Standortbasierte QR-Codes: So funktionieren Geo-Redirects wirklich (und daran scheitern sie)

Standortbasierte QR-Codes: So funktionieren Geo-Redirects wirklich (und daran scheitern sie)

Ein standortbasierter QR-Code verspricht etwas Einfaches: ein gedruckter Code, aber unterschiedliche Ziele, je nachdem, wo die Person beim Scannen gerade steht. Eine Kundin in Rotterdam landet auf der niederländischen Produktseite, derselbe Code, gescannt in Berlin, führt zur deutschen Version. Für eine Agentur, die eine paneuropäische Print-Kampagne betreut, ist das ein echter Mehrwert. Es ist aber auch eines der am meisten überschätzten Features im QR-Code-Bereich, denn kaum jemand erklärt, was „Standort" im Moment des Scans tatsächlich bedeutet, wie genau er wirklich ist, oder wann er unbemerkt zu Daten wird, für die eine Einwilligung nötig ist.

Dieser Leitfaden erklärt die Mechanik, die Agenturen kennen müssen, bevor sie einem Kunden „intelligentes" Standort-Targeting versprechen: die zwei völlig unterschiedlichen Technologien, die sich hinter diesem einen Marketingbegriff verbergen, die Genauigkeitswerte für jede (mit Quellen), die DSGVO-Grenze zwischen „Sprache auswählen" und „eine Person verfolgen", sowie die Fehlerquellen, die am Tag der Drucklegung auftauchen, nicht in der Verkaufspräsentation.

Was „standortbasiert" wirklich bedeutet: zwei unterschiedliche Technologien

Ein QR-Code selbst speichert niemals GPS-Koordinaten und weiß nicht, wo er gescannt wird. Er kodiert lediglich eine kurze Weiterleitungs-URL. Alles, was wie „Standortintelligenz" aussieht, passiert erst nach dem Scan, auf dem Server, auf den diese URL verweist, und zwar auf eine von zwei Arten.

IP-basierte Geolokalisierung ist der Standard und mit Abstand die häufigste Methode. Sobald ein Smartphone den Weiterleitungslink öffnet, sieht der Server die IP-Adresse der Anfrage und gleicht sie mit einer Geolokalisierungsdatenbank ab, um Land, Region und Stadt zu schätzen. Es erscheint keine Berechtigungsabfrage. Die Nutzerin oder der Nutzer bemerkt davon nichts. Genau das steckt hinter „leite deutsche Scans dieses Codes auf die deutsche Seite", und für diesen Zweck ist es wirklich zuverlässig, denn die Genauigkeit der IP-Geolokalisierung liegt auf Länderebene in der Regel über 99 %, so MaxMind, das Unternehmen hinter den GeoIP-Datenbanken, auf denen die meisten Redirect-Plattformen im Hintergrund aufbauen.

GPS-basiertes Geofencing ist ein völlig anderer Mechanismus. Dabei muss der Browser der besuchenden Person um die Standortfreigabe bitten (die Abfrage, die man von Kartenapps kennt), und wenn diese erteilt wird, liest er die tatsächlichen GPS- oder WLAN-gestützten Koordinaten des Geräts aus. Das steckt hinter etwas wie „zeige das Ladenangebot nur Personen, die innerhalb von 150 Metern um dieses Geschäft scannen", und es ist präzise genug, um ein Gebäude vom Nachbargebäude zu unterscheiden, allerdings nur, wenn die Nutzerin oder der Nutzer die Freigabe erteilt, was die meisten Menschen, die eilig ein Plakat scannen, nicht tun werden.

Der Unterschied ist entscheidend, denn die beiden Technologien haben völlig unterschiedliche Genauigkeitsprofile, völlig unterschiedliche Einwilligungsanforderungen und völlig unterschiedliche Fehlerquellen. Ein Briefing, das nur „macht es standortbasiert" verlangt, ohne festzulegen, welche der beiden Varianten gemeint ist, sollte eine Agentur hinterfragen, bevor sie den Auftrag umsetzt.

Wie genau ist IP-basierte Geolokalisierung wirklich?

Das ist die Zahl, die in jedem Anbieter-Blog fehlt, und genau sie entscheidet, ob sich eine Geotargeting-Regel überhaupt lohnt.

