Digitale Visitenkarte und DSGVO: Was du klären musst

Die digitalen Visitenkarten für das Vertriebsteam sind bestellt, das Design steht, die Messe ist in drei Wochen. Dann kommt die Mail vom Datenschutzbeauftragten: Wo liegen die Daten? Was wird beim Scan gespeichert? Gibt es einen AV-Vertrag? Und plötzlich hängt das ganze Projekt an Fragen, die vorher niemand gestellt hat.

Dieser Artikel geht die Fragen der Reihe nach durch. Er ersetzt keine Rechtsberatung, aber er sorgt dafür, dass du mit dem Datenschutzbeauftragten über dieselben Dinge redest.

Kurz gesagt

• Die DSGVO gilt, sobald auf der Karte Daten einer Person stehen und ein Dienst sie im Netz ausliefert
• Ein statischer vCard-Code schickt beim Scan nichts an einen Server. Die Daten stehen im Code selbst
• Eine digitale Visitenkarte mit Landingpage läuft über einen Server. Dann zählen Serverstandort, Scan-Statistik und AV-Vertrag
• Bei Karten für Mitarbeitende ist das Unternehmen verantwortlich, der Anbieter ist Auftragsverarbeiter
• Frag den Anbieter schriftlich nach fünf Punkten, die Liste steht unten

Zwei Arten von digitaler Visitenkarte, zwei Datenschutzlagen

Der wichtigste Unterschied wird oft übersehen.

Der vCard-Code. Name, Telefon und Mail stehen direkt im QR-Code. Wer ihn scannt, liest die Daten mit der Kamera aus dem Bild. Es gibt keinen Server, keinen Aufruf und keine Statistik. Datenschutzrechtlich ist das kaum anders als eine gedruckte Karte.

Die Karte mit Landingpage. Der Code enthält nur eine kurze Adresse. Beim Scan ruft das Handy eine Webseite auf, die Foto, Kontaktdaten und einen Speichern-Knopf zeigt. Hier verarbeitet ein Dienst Daten: die Kontaktdaten auf der Seite und technische Daten des Aufrufs. Für diese Variante gelten die folgenden Abschnitte.

Wer ist verantwortlich?

Stellst du deine eigene Karte ins Netz, bist du für ihre Inhalte selbst verantwortlich. Bekommen Mitarbeitende Karten von der Firma, ist das Unternehmen der Verantwortliche im Sinne der DSGVO. Der Anbieter der Karten verarbeitet die Daten in dessen Auftrag.

Daraus folgen zwei Dinge:

1. Es braucht einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwischen Unternehmen und Anbieter
2. Die Mitarbeitenden sollten wissen, was auf ihrer Karte steht und was beim Scan erfasst wird. Ein Foto oder die private Handynummer gehören nur mit ihrem Einverständnis auf die Karte

Wo liegen die Daten?

Viele Anbieter digitaler Visitenkarten sitzen in den USA und betreiben ihre Server dort. Das ist nicht automatisch verboten. Seit 2023 erlaubt das EU-US Data Privacy Framework Übermittlungen an US-Firmen, die dort zertifiziert sind. Trotzdem bevorzugen viele Datenschutzbeauftragte Anbieter mit Servern in der EU, weil das Framework schon zweimal Vorgänger hatte, die vor dem Europäischen Gerichtshof gescheitert sind.

Frag deshalb konkret: In welchem Rechenzentrum liegen die Kontaktdaten? Welche Dienstleister sind beteiligt, und wo sitzen sie? Eine seriöse Datenschutzerklärung beantwortet beides in einer Tabelle.

Was wird beim Scan erfasst?

Hier unterscheiden sich die Anbieter am stärksten. Die Spanne reicht von „gar nichts“ bis zu Werbe-Pixeln, die das Handy des Scannenden über mehrere Seiten wiedererkennen.

