QR-Code-Plattform für Agenturen wählen: Checkliste für den Anbietervergleich

Eine Agentur wählt keine QR-Code-Plattform beiläufig aus, quasi einmal im Quartal. Sie entscheidet sich für einen Anbieter, baut ihren gesamten Workflow darum herum auf, gibt Kundenzugänge an Account-Manager weiter und druckt anschließend Tausende Codes auf Flyer, Verpackungen und Beschilderungen, die teuer und aufwendig zu ersetzen sind. Wählt man die falsche Plattform, merkt man das oft erst Monate später, wenn ein Kunde fragt, warum die Codes aus der Direktmailing-Kampagne vom letzten Frühjahr plötzlich nicht mehr funktionieren, oder warum das Scan-Dashboard außer einer Gesamtzahl nichts Brauchbares hergibt.

Dies ist keine Rangliste von Anbietern. Es ist die Sammlung an Kriterien, die eine wirklich für Agenturen gebaute Plattform von einem Link-Shortener mit angeflanschtem QR-Code unterscheidet, plus eine Frage, die vor Vertragsunterschrift fast niemand stellt: Was passiert mit jedem jemals gedruckten Code, wenn der Anbieter verschwindet? Falls Sie noch gar nicht entschieden haben, ob QR überhaupt das richtige Format ist, liefern unsere Vergleiche QR-Codes gegen URL-Shortener und QR-Codes gegen NFC-Tags die Grundlagen dazu. Dieser Beitrag geht davon aus, dass diese Entscheidung bereits gefallen ist und Sie nun ein Tool auswählen müssen.

Statisch oder dynamisch: Diese Entscheidung zuerst treffen

Jede weitere Entscheidung auf dieser Liste ist nur relevant, wenn die Plattform überhaupt dynamische Codes erzeugt. Bei einem statischen QR-Code ist das Ziel fest in das Punktmuster eingebrannt: Einmal gedruckt, bleibt diese URL für immer bestehen, ohne Ausnahme. Ein dynamischer Code verweist stattdessen auf eine kurze Weiterleitungs-URL, die bei der Plattform gehostet wird, und die Plattform schlägt das eigentliche Ziel erst beim Scan nach. Genau das ermöglicht es, das Ziel eines Codes noch zu ändern, nachdem er längst an einer Wand, auf einem Firmenwagen oder auf zehntausend Postkarten klebt.

Dieser Unterschied ist einen eigenen Artikel wert, falls Sie sich noch nicht entschieden haben (unser Vergleich dynamisch vs. statisch geht im Detail darauf ein). Die Kurzfassung für die Plattformbewertung lautet: Jeder Anbieter, dessen „QR-Code-Generator" nur statische Codes erzeugt, ist keine Agenturplattform, sondern ein QR-Bild-Exporteur. Sie wollen standardmäßig dynamische Codes, mit der Möglichkeit, in den seltenen Fällen auf statisch auszuweichen, in denen sich das Ziel eines Kunden wirklich nie ändern wird und kein Reporting benötigt wird, etwa bei einem Code auf einer dauerhaften Gebäudetafel oder einem gravierten Produkt.

Was „Analytics" eigentlich bedeuten sollte

Fast jedes QR-Tool am Markt wirbt mit Analytics. Nur wenige Anbieter meinen damit auch dasselbe, und genau die Lücke zwischen einem simplen Scan-Zähler und brauchbarem Reporting ist das aussagekräftigste Qualitätsmerkmal, das Sie bei einer Evaluierung finden werden. Ein Basis-Generator zeigt Ihnen lediglich eine laufende Summe: Dieser Code wurde 412-mal gescannt. Diese Zahl beantwortet fast keine der Fragen, die ein Kunde Ihnen stellen wird.

Eine für Agentur-Reporting gebaute Plattform schlüsselt jeden Scan nach Gerätetyp, Zeitstempel und einem aus der IP-Adresse abgeleiteten Standort auf (typischerweise auf Stadt- oder Regionsebene genau, nicht mit GPS-Präzision, da Letzteres eine explizite Berechtigungsabfrage voraussetzen würde, die die meisten Scan-Abläufe nie auslösen). Zusätzlich lassen sich UTM-Parameter anhängen, sodass Scans in dasselbe Google-Analytics- oder Ad-Plattform-Reporting einfließen wie jeder andere Kanal. Unser Leitfaden zu UTM-Parametern bei QR-Codes beschreibt die Namenskonvention, mit der das über alle Kunden hinweg konsistent bleibt.