• Länderebene: Die Genauigkeit liegt in der Regel über 99 %, laut MaxMinds eigener veröffentlichter Genauigkeitsanalyse. Das ist die einzige Ebene, auf die man sich für Redirect-Logik wirklich verlassen kann.
• Regions- oder Bundeslandebene: je nach Land etwa 55-80 %, ebenfalls laut MaxMind. Für grobe Marketingentscheidungen ausreichend, aber nicht für alles, was jedes Mal stimmen muss.
• Stadtebene: irgendwo zwischen 20 % und 75 %, eine ungewöhnlich große Spanne, die stark vom Land und der Art des Netzwerks abhängt, über das die Person zugreift. Das ist ein Branchen-Richtwert aus Genauigkeitstests von IP-Datenbank-Anbietern und keine einzelne feste Spezifikation, und genau diese Ebene unterstellen die meisten „Smart QR Code"-Marketingseiten stillschweigend, wenn sie einen Screenshot mit „Paris"- und „Lyon"-Landingpages zeigen.

Zwei Faktoren drücken die Genauigkeit auf Stadtebene noch weiter nach unten, und Agenturen sollten beide kennen, bevor sie eine stadtspezifische Regel einplanen:

Mobilfunk-NAT. Mobilfunknetze leiten riesige Mengen an Teilnehmern über einen kleinen Pool gemeinsam genutzter IP-Adressen, und Netzbetreiber weisen diese Adressen laufend neu zu. Der praktische Effekt, bestätigt in MaxMinds eigener Genauigkeitsdokumentation, ist, dass eine mobile IP-Adresse auf einen Ort aufgelöst werden kann, der zig oder sogar hunderte Kilometer von der tatsächlichen Position des Smartphones entfernt liegt, und diese Auflösung kann sich innerhalb von Minuten ändern, wenn der Betreiber Adressen neu vergibt. Eine Print-Kampagne in einer mittelgroßen Stadt mit überwiegend mobilen Scans sollte Fehltreffer auf Stadtebene als normalen Vorgang einplanen, nicht als Ausnahmefall.

VPNs. Eine Person, die ein VPN nutzt, zeigt die IP-Adresse des VPN-Ausgangsservers, nicht die eigene. Die Geolokalisierungsabfrage ist korrekt, nur eben korrekt für den falschen Ort. Der Redirect-Server kann das zum Zeitpunkt des Scans nicht zuverlässig erkennen, und Firmenrichtlinien für Geräte, werbeblockierende VPN-Apps und datenschutzbewusste Verbraucher machen das häufiger, als es früher der Fall war.

Das ehrliche Fazit: Redirect-Regeln auf Länder- oder Kontinentebene lassen sich mit Vertrauen umsetzen. Regeln auf Stadt- oder Stadtteilebene nur mit einem ausdrücklichen Fallback für die (routinemäßigen, nicht seltenen) Fälle, in denen die Standortschätzung falsch liegt, und niemals ein Kundenprojekt zusagen, das Genauigkeit auf Stadtebene als Garantie verspricht.

Wie genau ist GPS-basiertes Geofencing?

Geofencing funktioniert anders, seine Genauigkeit stammt aus den Standortdiensten von Android und iOS statt aus einer IP-Datenbank, weshalb die Werte enger gefasst sind, allerdings nur, sobald die Berechtigung erteilt wurde.

Androids eigene Geofencing-Dokumentation empfiehlt einen Mindestradius von 100 bis 150 Metern für zuverlässiges Auslösen und erklärt auch, warum: Mit verfügbarem WLAN liegt die Standortgenauigkeit bei etwa 20 bis 50 Metern; mit Indoor-Positionierung kann sie sich auf rund 5 Meter verengen; ohne WLAN dagegen, etwa auf der Autobahn oder in ländlichen Gegenden, die nur auf Mobilfunkmasten und GPS setzen, verschlechtert sich die Genauigkeit auf mehrere hundert Meter und kann mehrere Kilometer erreichen. Ein Geofence-Radius, der enger gesetzt wird als die vom Betriebssystem empfohlene Untergrenze, löst unzuverlässig oder gar nicht aus, was der häufigste Grund dafür ist, dass eine Kombination aus „Willkommensangebot beim Vorbeigehen am Laden" per QR-Code und Geofencing in der Praxis leise scheitert.

