QR-Code-Tracking und Datenschutz: was du erfassen darfst
Ist QR-Code-Tracking legal? Keines der Behördendokumente, die wir geprüft haben, erwähnt QR-Codes. Jede Antwort ist also eine Analogie zu den Regeln für Webanalyse und fällt je nach Land anders aus. Die Europäische Kommission führt die IP-Adresse unter ihren Beispielen für personenbezogene Daten, während das britische ICO und die französische CNIL jeweils eng gefasste Fälle beschreiben, in denen aggregierte Statistiken keine Einwilligung brauchen. Dieser Artikel ist keine Rechtsberatung.
Fakten geprüft am 17. Oktober 2026.
Welche Daten sendet ein QR-Code-Scan?
Ein QR-Code enthält Text, meist eine Webadresse. Beim Scannen ruft das Handy diese Adresse auf, und der Server erhält die IP-Adresse des Handys. Der Gerichtshof der Europäischen Union weist in einer Fußnote seiner Pressemitteilung zum Fall Breyer darauf hin. Die Leitlinien des EDSA nennen außerdem HTTP-Header wie den User-Agent unter den Kontextdaten, die eine Anfrage mitführen kann.
Bei einem dynamischen Code erreicht diese Anfrage den Weiterleitungsdienst, und genau dort entstehen die Scanstatistiken. Bei einem statischen Code sieht sie nur die Zielwebsite (wie sich beide unterscheiden). Der Code selbst erzeugt keine Daten; wer den Server betreibt, entscheidet, was gespeichert wird.
Wenn du die IP-Adresse nie speicherst, ist sie dann trotzdem ein personenbezogenes Datum?
Die Erläuterung der Kommission nennt eine IP-Adresse und eine Cookie-ID als personenbezogene Daten. Sie definiert Verarbeitung als jeden Vorgang mit solchen Daten, einschließlich Erhebung, Abfrage und Verwendung, und nennt das Speichern von IP-Adressen als Beispiel. Sie ergänzt, dass Anonymisierung nur zählt, wenn sie unumkehrbar ist.
Im Fall Breyer (C-582/14) entschied der Gerichtshof, dass eine dynamische IP-Adresse für einen Websitebetreiber ein personenbezogenes Datum ist, wenn der Betreiber rechtliche Mittel hat, den Besucher mithilfe zusätzlicher Informationen des Internetzugangsanbieters zu identifizieren. Wir haben die Pressemitteilung des Gerichtshofs vom 19. Oktober 2016 gelesen, nicht den Urteilstext, und der Fall wurde nach einer Richtlinie von 1995 entschieden, die laut den Leitlinien des EDSA durch die DSGVO aufgehoben wurde.
„Wir speichern keine IP-Adressen“ ist also enger als „Wir verarbeiten keine personenbezogenen Daten“. Die Adresse kommt weiterhin mit jeder Anfrage an, und ein am selben Tag gebildeter Hash wird weiterhin aus ihr abgeleitet. Keiner der gelesenen Texte sagt, dass ein Dienst in dieser Lage außerhalb des Datenschutzrechts steht, also behaupten wir das nicht. Das Selbstbewertungstool der CNIL beschreibt eine IP-Adresse ohne ihr letztes Oktett als pseudonymisiert.
Kommt QR-Code-Scan-Tracking ohne Einwilligungsbanner aus?
Hier werden zwei Fragen vermischt. Die erste nach Datenschutzrecht (DSGVO, UK GDPR): Sind die Daten personenbezogen, was ist deine Rechtsgrundlage, was teilst du den Leuten mit? Die zweite nach ePrivacy-artigen Regeln zum Speichern oder Auslesen von Informationen auf dem Gerät einer Person: Wann ist eine Einwilligung nötig? Die Ausnahmen unten beantworten nur die zweite. Das ICO sagt, dass die UK GDPR weiter gilt, wenn Statistiken personenbezogene Daten umfassen, und die CNIL sagt, dass ihr Selbstbewertungstool nicht die Rechtskonformität insgesamt bewertet.
