QR-Code-Tracking: Wie viele Leute scannen deinen Code wirklich?

Das Plakat hängt seit sechs Wochen an der U-Bahn-Station und hat mit Druck und Platzierung ein paar tausend Euro gekostet. Ob es jemand angesehen hat, weiß niemand. Ob jemand den QR-Code darauf gescannt hat, auch nicht, weil beim Anlegen des Codes niemand an die Messung gedacht hat.

Das ist der Punkt, an dem sich Print von allem anderen unterscheidet. Ein QR-Code bringt das Messgerät mit, jeder Scan hinterlässt eine Spur. Nur darf man in Deutschland nicht jede dieser Spuren auswerten, und genau da fängt es an, interessant zu werden.

Was beim Scan technisch passiert

Messen kannst du nur bei dynamischen Codes. Ein statischer Code zeigt direkt auf das Ziel, dazwischen sitzt nichts, was zählen könnte. Ein dynamischer Code läuft über eine Weiterleitung, und dort sitzt der Messpunkt.

Der Ablauf: Das Handy öffnet die Weiterleitungsadresse, etwa qr.deinefirma.de/m4f6. Der Server bekommt eine Anfrage, in der automatisch ein paar technische Angaben stehen, ohne dass jemand zustimmen muss: IP-Adresse, User-Agent mit Geräte- und Browserkennung, Zeitstempel, manchmal ein Referrer. Der Server schreibt einen Logeintrag, schickt eine Weiterleitung zurück, und das Handy landet auf der eigentlichen Seite. Aus diesen Logeinträgen baut das Dashboard später die Statistik.

Was in den Daten steckt

Die Anzahl der Scans. Der wichtigste Wert und der einfachste. Wer 100 Karten verteilt und 7 Scans sieht, hat eine Scan-Rate von 7 Prozent.

Die Uhrzeit. Auf die Stunde genau, und das ist mehr wert, als es klingt. Wenn dein Plakat in der U-Bahn-Station hängt und vier von fünf Scans zwischen halb acht und neun passieren, ist der Berufsverkehr dein Kanal, nicht der Feierabend.

Land und ungefähre Region. Aus der IP-Adresse lässt sich das Land recht zuverlässig ableiten, Stadt und Region schon weniger. Bei Mobilfunk wird es unscharf, weil die IP zur Vermittlungsstelle gehört und nicht zum Menschen. Auf Straßenebene ist das nie belastbar.

Gerätetyp. Aus dem User-Agent siehst du iPhone, Android, Tablet oder Desktop. Nützlich vor allem, um zu prüfen, ob die Zielseite auf den Geräten gut aussieht, die tatsächlich vorkommen.

Browser und Betriebssystem. Interessant nur, wenn etwas kaputt ist und du wissen willst, wo.

Was du nicht weißt

Du weißt nicht, wer gescannt hat. Wer hinter der IP 91.234.x.x steckt, ist dir unbekannt, und das soll auch so bleiben.

Du weißt nicht, was danach passiert ist. Ob die Seite gelesen wurde, ob die vCard im Adressbuch gelandet ist, ob jemand bestellt hat. Das entscheidet sich auf der Zielseite und braucht dort eine eigene Messung.

Und du weißt nicht, ob hinter einem Scan Interesse steckte oder Neugier. Manche Scans bist du selbst, beim Aufhängen. Die gehören aus der Statistik raus, sonst rechnest du dir die Kampagne schön.

Kosten und Datenschutz bei QR Kontor

Statische QR-Codes sind bei QR Kontor kostenlos und ohne Anmeldung nutzbar, ohne Limit und ohne Wasserzeichen. Dynamische Codes, deren Ziel du auch nach dem Druck noch ändern kannst, kosten einmalig 4,99 Euro pro Code. Kein Abo, keine Folgekosten.

Die Daten liegen in Frankfurt (Supabase EU und Vercel fra1). Es laufen nur essentielle Cookies für die Login-Session, kein Marketing-Tracking und keine Drittanbieter-Pixel.

Was die DSGVO erlaubt

Der wichtigste Satz des Artikels: Anonyme, aggregierte Zahlen sind ohne Einwilligung erlaubt. Alles, was einzelne Menschen wiedererkennbar macht, ist es nicht.

Ohne Cookie-Banner möglich

Scans zählen, aufgeteilt nach Tag, Stunde, Land oder Gerätetyp. Solange du nicht versuchst, einzelne Personen wiederzuerkennen, ist das unproblematisch. Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse an Reichweitenmessung, zusammen mit der Datenminimierung nach Art. 25.