Die größere praktische Hürde ist jedoch die Einwilligung. Präzise Standortbestimmung funktioniert nur, wenn der Browser der besuchenden Person ausdrücklich die Berechtigung erteilt, und die meisten Menschen, die einen Code auf einem Plakat, einer Speisekarte oder einem Flyer scannen, werden bei einer Standortabfrage einer Seite, die sie noch nie besucht haben, nicht auf „Zulassen" tippen. In der Praxis eignet sich GPS-basiertes Geofencing am besten für eine App oder ein Web-Erlebnis für wiederkehrende Besucher, bei dem bereits Vertrauen aufgebaut wurde, nicht für einen Kaltscan von einem Print-Medium.

Die DSGVO-Grenze: Wann Standortdaten eine Einwilligung brauchen, und wann nicht

Das ist der Teil, den Wettbewerber-Leitfäden nur beiläufig erwähnen und dann überspringen, dabei ist es genau der Unterschied zwischen einer rechtssicheren Kampagne und einem Compliance-Problem.

Eine IP-Adresse gilt nach der DSGVO als personenbezogenes Datum. Das ist eindeutig geregelt: Die Definition personenbezogener Daten in der DSGVO umfasst ausdrücklich Online-Kennungen, und aufsichtsbehördliche Leitlinien behandeln eine IP-Adresse als personenbezogenes Datum, sobald sie sich einer Person zuordnen lässt, auch indirekt, etwa über Protokolldaten, die ein Internetanbieter im Rahmen eines rechtlichen Verfahrens grundsätzlich offenlegen könnte. Genau diese eine Tatsache bestimmt alles Weitere.

Die Grenze, die in der Praxis tatsächlich zählt, verläuft laut Leitlinien zu Geolokalisierung und Einwilligung im Rahmen der ePrivacy-Richtlinie zwischen grober und präziser Nutzung dieser Daten:

• Wird eine IP-Adresse nur genutzt, um ein Land zu erschließen, mit dem Ziel, Sprache oder Währung festzulegen oder auf die passende regionale Seite weiterzuleiten, ist dafür in der Regel keine gesonderte Einwilligung nötig. Das ist der Standardfall mit geringem Risiko: „Dieser Scan kam aus Deutschland, zeig die deutsche Seite."
• Werden Standortdaten genutzt, die präzise genug sind, um das Gerät einer Person auf Stadt-, Straßen- oder Gebäudeebene zu identifizieren, und dienen sie dem Verhaltens-Targeting (ein bestimmtes Angebot, ein Retargeting-Pixel, die Aktualisierung eines Profils) statt der einfachen Inhaltssteuerung, ist dafür nach ePrivacy und DSGVO eine Einwilligung erforderlich. Auslöser ist nicht die Technik, sondern die Präzision und der Zweck: Dieselbe IP-Abfrage, die für „zeig die niederländische Seite" völlig unproblematisch ist, wird in dem Moment einwilligungspflichtig, in dem sie genutzt wird, um ein Profil dieser bestimmten Person aufzubauen oder zu aktualisieren.

GPS-basiertes Geofencing liegt schon konzeptionell eindeutig auf der einwilligungspflichtigen Seite dieser Grenze, da die Berechtigungsabfrage des Browsers selbst den Einwilligungsmechanismus darstellt. Der Graubereich, den Agenturen im Blick behalten sollten, ist IP-basiertes Targeting, das als „nur die Sprache festlegen" beginnt und sich unbemerkt zu „außerdem den geschätzten Standort dieser Person mit ihrer Scan-Historie fürs Retargeting verknüpfen" ausweitet, ohne dass jemand die Datenschutzerklärung oder den Einwilligungsprozess entsprechend anpasst. Einen umfassenderen Überblick darüber, was ein getrackter Scan erfasst und was in einer Datenschutzerklärung stehen muss, gibt der Beitrag Sind QR-Codes DSGVO-konform.

Was ein standortbasierter Redirect heute realistisch leisten kann

Fügt man die Mechanik und die Genauigkeitswerte zusammen, ergibt sich ein klares Bild davon, was man einem Kunden versprechen sollte, und was nicht.