Eine Scan-Weiterleitung wirft eindeutig die erste Frage auf. Ob sie die zweite berührt, hängt davon ab, was der Dienst erfasst und wie er es nutzt: Die Leitlinien des EDSA sagen, dass das Erfassen von IP-Adressen oder HTTP-Headern wie dem User-Agent die ePrivacy-Regel ins Spiel bringen kann (Randnummern 42, 43 und 55), ohne zu sagen, dass es das immer tut. Keines dieser Dokumente behandelt QR-Codes.
| Behörde | Was sie zu Statistiken sagt | Datum |
|---|---|---|
| Vereinigtes Königreich, Leitfaden des ICO | Keine PECR-Einwilligung, wenn der einzige Zweck aggregierte Statistiken über die Nutzung eines Dienstes zu dessen Verbesserung sind, mit klaren Informationen und einer „einfachen und kostenlosen“ Widerspruchsmöglichkeit. Das Verfolgen einzelner Besucher, etwa per IP-Adresse, braucht eine Einwilligung. | Zuletzt aktualisiert am 29. April 2026 |
| Frankreich, Seite der CNIL (Französisch) | Ausgenommen, wenn beschränkt auf die eigene Reichweitenmessung des Anbieters und anonyme Statistiken, ohne Abgleich oder websiteübergreifendes Tracking. Empfiehlt, Nutzer zu informieren und Daten höchstens 25 Monate aufzubewahren. | 4. Juli 2025 |
| EU, EDSA | Nur der technische Anwendungsbereich. Ausnahmen bleiben nationalem Recht und nationalen Behörden überlassen; dass die Regel greift, bedeutet nicht automatisch, dass eine Einwilligung nötig ist. | Angenommen am 7. Oktober 2024 |
Der Maßstab des ICO: Die Ausnahme handle „davon, wie dein Dienst genutzt wird, nicht davon, wer ihn nutzt“. Seine Beispiele für Aktivitäten, die wahrscheinlich als aggregierte Statistik gelten, umfassen Gerätetypen, Browser- oder Systemversionen, die Referrer-URL und einen groben Standort auf Stadt- oder Regionsebene, der niemanden identifiziert.
Eine Zeile im Tool der CNIL ist für QR-Codes wichtig: Es führt die Messung von Akquisekanälen und der Leistung von Werbekampagnen unter den Zwecken, die in seiner ausgenommenen Konfiguration standardmäßig ausgeschaltet bleiben sollen. Oft werden Scans gezählt, um Platzierungen wie Flyer und Plakate zu vergleichen. Das Tool erwähnt QR-Codes nicht, prüfe also, wie das auf dich zutrifft. Diese Dokumente stammen aus dem Vereinigten Königreich, aus Frankreich und von EU-Ebene; andere Länder haben wir nicht geprüft.
Wie schneidet ein echter Scan-Datensatz ab?
Die Datenschutzerklärung von QR Maker AI führt auf, was jeder Scan-Datensatz enthält. Gegenübergestellt mit den Beispielen oben:
| Punkt | Beispiele von ICO und CNIL | Scan-Datensatz von QR Maker AI |
|---|---|---|
| IP-Adresse | ICO: Einzelpersonen per IP verfolgen braucht Einwilligung. CNIL-Tool: falls genutzt, für einen Standort auf Stadtebene, dann pseudonymisiert durch Entfernen mindestens des letzten Oktetts | Nicht gespeichert, weder vollständig noch gekürzt; nur im Arbeitsspeicher gehalten, um den Tageshash zu bilden |
| Standort | ICO: Stadt- oder Regionsebene. CNIL-Tool: Stadtebene | Land, Bundesland oder Provinz und die daraus folgende Zeitzone; keine Stadt |
| Gerät und Browser | ICO: Gerätetypen, Browser- und Systemversionen. CNIL-Tool: minimieren, etwa auf Hauptversionen | Gerätetyp, Browser, System und Hauptversionen, wie der Browser sie meldet |
| Referrer und Tags | Das ICO nennt die Referrer-URL. CNIL-Tool: nur die Domain, keine Kampagnenkennungen in URLs | Referer-Header wie gesendet, plus ein optionales Platzierungs-Tag, das du hinzufügst, etwa ?s=poster |
| Besucherzählung | ICO und CNIL-Tool: kein Verfolgen einzelner Besucher | Ein verschlüsselter Hash aus Adresse und Datum zählt eindeutige Besucher desselben Tages und lässt sich nicht über Tage verknüpfen; pseudonym, nicht anonym |
| Aufbewahrung | ICO: Daten auf Einzelpersonenebene nur so lange speichern wie nötig, und es nennt das Aufbewahren dieser Daten nach dem Aggregieren als über die Ausnahme hinausgehend. CNIL: empfiehlt höchstens 25 Monate | Scan-Datensätze bleiben mit dem Code erhalten, und die Datenschutzerklärung nennt keine feste Frist; in dieser Zeile sind wir also nicht strenger als die Beispiele von ICO und CNIL |
Bei der IP-Adresse ist dieser Datensatz zurückhaltender als diese Beispiele. Sein Standort ist nicht feiner als die Regionsebene, die das ICO nennt. Bei Referrern, Tags und Aufbewahrung ist er nicht strenger als jedes Beispiel. Der Vergleich stammt von uns, nicht von einer Behörde, und kein gelesener Text empfiehlt „keine IP speichern“ als Standard. Scanstatistiken brauchen einen dynamischen Code, und der braucht ein verifiziertes Konto; Stand Oktober 2026 enthält der kostenlose Tarif drei aktive. Erstelle einen, um diese Kategorien bei deinen eigenen Codes zu sehen.