IP-Adressen kürzen. Üblich und sinnvoll: Aus 91.234.56.78 wird 91.234.56.0 oder gleich 91.234.0.0. Für die Zuordnung zu Stadt oder Region reicht das, und die Anforderung an Anonymisierung ist erfüllt.

User-Agents aggregiert auswerten. "62 Prozent der Scans kamen von iOS" ist in Ordnung. Eine Auswertung, die einzelne Geräte identifiziert, ist es nicht.

Server-Logs kurz aufbewahren. Logs zur technischen Sicherheit gegen Spam und Bots sind durch berechtigtes Interesse gedeckt. Üblich sind 7 bis 14 Tage, manchmal 30.

Was eine Einwilligung braucht

Cookies oder Local Storage zur Wiedererkennung. Sobald auf der Zielseite etwas gesetzt wird, das den Besucher beim nächsten Mal wiedererkennt, brauchst du nach TTDSG eine Einwilligung. Das gilt auch für Cookies, die als funktional bezeichnet werden, aber über die reine Funktion hinausgehen.

Fingerprinting. Die Kombination aus IP, User-Agent, Bildschirmgröße und Schriftenliste macht Menschen wiedererkennbar. Das ist Tracking, auch ohne Cookie, und in aller Regel unzulässig.

Fremde Pixel. Google Analytics, Meta-Pixel, LinkedIn Insight und Verwandte dürfen erst laden, nachdem jemand zugestimmt hat.

Genaue Standortdaten. Auf Stadtebene gilt Geo-IP als unkritisch. Alles, was auf Postleitzahl oder feiner geht, ist heikel.

Was das praktisch heißt

Ein Werkzeug, das für den deutschen Markt taugt, sollte ab Werk ohne Einwilligung auskommen: anonyme Scan-Statistik, aggregierte Geräte- und Regionsdaten, kein fremdes Pixel auf der Weiterleitung. Wer mehr will, etwa Conversion-Messung auf der Zielseite, braucht ein Banner.

Was du als Betreiber trotzdem tun musst:

• eine Datenschutzerklärung, die offen sagt, was gemessen wird
• einen Auftragsverarbeitungsvertrag mit deinem Anbieter
• ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, einen Datenschutzbeauftragten
• keine zusätzlichen Tracker auf die Zielseite schmuggeln

Vier Dinge, die Tracking erst nützlich machen

Eigene Parameter je Material

Wenn der Code auf eine eigene Seite zeigt und du dort messen kannst, häng Parameter an die Zieladresse:

https://deinefirma.de/aktion?utm_source=qr&utm_medium=plakat&utm_campaign=fruehjahr2026

Dann siehst du in der Auswertung, dass dieser Besuch vom Plakat kam, getrennt von Suche, Social und Direktaufrufen. Bei mehreren Materialien gleichzeitig trennst du feiner:

• Flyer: utm_source=qr&utm_medium=flyer
• Plakat U-Bahn: utm_source=qr&utm_medium=plakat&utm_content=ubahn
• Plakat Bauzaun: utm_source=qr&utm_medium=plakat&utm_content=bauzaun

Zwei Codes für einen Vergleich

Wenn du wissen willst, ob Layout A oder B besser zieht, druck beide, jeweils mit eigenem Code, beide auf dieselbe Zielseite. Dann kannst du die Scan-Zahlen direkt nebeneinanderlegen.

Drei Dinge entscheiden, ob der Vergleich etwas taugt. Verteile beide Layouts im selben Umfeld, sonst vergleichst du Standorte statt Gestaltung. Sammle genug Scans, unter 100 je Variante ist das Rauschen größer als der Effekt, unter 30 ist es Kaffeesatz. Und denk daran, dass der seltener gescannte Code trotzdem der bessere sein kann, wenn danach mehr Anfragen kommen.

Heatmaps, wenn es sich lohnt

Werkzeuge wie Hotjar oder Microsoft Clarity zeigen, wo Leute klicken, wie weit sie scrollen und wo sie abbrechen. Dafür brauchst du ein Cookie-Banner. Datenschutzfreundlicher wären Matomo im Eigenbetrieb ohne Cookies oder die eingebauten Browser-Messwerte, beides kostet Einrichtungszeit.

Die Uhrzeiten lesen

Bei einer Visitenkarte kommt der erste Scan meist innerhalb eines Tages nach der Übergabe. Das ist der Reflex, bevor die Karte verschwindet. Spätere Scans verteilen sich über Wochen.

Bei einem Plakat kannst du die Spitzen mit Pendlerströmen abgleichen. Bei einem Flyer im Briefkasten liegt der Ausschlag am Verteiltag und am Tag danach, danach fällt es schnell ab.