Zuverlässig und lohnt sich:

• Weiterleitung nach Land für Inhalt oder Sprache aus einem einzigen gedruckten Code (ein paneuropäischer Flyer, ein Produkt mit regionaler Preisgestaltung, eine Veranstaltung mit internationalem Publikum).
• Geräte-basierte Weiterleitung neben dem Standort (iOS-Scans in den App Store, Android-Scans zu Google Play, aus demselben Code), was den User-Agent des Browsers nutzt und überhaupt keine Standortdaten, siehe ein QR-Code, zwei App Stores für genau diesen Mechanismus.
• Regionale Kampagnen, bei denen „nah genug" wirklich reicht, etwa eine Weiterleitung nach Land oder nach einer Handvoll großer Metropolregionen statt nach Stadtteil.

Fragil, und sollte vor der Kundenfreigabe mit einem ausdrücklichen Vorbehalt versehen werden:

• Redirect-Regeln auf Stadt- oder Postleitzahlenebene, angesichts der Genauigkeitsspanne von 20-75 % und des Mobilfunk-NAT-Effekts.
• Alles, was darauf setzt, dass eine scannende Person sich in einem bestimmten WLAN-Netz oder innerhalb eines engen Geofence befindet, bei einem kalten Erstscan eines gedruckten Codes, da dies eine Berechtigungsabfrage voraussetzt, die die meisten Menschen ablehnen werden.
• Jedes Versprechen, die Regel sei „immer genau", was keine Anbieter-Dokumentation unterhalb der Länderebene stützt.

Was ein QR-Code nicht von sich aus leistet:

• Der QR-Code ist nie das Element, das den Standort ermittelt. Er ist lediglich ein statischer Verweis auf einen Redirect-Dienst; jede hier beschriebene Geotargeting-Entscheidung passiert auf dem Server nach dem Scan, weshalb sich das Ziel eines Codes auch ändern lässt, ohne neu zu drucken, und weshalb die zugrunde liegenden Scan-Standortdaten (Land, Stadt, Gerätetyp), auf denen all das aufbaut, es ohnehin verdienen, sauber erfasst zu werden, unabhängig davon, ob gerade eine standortbasierte Regel aktiv ist. Was diese Daten konkret umfassen, sobald sie erfasst werden, zeigt QR-Code-Analytics: Welche Scan-Kennzahlen wirklich zählen.

Die beiden oben beschriebenen Spuren sind das, worauf „standortbasiert" in der Praxis hinausläuft: eine automatische, grobe Abfrage ohne Berechtigung, die auf Länderebene zuverlässig und darunter wackelig ist, und eine präzise, einwilligungspflichtige Abfrage, die eng gefasst ist, aber nur auslöst, wenn jemand ausdrücklich zustimmt, den eigenen Standort zu teilen. Die meisten „Smart QR Code"-Werbetexte beschreiben Letzteres und liefern in Wirklichkeit Ersteres.

Eine praktische Checkliste, bevor man einem Kunden „standortbasiertes" Targeting verspricht

1. Klären, welche Technologie das Briefing tatsächlich braucht. „Andere Sprache je Land" ist ein IP-basierter Job. „Anderes Angebot innerhalb von 200 Metern um dieses Geschäft" ist ein GPS-basierter Job, der ein Opt-in-Erlebnis erfordert, keinen kalten Print-Scan.
2. Erwartungen auf dem richtigen Genauigkeitsniveau setzen. Genauigkeit auf Länderebene schriftlich zusagen, wenn das der Mechanismus hergibt; „Personalisierung auf Stadtebene" darf nicht in ein Kundendeck rutschen, wenn die zugrunde liegende Technik das nicht zuverlässig leisten kann.
3. Einen sinnvollen Fallback einbauen. Jede Geotargeting-Regel braucht ein Standardziel für die routinemäßigen Fälle, in denen die Standortschätzung falsch, mehrdeutig ist oder (bei GPS) die Berechtigung von vornherein nie erteilt wurde.
4. „Inhaltssteuerung" und „Profiling" in der Datenschutzerklärung trennen. Wenn die Regel nur jemals Sprache oder Region festlegt, sollte das klar so stehen. Wenn irgendein Teil der Kampagne den geschätzten Standort mit der Scan-Historie einer bestimmten Person für Retargeting oder personenbezogenes Reporting verknüpft, ist das als einwilligungspflichtig zu behandeln, und Erklärung sowie Einwilligungsprozess sind entsprechend anzupassen.
5. Aus einem Mobilfunknetz testen, nicht nur über das Büro-WLAN. Mobilfunk-NAT ist die häufigste Ursache dafür, dass eine Geotargeting-Regel in jedem internen Test einwandfrei funktioniert und dann live auf der Straße wiederholt fehlschlägt.

