Ein QR-Code selbst kann keine Daten sammeln, er enthält nur Text, meist eine Webadresse. Datenschutzfragen beginnen erst, wenn Sie den Link öffnen. Der Server dahinter sieht dann zum Beispiel den Zeitpunkt des Scans, Ihre IP-Adresse, den ungefähren Standort und den Gerätetyp, und die aufgerufene Website kann Sie mit Cookies weiter verfolgen.
QR-Codes sind überall: auf Speisekarten, Plakaten, Paketen, Tickets und an Bezahlstationen. Viele fragen sich, ob man beim Scannen unbemerkt persönliche Daten preisgibt. Die ehrliche Antwort lautet: „ein wenig, und es hängt davon ab, was nach dem Scan passiert". Dieser Ratgeber erklärt, was erfasst werden kann, wer es erfasst, wie Datenschutzgesetze das grundsätzlich regeln und wie Sie die Kontrolle behalten.
Was beim Scannen tatsächlich passiert
Das Scannen läuft in zwei Schritten ab:
- Ihre Kamera oder Scanner-App liest das Muster und wandelt es in Text um, etwa eine URL, WLAN-Zugangsdaten oder eine Kontaktkarte.
- Handelt es sich um einen Link und Sie öffnen ihn, verbindet sich Ihr Smartphone mit der Website wie bei jedem anderen Link.
Der erste Schritt findet nur auf Ihrem Gerät statt. Der QR-Code ist lediglich gedruckte Information, er kann also weder Programme ausführen noch Ihr Mikrofon einschalten oder Ihre Dateien lesen. Erst im zweiten Schritt können Daten fließen, denn jetzt kommuniziert Ihr Browser mit einem Server.
Was ein QR-Code-Scan verraten kann
Öffnen Sie einen Link aus einem QR-Code, vor allem aus einem dynamischen, der über einen Weiterleitungsdienst läuft, stehen den beteiligten Diensten üblicherweise folgende Informationen zur Verfügung:
- Datum und Uhrzeit des Scans
- IP-Adresse, aus der sich Ihre ungefähre Stadt oder Region und Ihr Internetanbieter ableiten lassen
- Geräte- und Browsertyp, etwa Betriebssystem und Browserversion
- Spracheinstellungen Ihres Smartphones
- Welcher Code gescannt wurde, damit ein Unternehmen weiß, ob Sie über das Plakat im Schaufenster oder den Flyer an der Kasse kamen
Danach kann die Zielwebsite wie jede andere Seite Cookies, Analyse-Tools oder Werbetracker einsetzen. Wenn Sie sich anmelden, ein Formular ausfüllen oder bezahlen, geben Sie deutlich mehr preis, aber das ist Ihre Entscheidung auf der Seite und nichts, was der QR-Code selbst tut.
Was ein normaler Scan nicht verrät: Ihren Namen, Ihre Telefonnummer, Kontakte, Fotos oder Ihren genauen GPS-Standort. Ihren exakten Standort erhält eine Website nur, wenn der Browser um Erlaubnis fragt und Sie zustimmen.
Warum Unternehmen QR-Scans auswerten
Das meiste Tracking rund um QR-Codes ist ganz normale Erfolgsmessung im Marketing. Ein Café möchte wissen, ob die Tischaufsteller genutzt werden. Ein Laden will eine Zeitungsanzeige mit einem Plakat im Geschäft vergleichen. Dynamische QR-Codes machen das einfach, weil jeder Scan über einen kurzen Link läuft, der die Aufrufe zählt.
Zusammengefasste Zahlen wie „120 Scans diese Woche, meist abends" sind nützlich und wenig riskant. Probleme entstehen, wenn Daten verknüpft, zu lange gespeichert, an Dritte weitergegeben oder auf eine Weise genutzt werden, mit der niemand rechnet.
Datenschutzgesetze im Überblick
Viele Länder haben Datenschutzgesetze, die auch für Daten gelten, die über QR-Codes erhoben werden. In der Europäischen Union ist das die Datenschutz-Grundverordnung (DSGVO), in Thailand der Personal Data Protection Act (PDPA). Die Details unterscheiden sich, und dies ist keine Rechtsberatung, doch einige Grundsätze haben sie gemeinsam:
- Personenbezogene Daten können auch Kennungen wie IP-Adressen oder Geräte-IDs sein, nicht nur Namen und E-Mail-Adressen
- Transparenz: Menschen sollen erfahren, was erhoben wird und warum, meist in einer Datenschutzerklärung
- Eine Rechtsgrundlage ist nötig, um Daten zu erheben und zu nutzen, für manche Zwecke ist eine Einwilligung erforderlich
- Datenminimierung: nur erheben, was für den genannten Zweck nötig ist
- Begrenzte Speicherdauer: Daten nicht länger als nötig aufbewahren
- Sicherheit: gespeicherte Daten angemessen schützen
- Rechte der Betroffenen, etwa auf Auskunft oder Löschung, in vielen Situationen
Wenn Sie ein Unternehmen führen und QR-Codes im Marketing einsetzen, prüfen Sie die für Sie geltenden Regeln oder fragen Sie eine fachkundige Beratung.