Es lohnt sich, darauf zu schauen, was Praktiker selbst als wichtig bezeichnen, statt blind der Feature-Liste eines Anbieters zu vertrauen. In Bitlys eigener Umfrage von 2025 unter Marketern, die QR-Codes einsetzen, nannten 54 Prozent eindeutige Nutzer (Unique Users) als wertvollste Kennzahl, und 52 Prozent stuften die Conversion-Rate nach dem Scan höher ein als die reine Scan-Zahl, während 69 Prozent angaben, einen dynamischen Code mindestens monatlich zu aktualisieren oder umzuleiten. Kann eine Plattform nicht zwischen eindeutigen und wiederholten Scans unterscheiden oder nichts darüber aussagen, was nach dem Scan passiert ist, fehlen genau die zwei Dinge, die Praktiker tatsächlich nutzen. Unser Leitfaden zu Scan-Kennzahlen legt fest, welche Zahlen es wert sind, einem Kunden berichtet zu werden, und welche nur Vanity-Metriken sind.

Eigene Domain und White-Label-Weiterleitungen

Ein dynamischer Code muss über irgendetwas weiterleiten, und standardmäßig ist dieses „Irgendetwas" die Domain des Anbieters selbst. Auf den Druckmaterialien eines Kunden wirkt eine Weiterleitungs-URL wie anbietername.io/a1b2c3 neben einem Logo, für das der Kunde einen Designer bezahlt hat, wie ein nachträglicher Einfall, und sicherheitsbewusste Nutzer zögern womöglich, überhaupt darauf zu tippen. Eine auf Agenturen ausgerichtete Plattform erlaubt es stattdessen, Weiterleitungen per CNAME-Eintrag auf eine Domain zu legen, die Sie oder der Kunde selbst kontrollieren, damit die URL, die das Smartphone vor dem Öffnen des Links anzeigt, zur Marke auf dem Plakat passt.

Dieses Feature ist meist erst ab einem mittleren oder höheren Tarif verfügbar, nicht im Einstiegsplan, da der Anbieter pro Kunde eine eigene Domain einrichten und verifizieren muss. Es lohnt sich, genau nachzufragen, was „White-Label" eigentlich umfasst: eine eigene Weiterleitungsdomain und ein umbrandbares, kundenseitiges Dashboard sind zwei getrennte Funktionen, und manche Plattformen verkaufen sie separat. Wenn Sie über ein Agenturkonto Codes für mehrere Kunden verwalten, prüfen Sie, ob jeder Kunde eine eigene Domain bekommen kann oder ob Sie kontoweit auf eine einzige beschränkt sind, was umso wichtiger wird, je mehr Workspaces Sie betreiben (siehe unseren Leitfaden zur Organisation eines Workspace pro Kunde).

Wie Scan-Daten erfasst werden, und ob das wirklich DSGVO-konform ist

Ein Scan-Ereignis enthält mindestens eine IP-Adresse, einen Gerätetyp und einen Browser-String, und alle drei gelten nach der DSGVO als personenbezogene Daten, sobald sie einem identifizierbaren Code oder einer Sitzung zugeordnet protokolliert werden. Das heißt nicht, dass ein Cookie-Consent-Banner auf ein physisches Plakat geklebt werden müsste: Plattformen stützen sich für grundlegende, aggregierte Analysen (Scan-Zahlen, Geräteverteilung, grober Standort) typischerweise auf berechtigtes Interesse als Rechtsgrundlage, vorausgesetzt sie können eine dokumentierte Interessenabwägung vorweisen und nutzen die Daten für nichts über das Kampagnen-Reporting hinaus.

