Digitale Visitenkarte und DSGVO

Was für Ihre eigenen Daten gilt, was beim Speichern fremder Kontakte — und welche Anbieterfragen Sie vor der Entscheidung klären sollten.

Dieser Beitrag gibt einen praxisorientierten Überblick und ersetzt keine Rechtsberatung. Für eine verbindliche Einschätzung Ihres konkreten Falls wenden Sie sich bitte an eine Anwältin oder einen Anwalt für IT-Recht.

Zwei Richtungen, die oft verwechselt werden

Bei Visitenkarten gibt es zwei getrennte datenschutzrechtliche Sachverhalte. Die meisten Diskussionen vermischen sie, obwohl völlig unterschiedliche Regeln greifen.

• Ihre eigenen Daten auf Ihrer Karte. Sie entscheiden selbst, was Sie veröffentlichen. Der Anbieter verarbeitet diese Daten in Ihrem Auftrag, um den Dienst zu erbringen.
• Fremde Daten, die Sie erhalten. Sobald Sie den Kontakt einer anderen Person speichern, werden Sie für diese Daten verantwortlich — unabhängig davon, ob die Karte aus Papier oder digital war.

Der zweite Punkt ist der unterschätzte. Er ändert sich durch die Digitalisierung der Karte nicht, wird aber durch automatisiertes Einlesen praktisch relevanter.

Ihre eigenen Daten

Was auf Ihrer Karte steht, ist bewusst öffentlich — das ist der Zweck einer Visitenkarte. Jede Person mit dem Link oder QR-Code kann die Angaben sehen. Rechtlich stützt sich die Verarbeitung durch den Anbieter in der Regel auf Art. 6 Abs. 1 lit. b DSGVO, also die Erfüllung des Vertrags mit Ihnen.

Praktisch bedeutet Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO hier etwas sehr Einfaches: Felder, die Sie nicht brauchen, sollten leer bleiben und dann auch nicht gespeichert werden. Ein Anbieter, der Pflichtfelder für Angaben verlangt, die für den Zweck nicht nötig sind, arbeitet gegen dieses Prinzip.

Die Daten der anderen

Nehmen Sie eine Visitenkarte entgegen und tippen die Angaben ins Telefon oder ins CRM, verarbeiten Sie personenbezogene Daten einer anderen Person. Üblicherweise lässt sich das auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen — die Person hat Ihnen die Karte schließlich zum Zweck der Kontaktaufnahme gegeben.

Mit der Speicherung übernehmen Sie allerdings Pflichten: Informationspflichten nach Art. 13 und 14, Auskunft nach Art. 15, Löschung nach Art. 17. Wer Kontakte systematisch in ein CRM überführt, sollte das in seinem Verarbeitungsverzeichnis abbilden.

Ein oft übersehener Unterschied: Der QR-Code einer digitalen Karte ist in dieser Hinsicht zurückhaltender als manche App-Lösung. Beim Scannen öffnet sich lediglich eine Webseite; es werden keine Daten aus dem Adressbuch des Scannenden gelesen. Lösungen, die einen Abgleich mit den Kontakten des Gegenübers vornehmen, greifen deutlich tiefer ein.

Der Punkt, der am häufigsten übersehen wird

Selbst wenn Rechtsgrundlage und Speicherort stimmen, kann die Kartenseite selbst zum Problem werden — nämlich dann, wenn sie beim Aufruf Ressourcen von Dritten nachlädt. Schriftarten, Skript-Bibliotheken, QR-Generatoren als Fremd-API, Analysewerkzeuge: Jeder dieser Aufrufe überträgt die IP-Adresse des Besuchers an einen Dritten, bevor irgendjemand etwas angeklickt hat.

Bekannt wurde das durch die Einbindung von Schriftarten über Google-Server. Das Landgericht München I entschied am 20. Januar 2022 (Az. 3 O 17493/20), dass die dabei erfolgende Übermittlung der IP-Adresse ohne Einwilligung das allgemeine Persönlichkeitsrecht verletzt, und sprach dem Kläger Schadenersatz zu. In der Folge gingen zahlreiche Abmahnschreiben an Websitebetreiber.

Für eine Visitenkarte ist das besonders unangenehm: Die Seite wird von Menschen aufgerufen, die Sie gerade erst kennengelernt haben, und Sie haben sie selbst dorthin geschickt.

So prüfen Sie es in einer Minute

1. Öffnen Sie die Kartenseite eines Anbieters im Browser.
2. Entwicklertools öffnen (F12 oder Rechtsklick → „Untersuchen“).
3. Reiter Netzwerk wählen und die Seite neu laden.
4. Sehen Sie in der Spalte mit den Domains nach: Taucht ein fremder Host auf — etwa fonts.googleapis.com, google-analytics.com oder eine QR-API —, verlassen bei jedem Aufruf Daten Ihrer Kontakte die Domain des Anbieters.

Wann Sie einen AV-Vertrag brauchen

Nutzen Sie die Karte geschäftlich und verarbeitet der Anbieter dabei personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung — auf Deutsch meist AV-Vertrag genannt. Ein Anbieter, der keinen bereitstellt, ist für den geschäftlichen Einsatz in Deutschland kaum brauchbar.

Für die rein private Nutzung gilt das nicht. Die Grenze verläuft dort, wo die Karte im beruflichen Kontext eingesetzt wird — was bei einer Visitenkarte fast immer der Fall ist.

Checkliste für die Anbieterauswahl

Wie Karteo das handhabt

• Deutsches Unternehmen, Daten in der EU.
• AV-Vertrag nach Art. 28 DSGVO auf Anfrage.
• Keine Pflichtfelder über das Notwendige hinaus — was Sie leer lassen, wird nicht gespeichert.
• Keine Drittanbieter-Ressourcen. Schriftarten kommen von unserer Domain, der QR-Code wird in Ihrem Browser berechnet. Beim Aufruf verlässt keine Anfrage unsere Domain — mit der Methode oben nachprüfbar.
• Kein Tracking, keine Analyse-Cookies, kein Cookie-Banner.

Die Einzelheiten stehen in unserer Datenschutzerklärung. Eine ausführlichere englischsprachige Fassung dieses Themas finden Sie im GDPR-Leitfaden.

Häufige Fragen

Weiterlesen

• Digitale Visitenkarte erstellen — Anleitung mit Checkliste.
• Digitale Visitenkarte ohne App — warum niemand etwas installieren muss.
• Apple Wallet und Google Wallet — plattformspezifische Anleitungen.
• Visitenkarten für Teams — AV-Vertrag und Beschaffung.

← Zurück zur Startseite