Welche Scan-Raten realistisch sind

Hier wird es unsauber, weil belastbare Zahlen selten sind und Anbieter mit den besten Fällen werben. Die folgenden Größenordnungen kursieren in der Branche. Es sind Erfahrungswerte, keine veröffentlichten Studien, und die Streuung ist groß.

Visitenkarten: 5 bis 25 Prozent der ausgegebenen Karten werden mindestens einmal gescannt. Auf Fachkonferenzen mit digital-affinem Publikum eher am oberen Rand.

Flyer im Briefkasten: 0,2 bis 2 Prozent. Reaktionsraten sind bei Hauswurfsendungen generell niedrig, der Code ändert daran wenig.

Flyer von Hand verteilt: 1 bis 5 Prozent, also mehr, weil der Empfänger ihn aktiv angenommen hat.

Plakate im öffentlichen Raum: sehr niedrige Rate je Sichtkontakt, aber hohe absolute Zahlen. Eine Kampagne mit einer Million Sichtkontakten landet grob zwischen 500 und 5.000 Scans.

Bauzäune: 0,1 bis 1 Prozent der Vorbeigehenden, stark abhängig davon, wie belebt der Standort ist.

Speisekarten und Tischcodes: sehr hoch, oft über die Hälfte der Tische, weil der Code genau in dem Moment gescannt wird, in dem jemand ihn braucht.

Produktverpackungen: 1 bis 8 Prozent der verkauften Einheiten, oben eher bei Premium-Produkten.

Roll-Ups auf Messen: 2 bis 10 Prozent der Standbesucher, und das hängt fast vollständig daran, ob das Personal auf den Code hinweist.

Diese Zahlen sind keine Zusage. Sie sind dazu da, dass du deine eigenen Ergebnisse einordnen kannst, solange du keine eigenen hast. Nach zwei, drei Kampagnen hast du deinen eigenen Vergleichswert, und der ist mehr wert als jeder Branchenschnitt.

Wo Scan-Raten in die Irre führen

Eigene Testscans. Wenn dein Plakat 30 Scans hat und drei davon warst du beim Aufhängen, sind zehn Prozent der Zahlen Rauschen.

Scans sagen nichts über Qualität. Hundert Scans, die nach zwei Sekunden wieder weg sind, sind weniger wert als zwanzig, aus denen Anfragen werden.

Wiederholte Scans desselben Geräts lassen sich kaum zählen, ohne in Richtung Fingerprinting zu rutschen. Manche Werkzeuge nähern sich über IP und User-Agent, für ein paar Stunden zwischengespeichert. Das ist vertretbar, solange die Speicherdauer kurz bleibt.

Ein Setup, das funktioniert

1. Einen Anbieter wählen, der in der EU hostet und serverseitig misst
2. Pro Material und Kampagne einen eigenen Code anlegen, nie denselben Code auf Flyer und Plakat
3. Parameter in die Zieladresse einbauen, wenn du dort ohnehin misst
4. Die ersten Tage um eigene Testscans bereinigen
5. Ein realistisches Ziel setzen, nicht "50 Prozent Scan-Rate", sondern "mindestens 8 Prozent bei Visitenkarten auf Konferenzen"
6. Ein paar Wochen sammeln, bevor du Schlüsse ziehst. Print wirkt langsam
7. Die Datenschutzerklärung anpassen, bevor der erste Code hängt

Was am Ende bleibt

Tracking von QR-Codes funktioniert in Deutschland ohne Cookie-Banner und ohne Einwilligung, solange die Daten anonym bleiben. Du bekommst aggregierte Scan-Zahlen, grobe Geräte- und Regionsverteilungen und Zeitstempel. Cookies, Pixel und Fingerprints brauchst du dafür nicht.

Wer mehr will, kombiniert die Scan-Statistik mit getrennten Parametern auf der Zielseite und vergleicht bei größeren Auflagen zwei Varianten gegeneinander. Wer nur wissen will, ob das Plakat überhaupt jemand wahrnimmt, dem reicht die Anzahl der Scans pro Tag.

Über QR Kontor

QR Kontor liefert dynamische QR-Codes mit serverseitiger Statistik, die ohne Einwilligung auskommt: anonyme Scan-Zahl, Tag, Land und Gerätetyp, kein Cookie-Banner, kein fremdes Pixel. Gehostet in Frankfurt, Dashboard auf Deutsch. Wenn du gerade das Tracking für deine nächste Print-Kampagne aufsetzt, kannst du kostenlos anfangen.