Was eine Plattform, die das durchdacht hat, von einer unterscheidet, die es nicht hat, zeigt sich daran, was mit der rohen IP-Adresse nach dem Scan passiert. Ein konformes Setup leitet daraus Stadt oder Region ab und verwirft oder kürzt anschließend die ursprüngliche Adresse, statt sie dauerhaft einer Person zugeordnet zu speichern. Fragen Sie den Anbieter direkt, ob rohe IP-Adressen gespeichert werden, wie lange, und ob diese Aufbewahrungsfrist konfigurierbar oder irgendwo dokumentiert ist, worauf Sie die Rechtsabteilung eines Kunden verweisen können. Unser Erklärartikel zu QR-Codes und DSGVO beschreibt, was ein getrackter Scan tatsächlich erfasst und wofür eine Einwilligung nötig ist und wofür nicht.

Massengenerierung und API-Zugriff

Beim Onboarding eines einzelnen Kunden braucht man selten mehr als eine Handvoll manuell im Dashboard erstellter Codes. Eine Agentur, die fünfzehn Kunden-Workspaces betreibt und für jedes einzelne Produkt, jeden Standort oder jeden Direktmailing-Empfänger eigene Codes erzeugt, muss Hunderte oder Tausende eindeutige, trackbare Codes erstellen können, ohne jeden einzeln anzufassen. Das bedeutet mindestens einen CSV-Massen-Upload, und für Agenturen, die die QR-Generierung in ihr eigenes Tooling einbinden, eine dokumentierte API.

Prüfen Sie vor der Entscheidung die tatsächlichen Limits, nicht nur, ob das Feature überhaupt existiert: Je nach Tarif liegen die Obergrenzen für Massen-Uploads meist irgendwo zwischen 500 und einigen tausend Codes pro Upload, und API-Zugriff kommt in der Regel mit einem monatlichen Anfragekontingent statt unbegrenzt zu sein. Unser Leitfaden zur Massengenerierung von QR-Codes erklärt den Workflow und die Namenskonventionen, mit denen einige tausend Codes handhabbar bleiben, statt zu einem Wirrwarr aus code-1847.csv-Zeilen zu werden, die niemand mehr einem Kunden zuordnen kann.

Kann jemand anderes einen aktiven Code bearbeiten oder kapern

Da das Ziel eines dynamischen Codes auf dem Server des Anbieters liegt und nicht im gedruckten Muster selbst, kann jeder mit Schreibzugriff auf diesen Code im Dashboard unbemerkt ändern, wohin er zeigt, und jedes Smartphone, das den gedruckten Code danach scannt, folgt kommentarlos dem neuen Ziel, ohne dass sich am physischen Material etwas sichtbar verändert. Genau das ist der Sinn dynamischer Codes, und genau das ist auch das Risiko: Das Berechtigungsmodell der Plattform entscheidet, wer diese Änderung vornehmen darf, und wie Sie überhaupt bemerken würden, wenn die falsche Person es getan hat.

Achten Sie mindestens auf eine Zugriffskontrolle pro Workspace, damit ein junior Account-Manager für einen Kunden nicht versehentlich die aktiven Codes eines anderen Kunden bearbeiten kann, sowie auf ein Audit-Log, das zeigt, wer wann ein Ziel geändert hat. Fragen Sie, was passiert, wenn das Konto eines Mitarbeiters beim Anbieter kompromittiert wird, und ob die Plattform ungewöhnliche Muster erkennt, etwa einen Code, der außerhalb der Geschäftszeiten plötzlich auf ein neues Ziel umgeleitet wird, oder einen plötzlichen Anstieg aus einem Land, das die Kampagne nie im Visier hatte. Unser Leitfaden zur QR-Code-Sicherheit für Agenturen geht ausführlicher auf dieses Bedrohungsmodell ein, einschließlich des bekannteren Risikos, dass jemand einen gefälschten Sticker über den echten Code eines Kunden klebt.

