DSGVO-konforme QR-Code-Analyse: Checkliste

DSGVO bei der QR-Code-Analyse: eine praktische Compliance-Checkliste

Ein QR-Code kann ein Smartphone durch mehrere Dienste leiten, bevor eine Seite angezeigt wird. Beim Scannen kann zunächst eine Plattform für Kurzlinks aufgerufen werden, dann ein Analysedienst, und schließlich eine Kampagnenseite mit eigenen Cookies. Jeder Schritt kann beeinflussen, welche Informationen erhoben werden und wer sie verarbeitet.

Bei der DSGVO-konformen QR-Code-Analyse muss der gesamte Ablauf vom Scan berücksichtigt werden – nicht nur das Dashboard mit den Scan-Zahlen. Arbeiten Sie diese Checkliste vor dem Start durch und prüfen Sie sie erneut, wenn sich das Ziel, ein Dienstleister oder eine Tracking-Einstellung ändert. Die rechtlichen Pflichten hängen von der konkreten Konfiguration und den betroffenen Personen ab. Lassen Sie offene Fragen daher von einer qualifizierten Fachperson klären.

1. Vor dem Start: Den Ablauf des Scans abbilden

Beginnen Sie beim gedruckten Code. Notieren Sie alle Ziele und Dienste, die das Smartphone nach dem Scan aufruft – einschließlich Weiterleitungen, Kurzlink-Diensten, Landingpages, Tag-Managern, Analysetools und Werbe-Pixeln. Ein Kampagnenplakat mit einer Kurz-URL kann mehr Verarbeitungsschritte umfassen, als das sichtbare Ziel vermuten lässt.

Speichern Sie eine Kopie des tatsächlichen Links und testen Sie ihn auf einem Smartphone. Halten Sie jede Weiterleitung in der richtigen Reihenfolge fest, ebenso wie die dafür verantwortliche Organisation und die in diesem Schritt erhobenen Datenfelder. Ein Weiterleitungsdienst kann beispielsweise einen Zeitstempel und eine IP-Adresse erfassen, während auf der Landingpage zusätzlich ein cookiebasiertes Analyseereignis ausgelöst wird.

Erstellen Sie für jeden Schritt eine einfache Übersicht. Erfassen Sie den Zweck, die erhobenen Daten, die Empfänger, den Speicherort, falls bekannt, und die Speicherdauer. Kennzeichnen Sie ungeklärte Punkte, damit sie nachverfolgt werden können, statt davon auszugehen, dass ein Dienstleister keine Daten erhebt, nur weil sein Dashboard lediglich Gesamtzahlen anzeigt.

• QR-Code: Prüfen Sie, ob der Code statisch ist oder auf eine bearbeitbare Weiterleitung verweist.
• Weiterleitung: Prüfen Sie, ob der Dienst IP-Adressen, Gerätedetails oder Scan-Zeitpunkte protokolliert.
• Landingpage: Erfassen Sie Cookies, Pixel, Formulare und Analyseskripte, die geladen werden.
• Nachgelagerte Tools: Notieren Sie alle CRM-Systeme, E-Mail-Plattformen oder Werbekonten, an die Ereignisse übermittelt werden.

Für eine kleine Kampagne reicht meist eine Tabelle aus. Geben Sie jedem QR-Code einen Kampagnennamen, etwa „Frühlingsmenü – Caféfenster“. So lässt sich ein Scan dem richtigen Druckmaterial zuordnen, ohne auf eine unklare Bezeichnung wie „QR 4“ angewiesen zu sein.

2. Zuständigkeiten klären und eine Rechtsgrundlage wählen

Ermitteln Sie, wer über den Zweck der Erhebung von Scan-Daten und deren Verwendung in der Kampagne entscheidet. Diese Organisation kann Verantwortliche sein, während ein Dienstleister, der ausschließlich nach ihren Weisungen handelt, Auftragsverarbeiter sein kann. Die Rollen hängen von der tatsächlichen Verarbeitung und den getroffenen Vereinbarungen ab. Die Bezeichnung im Vertrag allein entscheidet nicht darüber.

Dokumentieren Sie für jeden Zweck die vorgesehene Rechtsgrundlage und warum sie dafür geeignet ist. Die Auswertung aggregierter Besuche, die Zuordnung von Käufen und die Erstellung eines Werbeprofils sind unterschiedliche Zwecke – fassen Sie sie nicht unter einem allgemeinen Begriff wie „Analyse“ zusammen. Wenn ein Händler und eine Agentur gemeinsam festlegen, welche Daten erhoben und wie sie verwendet werden, prüfen Sie ihre jeweiligen Rollen und Verantwortlichkeiten.

Prüfen Sie, ob die geltenden Datenschutz- und Vorschriften für elektronische Kommunikation eine Einwilligung für Cookies, Pixel oder ähnliche Tracking-Technologien verlangen. Ein QR-Scan gilt nicht automatisch als Einwilligung ins Tracking. Ist eine Einwilligung erforderlich, muss die entsprechende Auswahlmöglichkeit erscheinen, bevor nicht notwendiges Tracking beginnt. Testen Sie außerdem, dass bei einer Ablehnung nicht unbemerkt dieselben Skripte ausgelöst werden.

