QR-Code Scans tracken ohne Cookies: was ein Scan wirklich verrät

Ein Scan ist eine Webanfrage, und eine Webanfrage redet

Ein statischer QR-Code enthält das Ziel selbst, beim Scannen ist also kein Server dazwischen. Ein dynamischer Code enthält eine kurze URL wie qreu.eu/x7k2, und das Telefon fragt diese URL bei einem Redirect-Server an, der mit dem echten Ziel antwortet. QR-Code Scans tracken findet vollständig in dieser einen Anfrage statt. Weder der Code noch das Papier noch die Kamera fügen etwas hinzu; alles stammt aus dem, was ein Telefon mitsendet, wenn es einen Server um eine Seite bittet.

Nehmen Sie den Flyer einer Bäckerei in Gent. Eine Kundin richtet die Kamera auf den Code, tippt auf die Benachrichtigung, und für etwa hundert Millisekunden tauschen ihr Telefon und der Redirect-Server eine Handvoll Header aus. Dann landet sie auf der Bestellseite der Bäckerei, und der Redirect-Server ist aus dem Spiel. Was in diesen Headern stand, entscheidet, was die Bäckerei erfahren kann.

Was ein Scan an den Redirect-Server sendet

Eine HTTP-Anfrage für eine kurze URL trägt grob fünf Dinge, die ein Redirect-Server nutzen kann. Die IP-Adresse des Telefons oder des Netzes, in dem es hängt, kommt mit der Verbindung selbst. Der User-Agent-Header nennt Browser, Betriebssystem und oft die Gerätefamilie. Der Accept-Language-Header listet die Sprachen, auf die das Telefon eingestellt ist. Der Server notiert die Uhrzeit, zu der die Anfrage einging. Ein Referer-Header fehlt bei einem QR-Scan meist, weil die Kamera-App die URL direkt öffnet und nicht von einer Webseite aus, was für sich schon ein kleines Signal ist, dass der Besuch aus einem Scan kam.

Das ist das gesamte Rohmaterial. Kein Name, keine E-Mail-Adresse, keine Telefonnummer und kein Standort jenseits dessen, was die IP-Adresse nahelegt. Ein Dashboard, das mehr zu wissen behauptet, hat den Besucher danach gefragt, ein Cookie gesetzt oder ein Drittskript auf der Landingpage geladen. Das sind Entscheidungen, keine Eigenschaften des QR-Codes.

Was daraus in einem Dashboard wird

Jeder Header wird zu einem vertrauten Diagramm. Die IP-Adresse wird in einer Geolokalisierungsdatenbank nachgeschlagen und wird zu einem Land, manchmal zu einer Region oder Stadt. Der User-Agent wird zu Gerätetyp, Betriebssystem und Browser. Accept-Language wird zu einer Sprachverteilung, die in einer Touristengegend oft nützlicher ist als das Land: Die Bäckerei sieht auf einem Flyer in einer Hotellobby vielleicht 40 Prozent französische und 25 Prozent englische Scans. Der Zeitstempel wird zur Zeitreihe, die den Samstagsmarkt als Spitze zeigt.

Der entscheidende Schritt passiert davor: Behält der Server die rohe Anfrage oder nur die abgeleiteten Zählungen? Ein Server, der jede Anfragezeile samt IP-Adresse speichert, führt ein Protokoll identifizierbarer Besuche. Ein Server, der "Belgien, Android, Niederländisch, Samstag 11:00" um eins erhöht und die Anfrage verwirft, führt eine Tabelle mit Zahlen. Beide liefern dieselben Diagramme. Nur einer von beiden hält personenbezogene Daten vor.

Warum eine IP-Adresse ein personenbezogenes Datum ist

Die Unterscheidung zählt, weil die IP-Adresse in der EU ein personenbezogenes Datum ist, auch wenn sie dynamisch ist und auch wenn der Websitebetreiber die Person allein nicht identifizieren kann. Der Gerichtshof der Europäischen Union entschied in der Rechtssache C-582/14, Breyer gegen Deutschland, am 19. Oktober 2016, dass eine von einem Websitebetreiber erfasste dynamische IP-Adresse für diesen Betreiber ein personenbezogenes Datum darstellt, wenn er über rechtliche Mittel verfügt, den Besucher mit Hilfe zusätzlicher Informationen beim Internetanbieter zu identifizieren. Das ist Pressemitteilung 112/16, und diese Begründung hat seither jede europäische Analytics-Debatte geprägt.

Die praktische Folge: Ein Scan-Protokoll mit IP-Adressen ist eine Datei mit personenbezogenen Daten, mit allem, was daraus folgt, darunter Aufbewahrungsfristen, eine Rechtsgrundlage und ein Platz in Ihrem Verarbeitungsverzeichnis. Eine Zähltabelle ohne IP-Adressen ist das nicht. Die rechtliche Checkliste für QR-Kampagnen steht in unserem DSGVO-Leitfaden für QR-Codes; dieser Artikel bleibt auf der technischen Seite dieser Linie. Dies ist keine Rechtsberatung.

Die französische Aufsichtsbehörde liefert einen nützlichen Maßstab dafür, wie ein Werkzeug aussieht, das nur zählt. Die CNIL-Seite zu Reichweitenmessungs-Tools, die von der Einwilligungspflicht ausgenommen sein können nennt die Bedingungen: Das Tool dient strikt der Reichweitenmessung, erzeugt nur anonyme Statistiken, verfolgt eine Person nicht über verschiedene Websites oder Apps hinweg und verknüpft die Daten nicht mit anderen Verarbeitungen oder gibt nicht-anonyme Daten nicht an Dritte weiter. Lesen Sie diese vier Bedingungen als technische Spezifikation, und Sie haben den Bauplan, um QR-Code Scans ohne Cookies zu tracken.

