serverstandort und Unterauftragnehmer des Anbieters prüfen
7. Datenschutzerklärung ergänzen
8. Zielseite auf Cookies und Tracking-Tools prüfen und Einwilligungen einholen
9. Speicherfristen festlegen und Exporte mit Rohdaten ebenfalls löschen
10. Eintrag im Verzeichnis von Verarbeitungstätigkeiten ergänzen

Datenschutzbewusstes Tracking mit QRFlow

QRFlow, das QR-Code-Produkt von Simplify Data, bietet dynamische QR-Codes mit Scan-Analytics nach Gerät, Region und Zeitverlauf auf Basis von GeoIP sowie Exporte nach CSV, Excel und PDF. Bei der Einrichtung beraten wir Sie gern, wie Sie die Auswertung auf das Nötige beschränken. QRFlow ansehen

Quellen

• Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, § 25
• Datenschutz-Grundverordnung (EUR-Lex)
• EuGH, Urteil vom 19. Oktober 2016, C-582/14 (Breyer)
• Datenschutzkonferenz: Orientierungshilfe für Anbieter:innen von digitalen Diensten
• EDSA: Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 ePrivacy-Richtlinie