Was das Preismodell wirklich bedeutet

Am Markt dominieren zwei Preismodelle. Die meisten Plattformen verkaufen ein monatliches Pauschalabo mit einer Obergrenze für die Zahl aktiver dynamischer Codes, das mit steigender Grenze in höhere Tarifstufen übergeht. Eine kleinere Gruppe von Anbietern begrenzt Free- oder Einstiegskonten stattdessen über die Gesamtzahl der Scans statt über die Codeanzahl, was faktisch wie ein nutzungsabhängiges Modell funktioniert, auch wenn es als kostenlos vermarktet wird. Beides kann funktionieren, aber das Scan-Limit ist der Punkt, den man genau lesen sollte: Wenn die Kampagne eines Kunden besser läuft als erwartet, sollte das Tracking nicht mitten in der Kampagne stillschweigend aussetzen, nur weil das monatliche Scan-Kontingent eines Free-Tarifs aufgebraucht ist.

White-Label- und API-Zugriff sind, wie oben beschrieben, meist erst ab dem mittleren Tarif und nicht im Einstiegsplan freigeschaltet, und Enterprise-Preise für Agenturen mit vielen Kunden gleichzeitig sind in der Regel individuelle Angebote statt veröffentlichte Zahlen. Bevor Sie den gesamten Kundenstamm einer Agentur an eine Plattform binden, fragen Sie, was passiert, wenn mitten im Vertrag ein Downgrade nötig wird: Bleiben Codes oberhalb der Obergrenze eines niedrigeren Tarifs funktionsfähig (meist ja, aber nur lesend) oder hören sie ganz auf weiterzuleiten, was bedeuten würde, dass bereits gedrucktes, aktives Material wegen einer Abrechnungsentscheidung ausfällt, nicht wegen eines technischen Problems.

Falls Sie nicht nur bewerten, was Sie selbst an einen Anbieter zahlen, sondern auch Ihre eigenen Preise für Kunden festlegen, finden Sie in unserem Leitfaden dazu, was Agenturen für QR-Code-Kampagnen berechnen Richtwerte, um das unabhängig von Ihren Plattformkosten zu kalkulieren.

Die Frage, die niemand stellt: Was passiert, wenn die Plattform verschwindet

Jedes bisher genannte Kriterium setzt voraus, dass der Anbieter noch existiert. Diese Annahme sollte man sich nicht einfach schenken, denn dynamische QR-Codes haben einen spezifischen, gut dokumentierten Ausfallmodus, den statische Codes schlicht nicht kennen: Stellt das Unternehmen, das den Weiterleitungsserver betreibt, seinen Betrieb ein, gehen alle jemals darüber geleiteten Codes gleichzeitig und dauerhaft aus, ohne jede Möglichkeit zur Wiederherstellung. Das gedruckte Material weiß nichts davon, dass das Unternehmen dahinter geschlossen hat, es funktioniert einfach nicht mehr, still und leise, an welcher Wand oder auf welchem Produkt auch immer es schon klebt.

Das ist kein hypothetisches Szenario. Microsofts eigener QR-basierter Tag-Dienst, gestartet 2009, wurde am 19. August 2015 abgeschaltet, und jeder Tag-Code, den irgendjemand in den sechs Jahren zuvor gedruckt hatte, funktionierte in dem Moment nicht mehr, in dem die Server offline gingen. Es gab keinen Migrationspfad für ein gedrucktes Schild oder ein Produktetikett, das physische Material wurde schlicht wirkungslos. Das erinnert nützlich daran, dass „QR-Code-Unternehmen" keine Kategorie mit besonderer Langlebigkeit ist, nur weil QR-Codes selbst ein dauerhafter, patentfreier Standard sind: Der Standard überlebt, die Weiterleitungsinfrastruktur eines einzelnen Anbieters muss das nicht.

Vollständig absichern lässt sich das nicht, aber man kann Fragen stellen, die zeigen, wie exponiert man wäre. Lässt der Anbieter Sie jederzeit die komplette Liste aller Codes und ihrer Ziele exportieren, nicht nur auf Anfrage während eines Offboarding-Prozesses? Falls die Plattform eigene Domains unterstützt: Kontrollieren Sie das DNS selbst, sodass Sie diese Domain im Prinzip später auf einen Ersatz-Weiterleitungsdienst umbiegen könnten, oder kontrolliert der Anbieter das durchgehend selbst? Gibt es öffentlich zugängliche Informationen zur Finanzierung, den Eigentumsverhältnissen oder der Betriebsdauer des Unternehmens, im Gegensatz zu einem Produkt, das ohne Historie und mit einem verdächtig aggressiven Free-Tarif aufgetaucht ist? Keine dieser Fragen garantiert irgendetwas, aber ein Anbieter, der sie klar beantworten kann und der Datenexport zu einer selbstbedienbaren Dashboard-Funktion macht statt zu einem Support-Ticket, hat sich mit diesem Ausfallszenario offensichtlich schon beschäftigt. Wer bei der Frage abwehrend reagiert, wahrscheinlich nicht.