Die Einwilligung bei QR-Code-Tracking ist mehr als eine bloße Bezeichnung. Bewahren Sie bei Bedarf einen Nachweis der Auswahl auf, etwa den Einwilligungsdatensatz und die Version des angezeigten Hinweises. Wenn eine Kampagne nur eine einfache Weiterleitung und aggregierte Zählwerte nutzt, dokumentieren Sie, warum diese begrenzte Messung erforderlich ist, und prüfen Sie, ob dennoch personenbezogene Daten verarbeitet werden.

Prüfen Sie vor dem Start die Bedingungen von Drittanbietern. Wenn eine QR-Kampagne Besucher zu einem Google-Dienst weiterleitet, prüfen Sie die geltenden Datenschutzrichtlinien – Datenschutz und Nutzungsbedingungen und klären Sie, welche Einstellungen und Hinweise für Ihre Nutzung gelten. Gehen Sie nicht davon aus, dass der Hinweis des Anbieters Ihren eigenen ersetzt.

3. Klare und verständliche Hinweise bereitstellen

Informieren Sie die Menschen darüber, was beim Scannen geschieht. Ein Hinweis sollte die verantwortliche Organisation, die Erhebungszwecke, die betroffenen Datenarten, die Empfänger oder Empfängerkategorien und die vorgesehene Speicherdauer nennen sowie alle weiteren Informationen enthalten, die im konkreten Fall erforderlich sind. Schreiben Sie nicht nur „Wir verwenden Analysen“, wenn die Seite zugleich Ereignisse an eine Werbeplattform übermittelt.

Stellen Sie den Hinweis bereit, bevor die Erhebung beginnt oder sobald sie beginnt, damit die Menschen die Verarbeitung von Anfang an nachvollziehen können. Ein kurzer Hinweis neben dem Code kann auf eine ausführliche Datenschutzerklärung verweisen. Ein Hinweis, der erst nach mehreren Klicks auf dem Ziel erscheint, erklärt jedoch möglicherweise nicht, dass eine Weiterleitung bereits Scan-Informationen erfasst hat.

Achten Sie darauf, dass die erste Erklärung auf einem Smartphone gut lesbar ist. Bei einem Tischaufsteller in einem Restaurant können Sie beispielsweise einen kurzen Datenschutzlink neben dem QR-Code platzieren und die vollständige Erklärung auf der Menüseite bereitstellen. Verwenden Sie verständliche Formulierungen wie „Wir erfassen den Zeitpunkt eines Besuchs, um Menü-Scans zu zählen“, statt auf Begriffe wie „Ereignisverarbeitung“ zu setzen.

Gleichen Sie den Hinweis mit der Ablaufübersicht ab. Wenn der Code zuerst eine Kurzlink-Plattform öffnet, sollte Ihre Erklärung gegebenenfalls auch deren Datenerhebung abdecken – nicht nur das Analyseskript auf der endgültigen Seite. Geben Sie Kontaktdaten und einen klaren Weg für Datenschutzanfragen an, etwa eine betreute E-Mail-Adresse oder ein Webformular.

Wenn Google-Tools Teil der Kampagne sind, prüfen Sie die relevanten Google-Nutzungsbedingungen – Datenschutz zusammen mit der Dienstkonfiguration und Ihren eigenen Pflichten. Die Bedingungen eines Anbieters können dabei helfen, Funktionen und Datenflüsse zu erkennen, ersetzen aber nicht automatisch eine vollständige Information zu Ihrer Kampagne.

4. Daten minimieren und Speicherfristen festlegen

Erheben Sie nur die Datenfelder, die für einen klar definierten Zweck erforderlich sind. Wenn das Kampagnenteam Scans nach Plakatstandort vergleichen muss, kann ein kampagnenspezifischer Code oder eine grobe Standortangabe ausreichen. Präzise GPS-Koordinaten oder ein vollständiger Geräte-Fingerabdruck können zusätzliche Risiken schaffen, ohne eine sinnvolle Frage zu beantworten.

Prüfen Sie den Umgang mit IP-Adressen, Gerätekennungen, Zeitstempeln und Standortdaten jeweils gesondert. Fragen Sie, ob jedes Feld erforderlich ist, ob es gekürzt oder aggregiert werden kann und ob die Analyse auch ohne dieses Feld funktioniert. Ob ein Feld personenbezogene Daten enthält, hängt vom Kontext und seiner Verwendung ab. Beziehen Sie dabei auch das Thema „QR-Code-Tracking Datenschutz“ in die Prüfung ein.

Legen Sie für rohe Scan-Ereignisse und verknüpfte Datensätze eine Speicherdauer fest. Ein sinnvoller Plan kann zwischen identifizierbaren Ereignisprotokollen und aggregierten Kampagnenzahlen unterscheiden und angeben, wann die Daten gelöscht oder so umgewandelt werden, dass einzelne Personen nicht mehr identifizierbar sind. Richten Sie die Fristen nach dem betrieblichen Bedarf und den geltenden Anforderungen aus, statt Daten unbegrenzt zu speichern, nur weil die Standardeinstellung eines Anbieters dies zulässt.

