QR-Codes selbst sind erst einmal neutral: Ob ein Code personenbezogene Daten berührt, hängt vom jeweiligen Anwendungsfall ab. Ein Überblick, was NYQRA technisch umsetzt – und wofür Unternehmen beim eigenen Einsatz selbst verantwortlich bleiben.

Was im QR-Code selbst steht

Ein NYQRA-Code speichert im gedruckten Muster ausschließlich einen kurzen, festen Kurzlink — keine personenbezogenen Daten. Personenbezogene Daten entstehen erst, wenn ein Nutzer sie selbst als Ziel hinterlegt, etwa bei einer digitalen Visitenkarte (vCard) mit Namen und Kontaktdaten. Für solche Inhalte gilt: Wer die Daten einträgt, ist für deren datenschutzkonforme Verwendung selbst verantwortlich.

Wie Scan-Daten verarbeitet werden

Beim Scan eines Codes wird die IP-Adresse des Besuchers zu keinem Zeitpunkt im Klartext gespeichert, sondern ausschließlich als nicht umkehrbarer kryptografischer Hash (HMAC-SHA256 mit einem serverseitigen Geheimnis) abgelegt. Für die Standortauswertung wird zusätzlich nur der aus der IP ermittelte Ländercode gespeichert, nicht die IP-Adresse selbst — dafür wird keine Anfrage an einen externen Geolokalisierungsdienst gesendet, die Zuordnung erfolgt über eine lokale Geodaten-Datenbank. Es findet kein Browser-Fingerprinting und keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.

Was Unternehmen beim eigenen Einsatz selbst prüfen müssen

Der Einsatz von NYQRA erfordert wie bei jedem SaaS-Dienst eine eigene Bewertung, wie der jeweilige Anwendungsfall — etwa eine vCard mit Mitarbeiterdaten oder ein Kontaktformular — datenschutzrechtlich einzuordnen ist. NYQRA kann diese Bewertung nicht stellvertretend für das jeweilige Unternehmen vornehmen.

Häufige Fragen

Kann aus den gespeicherten Scan-Daten auf eine einzelne Person geschlossen werden?
Die IP-Adresse wird nur als Einweg-Hash gespeichert, aus dem sich die ursprüngliche IP-Adresse nicht wiederherstellen lässt. Zusätzlich erhoben werden Zeitpunkt, Ländercode, sowie Browser-/Betriebssystem-/Gerätekategorie – ohne Namen oder sonstige direkt identifizierende Merkmale des Scannenden.
Wo steht das offiziell, verbindlich für meinen Vertrag?
Verbindlich ist ausschließlich die aktuelle Datenschutzerklärung im Kundenbereich, nicht dieser Blogbeitrag. Dieser Beitrag beschreibt dieselben technischen Fakten in allgemeinverständlicher Form, ersetzt aber keine rechtliche Beratung zum eigenen Anwendungsfall.

Verbindliche Angaben: Datenschutzerklärung im Kundenbereich. Dieser Beitrag ersetzt keine Rechtsberatung.