Eine Checkliste vor der Vertragsunterschrift

Gehen Sie diese Punkte durch, bevor Sie den Kundenstamm einer Agentur an eine Plattform binden, nicht erst nachdem der erste Druckauftrag bereits rausgegangen ist.

• Prüfen Sie, ob dynamische Codes wirklich dynamisch sind: Erstellen Sie einen, scannen Sie ihn, ändern Sie dann sein Ziel im Dashboard und scannen Sie denselben gedruckten Code erneut, um zu bestätigen, dass er sich aktualisiert, ohne neu gedruckt werden zu müssen.
• Fragen Sie, was ein Scan-Datensatz tatsächlich enthält (Gerät, Zeitstempel, Standort auf Stadtebene) und ob rohe IP-Adressen nach der Verarbeitung gespeichert oder verworfen werden.
• Prüfen Sie, ob eine eigene Weiterleitungsdomain in Ihrem Tarif enthalten ist, ob Sie oder der Anbieter das DNS kontrolliert, und ob jeder Kunden-Workspace eine eigene Domain bekommen kann.
• Lassen Sie sich die Limits für Massen-Upload und API schriftlich bestätigen, nicht nur, dass die Funktionen existieren, denn eine Obergrenze von 500 Codes spielt im Agenturmaßstab eine Rolle, auch wenn sie in einer Demo nie auffällt.
• Testen Sie das Berechtigungsmodell: Lässt sich der Zugriff eines einzelnen Teammitglieds auf den Workspace eines bestimmten Kunden beschränken, und gibt es ein Audit-Log darüber, wer das Ziel eines aktiven Codes geändert hat?
• Fragen Sie direkt, was mit Ihren Codes passiert, wenn Sie kündigen, herabstufen oder das Unternehmen übernommen wird oder schließt, und ob Sie schon heute, sofort, alles selbst exportieren können, ohne ein Support-Ticket zu öffnen.
• Lesen Sie die Limits von Free- und unteren Tarifen gezielt im Hinblick auf Scan-Obergrenzen, denn eine erfolgreiche Kampagne eines Kunden sollte niemals stillschweigend aufhören, getrackt zu werden, nur weil ein Tariflimit vorher niemand erwähnt hat.

Häufig gestellte Fragen

Was ist der Unterschied zwischen statischem und dynamischem QR-Code?

Bei einem statischen Code ist das Ziel direkt in das Schwarz-Weiß-Muster codiert, weshalb es sich nach dem Druck nie mehr ändern lässt. Ein dynamischer Code codiert stattdessen eine kurze, von der Plattform kontrollierte Weiterleitungs-URL, die das eigentliche Ziel erst beim Scan nachschlägt. Das bedeutet, Sie können jederzeit nach dem Druck ändern, wohin ein gedruckter Code Nutzer schickt, und erhalten zusätzlich Scan-Analytics, die ein statischer Code nicht liefern kann.

Laufen QR-Codes irgendwann ab?

Der QR-Code-Standard selbst kennt kein eingebautes Ablaufdatum. Ein dynamischer Code hört nur auf zu funktionieren, wenn etwas Externes die Kette unterbricht: Der Weiterleitungsdienst des Anbieters wird abgeschaltet, ein Scan- oder Code-Kontingent im Free-Tarif ist aufgebraucht, oder ein Abo läuft aus und das Konto wird gesperrt. Ein statischer Code läuft praktisch nie ab, da es keine Serverabhängigkeit gibt, die ausfallen könnte, lässt sich dafür aber auch nicht aktualisieren oder tracken.

