Datenschutz bei QR-Codes: Was Schweizer Unternehmen laut DSG beachten müssen

QR-Codes gelten gemeinhin als harmlose technische Hilfsmittel – ein Muster aus schwarzen und weissen Feldern, das zu einer Website führt. Sobald ein Code jedoch Daten auswertet oder zu Formularen führt, die persönliche Daten erfassen, bewegt man sich datenschutzrechtlich in einem Bereich, der auch für Schweizer Unternehmen relevant ist.

Das revidierte Datenschutzgesetz (revDSG) als Grundlage

Seit September 2023 ist in der Schweiz das revidierte Datenschutzgesetz (revDSG) in Kraft. Es verlangt von Unternehmen unter anderem:

1. Transparenz: Betroffene Personen müssen nachvollziehen können, welche Daten zu welchem Zweck bearbeitet werden – üblicherweise über eine Datenschutzerklärung.
2. Datenminimierung: Es dürfen nur so viele Daten erhoben werden, wie für den jeweiligen Zweck tatsächlich nötig sind.
3. Angemessene Sicherheit: Technische und organisatorische Massnahmen müssen die bearbeiteten Daten vor Missbrauch, Verlust oder unbefugtem Zugriff schützen.
4. Meldepflicht bei Verletzungen: Bestimmte Datenschutzverletzungen müssen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden.

Wo QR-Codes konkret ins Spiel kommen

Scan-Tracking als Datenbearbeitung

Wertet ein dynamischer QR-Code aus, wann, wie oft und über welches Gerät er gescannt wurde, handelt es sich um eine Form der Datenbearbeitung. Sind einzelne Scans über die IP-Adresse potenziell einer Person zuordenbar, sollte dieser Vorgang in der eigenen Datenschutzerklärung erwähnt werden – auch wenn viele QR-Code-Anbieter IP-Adressen bereits anonymisiert verarbeiten und so das Risiko deutlich reduzieren.

Formulare und Landingpages hinter dem Code

Führt ein QR-Code zu einem Kontaktformular, einer Newsletter-Anmeldung oder einem Gewinnspiel, das persönliche Daten abfragt, gelten für diese Zielseite dieselben Anforderungen wie für jedes andere Formular auch: Es muss eine klare Information über den Verwendungszweck sowie eine gültige Rechtsgrundlage für die Bearbeitung geben. Im Zweifel ist zudem eine explizite Einwilligung erforderlich.

vCard-Codes mit Kontaktdaten Dritter

Wird ein vCard-QR-Code nicht für die eigene, sondern für eine andere Person erstellt (etwa für Mitarbeitende auf gemeinsamen Namensschildern), sollte geprüft werden, ob die betroffene Person mit der Veröffentlichung ihrer Kontaktdaten einverstanden ist.

Standort ausserhalb der Schweiz

Wird der Scan-Vorgang oder die dahinterliegende Datenverarbeitung von einem Anbieter mit Sitz oder Serverstandort im Ausland abgewickelt, kann zusätzlich die Frage der grenzüberschreitenden Datenbearbeitung relevant werden. Anbieter mit Sitz und Hosting in der Schweiz oder der EU vereinfachen diese Einschätzung in der Praxis erheblich.

Eine praktische Checkliste

1. Erwähnt die eigene Datenschutzerklärung, dass QR-Code-Scans zu statistischen Zwecken ausgewertet werden können?
2. Werden IP-Adressen bei der Auswertung anonymisiert oder zumindest gekürzt verarbeitet?
3. Führt ein QR-Code zu einem Formular, das persönliche Daten erfasst – und ist dieses Formular seinerseits datenschutzkonform gestaltet?
4. Werden sensible oder nicht für die Öffentlichkeit bestimmte Inhalte über einen offen zugänglichen QR-Code verbreitet, obwohl ein Passwortschutz sinnvoller wäre?
5. Ist bekannt, wo der genutzte QR-Code-Anbieter seine Server betreibt?

Der pragmatische Blick

Für die meisten alltäglichen Anwendungen – eine Speisekarte, ein Produktinfo-Code, ein Link zu Social Media – ergeben sich aus dem Datenschutzgesetz keine grossen Hürden, sofern die grundsätzlichen Transparenzpflichten eingehalten werden. Kritischer wird es erst, sobald ein QR-Code direkt oder indirekt zu personenbezogenen Daten führt – etwa über ein Formular, eine Umfrage mit Namensfeld oder eine Kontaktkarte. In diesen Fällen lohnt sich ein bewusster, kurzer Check, bevor der Code in Druck geht.

Worauf bei der Wahl eines QR-Code-Anbieters zu achten ist

Wer selbst datenschutzkonform arbeiten möchte, sollte auch beim eingesetzten QR-Code-Werkzeug genau hinsehen. Wo werden die Daten gehostet? Werden IP-Adressen anonymisiert? Und lässt sich sensibler Inhalt bei Bedarf mit einem Passwort schützen? QRown wird in der Schweiz gehostet und anonymisiert Scan-Daten bereits standardmässig – eine solide Grundlage, um die eigenen Datenschutzpflichten mit gutem Gewissen zu erfüllen.

Jetzt informiert loslegen!

Erstelle deine QR-Codes mit einem Schweizer Anbieter, der Datenschutz von Anfang an mitdenkt.