DSGVO + QR-Analyse: was wir hashen, was nicht
- 1
Die rohe IP erreicht die Speicherung nie
Trifft ein Scan am Redirect-Endpunkt ein, berechnet der Handler einen HMAC-SHA-256 der IP-Adresse mit einem Deployment-Schlüssel und schreibt nur den gekürzten Hashwert in die Spalte `ipHash` des Ereignisses. Es ist ein Hash mit Schlüssel, kein einfacher Digest: ohne das Geheimnis lässt sich der Wert nicht per Brute Force auf eine Adresse zurückführen. Die volle IP existiert höchstens einen Request lang im Serverspeicher und wird dann verworfen. Wir loggen sie nie.
- 2
Inhalt eines Scan-Ereignisses
Pro Scan speichern wir: den Schlüssel-Hash der IP, einen gleich abgeleiteten Session-Hash, Gerätetyp, Betriebssystem und Browser aus dem User-Agent, Land (aus einem CDN-Header gelesen — wir führen keine IP-zu-Ort-Auflösung durch), Sprache, Referrer, UTM-Parameter und einen Zeitstempel. Region und Stadt bleiben leer, sofern kein Geo-Header sie liefert. Kein Name, keine E-Mail, keine Werbe-ID — und es wird kein Cookie auf dem scannenden Gerät gesetzt.
- 3
Bot-Traffic wird markiert und aus allen Zählungen ausgeschlossen
Der User-Agent wird gegen 26 Muster für Crawler, Social-Preview-Abrufe, Headless-Browser und HTTP-Bibliotheken geprüft; auch eine Anfrage ohne Accept und ohne Accept-Language wird markiert. Bot-Zugriffe werden mit `isBot = true` gespeichert, damit die Entscheidung nachprüfbar bleibt statt still verworfen zu werden, und sie sind aus jeder Analytics-Zählung ausgeschlossen — an Integrationen oder Webhooks werden sie nie weitergegeben.
- 4
Die Aufbewahrung setzt Ihr Plan automatisch durch
Scan-Zeilen bleiben 30 Tage im Free-Plan, 12 Monate in Pro, 24 Monate in Business und 36 Monate in Agency. Es gibt keine Aufbewahrungseinstellung zu konfigurieren und folglich keine zu vergessen: Ein Hintergrundprozess löscht Ereignisse nach Ablauf des Fensters, während tägliche Aggregate (Scans pro QR, pro Land, pro Tag) für die historischen Diagramme erhalten bleiben. Das ist DSGVO Art. 5(1)(e), Speicherbegrenzung, maschinell umgesetzt.
- 5
Standardmäßig kein Daten-Egress an Dritte
An Google Analytics, Meta-Pixel oder andere externe Analytics geht nichts, solange Sie sie nicht selbst verbinden — beide sind ab Pro verfügbar und bleiben optional. Nach dem Verbinden erhalten diese Dienste nur die von Ihnen ausgewählten Ereignisse, niemals rohe IPs. Ihre Scan-Daten bleiben First-Party-Daten: nie verkauft, nie an ein Werbenetzwerk gegeben, nie durch einen Drittanbieter-Tracker angereichert.
- 6
Gehostete Formulare und der Conversion-Pixel
Scans sind nicht der einzige Eingang. Ein gehostetes Lead-Formular schreibt eine Lead-Zeile, und dort hat der Besucher tatsächlich eine Adresse eingetippt — sie wird deshalb zweifach gehalten: als Keyed HMAC für Deduplizierung und Abgleich sowie als AES-256-GCM-verschlüsselte Kopie, die der Leads-Bereich beim Lesen entschlüsselt. Die Einwilligungs-Checkbox liegt in einem eigenen Feld neben dem Datensatz und wird nie daraus abgeleitet, dass ein Formular abgeschickt wurde. Der Conversion-Pixel unter `/api/collect` ist bewusst grob: Er begrenzt den Request-Body auf 4 KB, antwortet auf alles mit 200 — wer ihn abklopft, erfährt also nichts über vorhandene Slugs oder Workspaces — und verwirft still, was er nicht parsen kann. Auch auf diesen beiden Wegen wird keine rohe IP gespeichert: Formular-Einsendungen werden über denselben Keyed Hash ratenbegrenzt wie alles andere.
Häufig gestellte Fragen
Was ist QRCode Suite?
QRCode Suite ist eine eigenständige QR-Plattform: Erstellen Sie ein kostenloses Konto und generieren Sie markenkonforme dynamische QR-Codes im Browser — ganz ohne WordPress. Connectoren bringen dieselben Codes zu WordPress und WooCommerce, wo Bestellungen einzelnen QR-Codes zugeordnet werden können.
Funktioniert QRCode Suite ohne WordPress?
Ja. QRCode Suite ist ein eigenständiges SaaS: registrieren, QR-Codes erstellen und Scans verfolgen — alles auf qrcode-suite.com. Das WordPress-Plugin ist ein optionaler Connector, der Ihre Codes in wp-admin bringt und die WooCommerce-Bestell-Attribution ergänzt.
Benötigt QRCode Suite ein separates Abonnement?
Der Free-Plan ist kostenlos verfügbar — ohne Kreditkarte. Bezahlpläne (Pro 9 €, Business 29 €, Agency 79 € pro Monat) schalten unbegrenzte Codes, Redirect-Regeln und mehr frei. Es gibt keine Gebühr pro Scan.
Welche QR-Code-Typen unterstützt QRCode Suite?
QRCode Suite unterstützt 22 QR-Code-Typen: Statische URL, Dynamische URL, Klartext, Telefon, E-Mail, Standort, Link Hub, SMS, WhatsApp, Wi-Fi, vCard, Social-Profil, PDF, Datei-Download, App-Download, Coupon, Kalender-Event, Lead-Formular, Bewertungserfassung, Großhandelsanfrage, Treueprämie und Custom Payload.
Kann ich das Ziel eines QR-Codes nach dem Druck ändern?
Ja. Dynamische QR-Codes nutzen eine kurze Weiterleitungs-URL. Sie können das Ziel jederzeit aus Ihrem Dashboard heraus aktualisieren, ohne den Code neu zu erstellen oder zu drucken.
Hilfe beim Einstieg?
Starten Sie kostenlos oder durchsuchen Sie die Dokumentation.