Zählen gegen Wiedererkennen: die Linie, auf die es ankommt

Jedes Analytics-System steht auf einer Seite einer einfachen Linie. Zählen beantwortet "wie viele Scans kamen am Samstag aus Belgien". Wiedererkennen beantwortet "ist das dasselbe Telefon, das am Dienstag das Plakat gescannt hat". Wiedererkennen ist der Zweck eines Cookies: eine kleine Kennung auf dem Gerät, damit der zweite Besuch dem ersten zugeordnet werden kann. Es ist auch das, was ein Cookie-Banner nötig macht, denn das Speichern und Auslesen einer Kennung auf dem Telefon einer Person fällt unter die ePrivacy-Einwilligungsregeln, sofern es nicht für den vom Nutzer gewünschten Dienst unbedingt erforderlich ist. Ein Redirect braucht das nicht.

Die Versuchung, wiederzuerkennen, ist real, denn sie erschließt eindeutige Besucher, Wiederkehrquoten und Retargeting-Zielgruppen. Der Preis ist, dass jede dieser Funktionen die QR-Kampagne ins Einwilligungsgebiet zieht und aus einer Tabelle mit Zahlen ein Register von Menschen macht. Bei einem gedruckten Flyer lautet die Frage, ob "eindeutige Scanner" irgendeine Ihrer Entscheidungen ändern würde. Meist nicht; Sie würden den Flyer trotzdem an die bessere Stelle legen.

Wie Sie mit EUQR QR-Code Scans tracken, ohne Cookies

Die EUQR-Statistiken sind so gebaut, dass sie auf der Zählseite bleiben. Der Redirect setzt kein Cookie und speichert keine Kennung auf dem Telefon, es gibt also beim Redirect nichts, worin man einwilligen müsste. Scandaten und Kurzlink-Daten werden in Amsterdam gehostet. EUQR speichert nie rohe IP-Adressen: Land und Gerät werden im Moment der Anfrage abgeleitet, und nur die aggregierten Zählungen bleiben erhalten. Die Statistiken stammen aus datenschutzfreundlichen Hashes, die täglich rotieren. In der Praxis heißt das, dass sich der Hash nicht auf eine Adresse zurückrechnen lässt und am nächsten Tag nicht mehr zu demselben Telefon passt, sodass das System Tageszählungen sinnvoll halten kann, ohne je sagen zu können, wer gescannt hat.

Das Ergebnis auf Ihrer Seite ist ein Dashboard mit Scans pro dynamischem QR-Code und Klicks pro Kurzlink, als Zeitreihe und aufgeschlüsselt nach Land, Gerät, Browser und Sprache, immer als aggregierte Zählungen. Weil der Redirect kein Cookie setzt und keinen Drittanbieter-Tracker lädt, brauchen Ihre eigenen Landingpages wegen des QR-Codes kein Cookie-Banner. Ob Ihre Seite aus anderen Gründen eines braucht, etwa wegen eines Google-Analytics-Tags oder eines eingebetteten Videos, ist eine eigene Frage zu Ihrer Seite, und der DSGVO-freundliche Generator erklärt, wo diese Linie verläuft.

Was Sie aufgeben, und warum Printkampagnen es selten vermissen

Ehrlichkeit über den Kompromiss gehört zum Design. Cookiefreie Scan-Statistiken können keine individuellen Scanpfade zeigen, nicht sagen, dass eine Person drei verschiedene Codes gescannt hat, keine Retargeting-Zielgruppe aufbauen und einen Kauf zwei Wochen später keinem bestimmten Scan zuordnen. Hängt Ihr Geschäftsmodell an einem dieser Punkte, brauchen Sie einwilligungsbasiertes Tracking auf der Landingpage selbst, und das ist eine Entscheidung für Ihren Datenschutzbeauftragten, nicht für ein QR-Tool.

Bei den meisten Printkampagnen ist keiner dieser Punkte die gestellte Frage. Die Bäckerei will wissen, ob der Hotelflyer oder der Marktflyer funktioniert, welche Sprache sie beim nächsten Mal drucken soll und ob die Samstagsspitze eine zweite Auflage rechtfertigt. Zählungen pro Platzierung beantworten alle drei. Was die Zählungen nicht können, ist aus einem anonymen Besucher einen bekannten Kunden machen, und für Papier ist das meist die richtige Einschränkung.

Scans pro Code und pro Platzierung lesen

Die Gewohnheit, die Zählungen in Entscheidungen verwandelt, heißt ein Code pro Platzierung. Die Bäckerei druckt einen Code für die Hotellobby, einen für den Marktstand und einen für das Schaufenster, alle drei auf dieselbe Bestellseite. Jetzt vergleicht das Dashboard die Platzierungen direkt: Hotel 412 Scans, Markt 1.180, Schaufenster 96. Kombinieren Sie das mit der Sprachverteilung und der Zeitreihe, und Sie haben einen druckbaren Bericht, für den weder Cookie noch Einwilligung nötig war.

Die Aufbewahrung folgt Ihrem Plan: 30 Tage Statistiken auf Starter, 90 Tage auf Pro, 365 Tage auf Business und 730 Tage auf Agency, aggregierte Summen bleiben immer erhalten. Der CSV-Export ist ab Pro verfügbar, ein monatlicher Auszug kann also so lange in Ihrer eigenen Tabelle leben, wie Sie wollen. Planlimits und Preise stehen auf der Preisseite, mit unbegrenzten Scans auf jedem Plan, sodass eine Kampagne, die besser läuft als erwartet, beim Messen nichts extra kostet.