Ohne Einwilligung des Scannenden ist in der Regel vertretbar:

• Anzahl der Scans pro Tag
• Gerätetyp und Betriebssystem
• Land oder Stadt, abgeleitet aus der IP-Adresse, ohne die IP selbst zu speichern

Kritisch wird es bei:

• gespeicherten IP-Adressen
• Cookies oder Gerätekennungen, die einen Scannenden wiedererkennen
• Pixeln von Facebook, Google Ads oder anderen Werbenetzwerken

Die Grenze lässt sich einfach prüfen: Verrät dir die Statistik, dass eine bestimmte Person dreimal gescannt hat, ist sie zu genau. Sagt sie nur, dass es heute 47 Scans waren, davon 30 aus Deutschland, ist sie im üblichen Rahmen.

Fünf Fragen an den Anbieter

Schick diese Liste vor der Bestellung per Mail und lass sie schriftlich beantworten:

1. In welchem Land und Rechenzentrum liegen die Kontaktdaten und die Scan-Daten?
2. Welche Daten werden bei jedem Scan gespeichert, und werden IP-Adressen gespeichert?
3. Setzt die Landingpage Cookies oder bindet sie Werbe- oder Analyse-Pixel ein?
4. Schließt ihr einen AV-Vertrag nach Art. 28 DSGVO ab, und auf Deutsch?
5. Wie lange werden Scan-Daten aufbewahrt, und was passiert mit den Daten, wenn wir kündigen?

Ein Anbieter, der bei Frage 2 oder 3 ausweicht, ist für den Einsatz im Unternehmen die falsche Wahl.

So ist es bei QR Kontor

Damit du die fünf Fragen nicht an uns schicken musst:

1. Standort. Datenbank und App laufen in Frankfurt (Supabase EU und Vercel fra1). Systemmails gehen über Resend in den USA, abgesichert über EU-Standardvertragsklauseln. Die vollständige Liste steht in der Datenschutzerklärung
2. Scan-Daten. Land und Stadt (dazu die ungefähren Koordinaten der Stadt für die Scan-Karte), Gerätetyp, Browser, Betriebssystem, Referrer und Zeitpunkt. Die IP-Adresse wird nicht gespeichert
3. Cookies und Pixel. Auf der Visitenkarten-Seite setzen wir beim Scannenden keine Cookies und binden keine Werbe-Pixel ein
4. AV-Vertrag. Für Geschäftskunden schließen wir auf Anfrage einen AVV ab. Eine formlose Mail genügt, Details stehen in den AGB
5. Aufbewahrung. Die Scan-Statistik bleibt im Konto, solange es besteht, und wird mit dem Konto gelöscht

Wer ganz ohne Server auskommen will, nimmt den kostenlosen vCard-Code. Der wird im Browser erzeugt und schickt beim Scan nichts an uns.

Was auf die Karte gehört und was nicht

Die DSGVO verlangt, dass du nur so viele Daten verarbeitest, wie für den Zweck nötig sind. Für eine Visitenkarte heißt das: Name, Firma, Position, eine Telefonnummer und eine Mail-Adresse reichen. Die Privatadresse, das Geburtsdatum oder eine zweite private Nummer haben dort nichts verloren. Das ist nicht nur datenschutzfreundlicher, es macht auch den Code gröber und damit besser lesbar.

Häufige Fragen

Ist eine digitale Visitenkarte DSGVO-konform? Das hängt vom Anbieter und von dem ab, was auf der Karte steht. Entscheidend sind Serverstandort, die beim Scan erfassten Daten, Cookies und ein AV-Vertrag für den Einsatz im Unternehmen.

Brauche ich ein Cookie-Banner auf meiner digitalen Visitenkarte? Nur, wenn die Seite Cookies oder Gerätekennungen setzt, die nicht technisch notwendig sind, etwa für Werbung oder Analyse. Eine Karte ohne solche Cookies braucht kein Banner.

Darf die Firma ein Foto der Mitarbeitenden auf die Karte stellen? Nur mit Einverständnis der jeweiligen Person. Ein Foto ist ein personenbezogenes Datum und für eine Visitenkarte nicht zwingend nötig.

Ist ein QR-Code mit vCard datenschutzrechtlich unbedenklich? Weitgehend. Die Daten stehen im Code selbst, beim Scan wird kein Server aufgerufen. Was du darauf schreibst, gibst du aber genauso aus der Hand wie bei einer gedruckten Karte.