Was passiert konkret, wenn ein QR-Code-Anbieter dichtmacht?

Jeder dynamische Code, der über die Weiterleitungsdomain dieses Anbieters lief, funktioniert sofort und dauerhaft nicht mehr, ohne Wiederherstellungsmöglichkeit für Material, das bereits gedruckt und im Umlauf ist. Das ist bereits in großem Maßstab passiert: Microsofts Tag-Dienst wurde im August 2015 abgeschaltet und legte jeden in den sechs Jahren zuvor gedruckten Tag-Code lahm. Das ist das stärkste Argument dafür, die Export-Optionen und die Domain-Kontrolle eines Anbieters vor der Vertragsunterschrift zu prüfen, nicht danach.

Fallen QR-Code-Scandaten unter die DSGVO?

Ja. Eine IP-Adresse, ein Gerätetyp und ein Browser-String, die zu einem Scan protokolliert werden, gelten als personenbezogene Daten, sobald sie einem identifizierbaren Code oder einer Sitzung zugeordnet sind. Berechtigtes Interesse deckt üblicherweise grundlegende, aggregierte Analysen wie Scan-Zahlen und groben Standort ab, sofern die Plattform eine Interessenabwägung dokumentiert und die Daten für nichts über das Kampagnen-Reporting hinaus verwendet. Alles Granularere, etwa Profiling auf Einzelpersonenebene, braucht in der Regel eine eindeutigere Rechtsgrundlage und eine Einwilligung.

Was kostet eine QR-Code-Plattform für Agenturen?

Die Preisgestaltung teilt sich hauptsächlich in Pauschalabo-Tarife, die die Zahl aktiver dynamischer Codes begrenzen, und Einstiegs- oder Free-Tarife, die stattdessen die Gesamtzahl der Scans begrenzen. White-Label-Domains und API-Zugriff tauchen meist erst ab dem mittleren Tarif auf, nicht in Einstiegsplänen, und Agentur- oder Enterprise-Preise für große Multi-Kunden-Betriebe sind in der Regel individuelle Angebote statt veröffentlichte Preise. Die wichtigste Zahl beim Tarifvergleich ist das Scan-Limit des tatsächlich genutzten Plans, denn eine gut laufende Kundenkampagne sollte nicht mitten im Flug an einem Tracking-Stopp scheitern.

Kann ich meine QR-Codes später zu einem anderen Anbieter mitnehmen?

Nur, wenn die Codes dynamisch sind und die Plattform den vollständigen Export aller Codes samt aktueller Ziele erlaubt. Da der Code selbst nur eine Weiterleitungs-URL codiert, nicht das eigentliche Ziel, bedeutet ein Umzug entweder, die alte Weiterleitungsdomain unter einem neuen Anbieter am Leben zu halten (möglich, wenn Sie das DNS dieser Domain kontrollieren), oder neu zu drucken mit einem neuen Code, der auf die neue Plattform zeigt, was für bereits verteiltes Material nicht mehr möglich ist. Genau deshalb zählen Domain-Kontrolle und Exportmöglichkeit mehr als fast jedes einzelne Feature auf einer Preisseite.

Die Kurzfassung

Bevor Sie den Kundenstamm einer Agentur an eine QR-Code-Plattform binden, prüfen Sie vier Dinge nach, ob sie wirklich so funktionieren, wie es die Verkaufsseite suggeriert: Codes sind wirklich dynamisch und nach dem Druck noch änderbar, Analytics gehen über einen reinen Scan-Zähler hinaus bis zu eindeutigen Besuchern und Conversion nach dem Scan, der Umgang mit Scan-Daten hat eine echte Antwort auf die DSGVO statt einer vagen Zusicherung, und Sie können jederzeit alles selbst exportieren. Stellen Sie dann die eine Frage, die die Verkaufsseite von sich aus niemals aufwerfen wird: Was passiert mit jedem jemals gedruckten Code, wenn es dieses Unternehmen in drei Jahren nicht mehr gibt? Jeder Anbieter, uns eingeschlossen, sollte diese Frage klar beantworten können. Kann er es nicht, ist das bereits die Antwort.