Häufig gestellte Fragen

#### Kann ein QR-Code meinen Standort erkennen?

Nicht von sich aus. Der QR-Code kodiert nur einen Weiterleitungslink. Sobald ein Smartphone diesen Link öffnet, kann der dahinterliegende Server den Standort auf zwei Arten schätzen: automatisch anhand der IP-Adresse der Anfrage (grob, keine Berechtigung nötig, zuverlässig auf Länderebene), oder, wenn der Browser ausdrücklich um Erlaubnis bittet und sie erhält, anhand des GPS des Geräts (präzise, erfordert aber ein Opt-in, das die Nutzerin oder der Nutzer aktiv erteilen muss).

#### Braucht ein QR-Code GPS oder eine Standortfreigabe, um zu funktionieren?

Nein, nicht für Targeting auf Länder- oder Regionsebene, das nutzt die IP-Adresse automatisch und benötigt keine Berechtigungsabfrage. GPS-basierte Präzision, die Art, die für einen engen Geofence rund um ein einzelnes Gebäude nötig ist, erfordert dagegen, dass der Browser ausdrücklich um Standortfreigabe bittet und sie erhält, was die meisten Menschen bei einem erstmaligen Scan eines gedruckten Codes nicht gewähren werden.

#### Was ist der Unterschied zwischen einem intelligenten und einem dynamischen QR-Code?

Ein dynamischer QR-Code verweist auf eine Weiterleitung, die sich später bearbeiten lässt, sodass sich das Ziel ändern kann, ohne den Code neu zu drucken. Ein „intelligenter" oder bedingter QR-Code ist ein dynamischer Code, dessen Redirect-Server zusätzlich Regeln anwendet, etwa nach Standort, Gerät, Sprache oder Uhrzeit, um unterschiedliche scannende Personen von demselben gedruckten Code zu unterschiedlichen Zielen zu leiten.

#### Was ist der Unterschied zwischen Geotargeting und Geofencing?

Geotargeting bezeichnet üblicherweise die grobe, IP-basierte Standortschätzung (Land oder Region), die zur Inhaltssteuerung genutzt wird. Geofencing meint speziell eine festgelegte geografische Grenze, meist GPS-basiert, die eine Aktion auslöst, sobald ein Gerät sie betritt oder verlässt. Geotargeting ist die grobe, automatische Variante, Geofencing die präzise, einwilligungspflichtige.

#### Wie genau ist IP-basierte Geolokalisierung bei einem QR-Code-Scan?

Die Genauigkeit auf Länderebene liegt in der Regel über 99 %. Auf Regions- oder Bundeslandebene liegt sie je nach Land bei etwa 55-80 %. Auf Stadtebene schwankt sie stark, zwischen rund 20 % und 75 %, und sinkt in Mobilfunknetzen weiter, weil Netzbetreiber IP-Adressen unter Teilnehmern teilen und neu zuweisen, und wird durch VPN-Nutzung völlig ausgehebelt, so die Genauigkeitsanalysen von MaxMind, dessen GeoIP-Datenbanken den meisten Geolokalisierungsabfragen zugrunde liegen.

#### Welcher Mindestradius funktioniert bei einem Geofence tatsächlich zuverlässig?

Androids eigene Geofencing-Richtlinie empfiehlt einen Mindestradius von 100 bis 150 Metern für zuverlässiges Auslösen. Alles, was enger gesetzt wird, läuft Gefahr, nicht konsistent auszulösen, da die reale Standortgenauigkeit ohne WLAN-Unterstützung mehrere hundert Meter bis wenige Kilometer betragen kann und selbst mit verfügbarem WLAN meist nur auf etwa 20 bis 50 Meter genau ist.

