QR-Codes und DSGVO: wann Daten im Spiel sind

Ein QR-Code ist zunächst nur ein gedrucktes Muster. Datenschutzrechtlich relevant wird nicht der Code, sondern das, was beim Scannen passiert — und ob dabei personenbezogene Daten verarbeitet werden.

Dieser Text ist eine allgemeine Orientierung und keine Rechtsberatung. Im Zweifel kläre den konkreten Fall mit einer fachkundigen Stelle.

Statischer Code: meist unkritisch

Ein statischer QR-Code trägt seinen Inhalt selbst und ruft keinen Zwischendienst auf. Beim reinen Erzeugen und Aufhängen werden keine personenbezogenen Daten Dritter verarbeitet. Auf dieser Seite kommt hinzu: Die Eingaben verlassen deinen Browser nicht, es gibt keinen Server, der URLs oder Kontaktdaten mitliest.

Wann es doch relevant wird

Dynamische Codes mit Weiterleitung zählen Scans mit und verarbeiten dabei oft IP-Adressen. Das ist eine Verarbeitung, die eine Rechtsgrundlage und einen Hinweis braucht.
Das Ziel des Codes kann Daten erheben: ein Formular, ein Tracking-Pixel, ein Login. Dafür gelten dieselben Regeln wie für jede Website.
vCard- oder Kontakt-Codes enthalten personenbezogene Daten. Sie an fremden Personen zu verteilen, braucht eine Grundlage; die eigenen Kontaktdaten weiterzugeben ist unproblematisch.

Praktische Konsequenzen

Wer nur einen festen Link, ein WLAN oder eine Überweisung als statischen Code druckt, hat in der Regel kein DSGVO-Thema.
Wer Scans zählen oder das Ziel nachträglich ändern will, wählt einen dynamischen Dienst — und übernimmt dessen Datenschutzpflichten. Was das grundsätzlich bedeutet, steht im Ratgeber statisch oder dynamisch.
Das Ziel des Codes gehört genauso geprüft wie jede andere Seite: Was wird dort erhoben, und ist das gedeckt?