Dokumentieren Sie Löschungen. Wenn rohe Protokolle beispielsweise nach einer genehmigten Frist entfernt werden sollen, halten Sie fest, wer dafür zuständig ist, in welchem System die Daten liegen und wie die Löschung überprüft wird. Berücksichtigen Sie auch Sicherungskopien und Exporte. Wenn die Kampagne einen Scan nicht einer namentlich bekannten Kundin oder einem namentlich bekannten Kunden zuordnen muss, verknüpfen Sie Scan-Daten nicht allein deshalb mit einem CRM-Datensatz, weil beide Tools verfügbar sind.

5. Analyseanbieter und Datenflüsse überprüfen

Listen Sie alle Anbieter auf, die Informationen im Zusammenhang mit Scans erhalten. Dazu gehören die QR-Plattform, der Hosting-Anbieter, der Analysedienst, der Tag-Manager und alle Agenturen mit Kontozugriff. Prüfen Sie bei jedem Anbieter die Bedingungen zur Auftragsverarbeitung, die Weisungen, Sicherheitszusagen, Angaben zu Unterauftragsverarbeitern und die Unterstützung bei Lösch- oder Auskunftsanfragen. Wenn in der öffentlichen Dokumentation wesentliche Fragen offenbleiben, bitten Sie um schriftliche Antworten.

Prüfen Sie, wo die Daten gespeichert und von wo aus sie zugänglich sind. Ein Anbieter kann Informationen in einem Land hosten, während Support-Mitarbeitende oder Unterauftragsverarbeiter aus einem anderen Land darauf zugreifen. Prüfen Sie deshalb den gesamten Datenfluss und verlassen Sie sich nicht nur auf die prominent genannte Standortangabe auf der Marketingseite. Klären Sie, ob Daten außerhalb des maßgeblichen Rechtsgebiets übermittelt oder abgerufen werden, und ermitteln Sie vor dem Start die geltenden Schutzmaßnahmen.

Vergewissern Sie sich, dass der Vertrag die tatsächlich geplante Verarbeitung abdeckt. Wenn ein Anbieter Scan-Kennungen zur Kampagnenmessung erhält, seine Einstellungen aber auch Werbefunktionen aktivieren, deaktivieren Sie nicht benötigte Funktionen und überprüfen Sie die Änderung im Konto. Ein unterzeichneter Vertrag macht eine ungeeignete Konfiguration nicht von selbst sicher.

Dokumentieren Sie bei einer API-basierten Weiterleitung oder Analyseintegration den Endpunkt, die Zugangsdaten und die bei jeder Anfrage übermittelten Datenfelder. Hinterlegen Sie Zugangsdaten weder in öffentlichen QR-Zieladressen noch in Mitarbeiterunterlagen. Beschränken Sie Kontoberechtigungen auf die Personen, die die Kampagne verwalten, und überprüfen Sie den Zugriff, wenn ein Agenturvertrag endet.

6. Anfragen von Betroffenen und Änderungen an der Kampagne testen

Halten Sie fest, wie das Team Anfragen auf Auskunft, Löschung oder Widerspruch weiterleitet und wie es den Widerruf einer Einwilligung dokumentiert, sofern eine Einwilligung zugrunde liegt. Ermitteln Sie, welche Rechte, Antwortfristen und Ausnahmen unter den jeweiligen Umständen und in den betroffenen Rechtsgebieten gelten. Benennen Sie eine zuständige Person und eine Vertretung.

Testen Sie den Ablauf anhand eines Beispieldatensatzes, bevor Sie die Codes drucken oder verteilen. Prüfen Sie, ob das Team einen Scan-Datensatz über die Weiterleitungsplattform, das Analysekonto und das CRM hinweg finden kann, falls diese Systeme miteinander verknüpft sind. Wenn Datensätze ohne eine Kennung nicht auffindbar sind, dokumentieren Sie diese Einschränkung und entscheiden Sie, ob die Kampagne diese Kennung überhaupt erheben sollte.

Wiederholen Sie den Test nach einer wesentlichen Änderung. Prüfen Sie den Ablauf erneut, wenn ein Anbieter ersetzt wird, eine Landingpage ein Pixel hinzufügt, sich das Ziel ändert oder eine neue Zielgruppe angesprochen wird. Eine Änderung der Weiterleitung kann die Datenerhebung verändern, auch wenn der gedruckte QR-Code exakt gleich bleibt.

Führen Sie für jede Kampagne eine datierte Dokumentation mit Ablaufübersicht, Version des Hinweises, Prüfung der Rechtsgrundlage, Anbieterbewertung, Speicherplan und Testergebnissen. Bevor Sie die nächste Druckauflage freigeben, vergleichen Sie den tatsächlichen Scan-Ablauf mit dieser Dokumentation und klären Sie jede neue Datenerhebung, bevor der Code Kundinnen und Kunden erreicht.