Datenschutz-Tipps für alle, die scannen
Sie müssen nicht aufhören, QR-Codes zu scannen. Ein paar Gewohnheiten genügen, um die Kontrolle zu behalten:
- Link zuerst ansehen. Die meisten Handykameras zeigen die Adresse vor dem Öffnen an. Lesen Sie sie und fahren Sie nur fort, wenn sie Ihren Erwartungen entspricht.
- Einen Scanner nutzen, der das Ziel anzeigt. Der Online QR-Scanner von QR-TH liest den Code im Browser und zeigt, wohin er führt, bevor Sie ihn öffnen.
- Vorsicht bei Kurzlinks. Sie verbergen das eigentliche Ziel. Lesen Sie, wie Sie prüfen, wohin ein Kurzlink führt.
- Unnötige Berechtigungen ablehnen. Fragt eine Seite ohne erkennbaren Grund nach Standort, Kamera oder Benachrichtigungen, sagen Sie Nein.
- Cookies begrenzen. Nutzen Sie die Datenschutzeinstellungen Ihres Browsers oder den privaten Modus für einmalige Scans.
- Erst denken, dann Formulare ausfüllen. Für eine Speisekarte braucht niemand Ihre Ausweisnummer. Eine Parkzahlungsseite sollte die offizielle sein.
- Auf Betrug achten. Kriminelle nutzen QR-Codes, um Zugangsdaten und Zahlungsinformationen zu stehlen. Unser Ratgeber zum QR-Code-Betrug erklärt die Warnsignale.
Datenschutz-Checkliste für Unternehmen mit QR-Codes
Wenn Sie QR-Codes auf Speisekarten, Verpackungen oder Plakaten einsetzen, können Sie Ergebnisse messen und trotzdem Ihre Kunden respektieren:
- Nutzen Sie Scan-Statistiken in zusammengefasster Form und erheben Sie nicht mehr als nötig
- Erklären Sie in einer Datenschutzerklärung, was beim Scannen und Besuch Ihrer Seite erfasst wird
- Holen Sie eine Einwilligung ein, wo das Gesetz sie verlangt, zum Beispiel für Marketing-Cookies
- Erzwingen Sie keine Registrierung, nur damit jemand eine Speisekarte oder Basisinformationen sehen kann
- Wählen Sie einen QR-Anbieter, der auf sichere, geprüfte Ziele verlinkt und Scannenden keine Werbung zeigt
- Löschen Sie alte Daten, die Sie nicht mehr brauchen
- Schützen Sie Ihr Konto mit Zwei-Faktor-Anmeldung, damit niemand sonst Ihre Links ändern oder Ihre Statistiken lesen kann
Die dynamischen Codes von QR-TH liefern Ihnen Scan-Statistiken für Ihre eigenen Codes, und die Ziel-Links werden mit Google Safe Browsing geprüft. So messen Sie, was funktioniert, ohne Kunden an unerwartete Orte zu schicken.
FAQ
Kann jemand über einen QR-Code-Scan auf mein Handy zugreifen?
Nein. Ein QR-Code enthält nur Daten wie einen Link. Das Risiko liegt bei der Website oder App, zu der er führt, und die Sie womöglich dazu verleiten will, Daten einzugeben oder etwas zu installieren.
Kann ein QR-Code meinen genauen Standort verfolgen?
Nicht von sich aus. Der Server kann aus Ihrer IP-Adresse eine ungefähre Region schätzen. Den genauen GPS-Standort gibt Ihr Gerät nur weiter, wenn eine Website fragt und Sie es erlauben.
Sind dynamische QR-Codes schlechter für den Datenschutz als statische?
Dynamische Codes laufen über einen Kurzlink, daher kann der Anbieter Scans zählen. Diese Daten dienen meist einfachen Statistiken. Ein statischer Code führt direkt zum Ziel, doch auch diese Website kann Daten erheben.
Ist es sicher, QR-Codes an öffentlichen Orten zu scannen?
In der Regel ja, wenn Sie den Link vor dem Öffnen prüfen und auf Seiten, die Sie über einen unbekannten Code erreicht haben, keine Passwörter oder Zahlungsdaten eingeben.
Mit mehr Kontrolle scannen
Sie können die Bequemlichkeit von QR-Codes genießen, ohne mehr preiszugeben als beabsichtigt. Bevor Sie einen unbekannten Code öffnen, probieren Sie den QR-Scanner von QR-TH aus: Er zeigt Ihnen zuerst das Ziel, und Sie entscheiden selbst, ob Sie weitermachen.