Was solltest du deinem Publikum sagen?
Unsere Datenschutzerklärung sagt, dass der Inhaber des Codes in der Regel Verantwortlicher für die Scandaten ist und dafür sorgen muss, eine Rechtsgrundlage zu haben und die Scannenden zu informieren. Schreib diese Punkte in einen Datenschutzhinweis, der von der Seite verlinkt ist, die der Code öffnet, denn auf einem gedruckten Code ist wenig Platz für Text:
- Zweck. Scandaten dienen dazu zu sehen, wie der Code abschneidet, etwa welche Platzierung gescannt wird, und zu nichts anderem. Die Ausnahme des ICO hängt an diesem einzigen Zweck.
- Kategorien. Liste auf, was dein Anbieter erfasst, aus seiner Erklärung übernommen, nicht vermutet.
- Aggregiert oder individuell. Sag, ob du nur Summen siehst und ob es eine Besucherkennung gibt, etwa einen Tageshash. Behaupte nur dann, dass sie sich nicht über Tage verknüpfen lässt, wenn dein Anbieter das dokumentiert.
- Aufbewahrung. Gib an, wie lange du Scan-Datensätze aufbewahrst.
- Widerspruch und Kontakt. Nenn eine funktionierende Adresse. Das ICO verlangt eine „einfache und kostenlose“ Widerspruchsmöglichkeit, und das Tool der CNIL verortet den Widerspruchsweg in der Datenschutzerklärung.
- Dienstleister. Nenn deinen QR-Anbieter.
- Zusätzliches. Beschreib Cookies oder Tracking einzelner Besucher auf deiner eigenen Seite gesondert; vier Wege, Scans zu messen vergleicht die Optionen.
Das fasst öffentliche Dokumente zusammen und ist keine Rechtsberatung. Prüfe den Originaltext für jedes Land, in dem dein Publikum lebt.
FAQ
Ist QR-Code-Tracking legal?
Wir haben keinen Behördentext gefunden, der für QR-Scans geschrieben wurde. ICO und CNIL behandeln eng gefasste, aggregierte Statistiken mit einem einzigen Zweck am nachsichtigsten, doch die Regeln unterscheiden sich je nach Land und danach, was du erfasst. Frag eine Anwältin oder einen Anwalt, die deinen Markt kennen.
Brauche ich für QR-Scan-Analysen eine Cookie-Einwilligung?
Das hängt davon ab, was auf dem Gerät der Person gespeichert oder von dort ausgelesen wird, und von nationalen Regeln. Der EDSA überlässt Ausnahmen den nationalen Behörden.
Ist eine gehashte oder gekürzte IP-Adresse anonym?
Geh nicht davon aus. Die Kommission sagt, dass Anonymisierung unumkehrbar sein muss, und das Tool der CNIL nennt eine IP-Adresse ohne ihr letztes Oktett pseudonymisiert.
Quellen
- European Commission — Data protection explained. Undated. Accessed 17 October 2026.
- Information Commissioner's Office (UK) — What are the exceptions? (Guidance on the use of storage and access technologies). Guidance last updated 29 April 2026. Accessed 17 October 2026.
- CNIL (France) — Cookies : solutions pour les outils de mesure d'audience. French; paraphrases are ours. Published 4 July 2025. Accessed 17 October 2026.
- Court of Justice of the European Union — Press Release No 112/16, Judgment in Case C-582/14 Patrick Breyer v Bundesrepublik Deutschland. Published 19 October 2016. Accessed 17 October 2026.
- European Data Protection Board — Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, Version 2.0. Adopted 7 October 2024. Accessed 17 October 2026.
- CNIL (France) — Outil d'auto-évaluation relatif à la mise en œuvre d'une solution de mesure d'audience exemptée de consentement. French; paraphrases are ours. July 2025. Accessed 17 October 2026.