#### Kann ein VPN die Standorterkennung eines QR-Codes täuschen?

Ja. Ein VPN zeigt die IP-Adresse seines Ausgangsservers statt des tatsächlichen Standorts der Nutzerin oder des Nutzers, und die Geolokalisierungsabfrage meldet zuverlässig, aber falsch, den Standort dieses Ausgangsservers. Es gibt keine verlässliche Möglichkeit, das zum Zeitpunkt des Scans zu erkennen, weshalb jede IP-basierte Regel davon ausgehen sollte, dass ein kleiner, aber realer Anteil der Scans aus diesem Grund falsch geolokalisiert wird.

#### Brauchen standortbasierte QR-Codes eine Einwilligung nach DSGVO?

Das hängt von der Präzision und vom Zweck ab. Wird eine IP-Adresse nur genutzt, um ein Land für die Sprach- oder Währungsauswahl zu erschließen, ist in der Regel keine gesonderte Einwilligung nötig. Werden Standortdaten genutzt, die präzise genug sind, um das Gerät einer Person zu identifizieren, oder dienen sie dazu, ein Profil aufzubauen oder Werbung gezielt an diese Person auszuspielen, ist nach DSGVO und den ePrivacy-Regeln eine Einwilligung erforderlich, weil eine IP-Adresse rechtlich in dem Moment ein personenbezogenes Datum ist, in dem sie sich einer Person zuordnen lässt.

#### Gilt eine IP-Adresse nach der DSGVO als personenbezogenes Datum?

Ja. Die Definition personenbezogener Daten in der DSGVO umfasst ausdrücklich Online-Kennungen, und aufsichtsbehördliche Leitlinien behandeln eine IP-Adresse als personenbezogenes Datum, sobald sie sich, auch indirekt über die Protokolle eines Internetanbieters, vernünftigerweise nutzen ließe, um eine bestimmte Person zu identifizieren.

#### Wie setzen Agenturen einen QR-Code für mehrere Standorte oder Franchise-Filialen ein?

Derselbe dynamische Code-Mechanismus, der Geotargeting ermöglicht, unterstützt das auch ganz ohne Standorterkennung: Viele Agenturen erzeugen einfach einen eigenen Code pro Filiale oder pro Mitarbeiterin und Mitarbeiter, der jeweils auf eine eigene, getrackte Landingpage verweist, sodass jeder Standort ein sauberes, eindeutiges Reporting erhält, statt sich auf einen einzigen gemeinsamen Code zu verlassen, der raten muss, zu welcher Filiale ein Scan gehört. Wie diese Struktur üblicherweise aufgebaut ist, zeigt Ein Workspace pro Kunde.

#### Warum hat mein standortbasierter QR-Code jemanden auf die falsche Länderseite geschickt?

Fast immer liegt es an einer von zwei Ursachen: Die scannende Person war über ein VPN unterwegs, das den Standort des Ausgangsservers statt des eigenen meldet, oder sie war in einem Mobilfunknetz, in dem die Neuzuweisung von IP-Adressen durch den Betreiber auf ein Nachbarland oder eine Nachbarregion auflösen kann, besonders in Grenznähe. Beides ist routinemäßiges, erwartbares Verhalten von IP-basierter Geolokalisierung, kein Fehler in der Redirect-Regel.

Kurz gesagt

Ein standortbasierter QR-Code ist eigentlich zwei völlig unterschiedliche Technologien unter einem Marketingbegriff. IP-basierte Geolokalisierung ist automatisch, braucht keine Berechtigung und ist auf Länderebene wirklich zuverlässig (über 99 % Genauigkeit), aber auf Stadtebene wacklig (20-75 %, schlechter in Mobilfunknetzen, ausgehebelt durch VPNs). GPS-basiertes Geofencing ist präzise, löst aber nur aus, wenn eine besuchende Person ausdrücklich die Standortfreigabe erteilt, was ein kalter Scan von einem Print-Medium selten bekommt. Die DSGVO-Grenze verläuft zwischen der Nutzung des Standorts zur Sprachauswahl (meist unproblematisch ohne zusätzliche Einwilligung) und seiner Nutzung, um eine Person zu profilieren oder gezielt anzusprechen (einwilligungspflichtig). Bevor eine standortbasierte Regel für einen Kunden geplant wird: klären, welche der beiden Technologien das Briefing tatsächlich braucht, Genauigkeit auf Länderebene statt Versprechen auf Stadtebene zusagen, und ein Fallback-Ziel für die routinemäßigen Fälle einbauen, in denen die Standortschätzung falsch liegt.