Datenschutz bei NFC-Bewertungskarten: welche Daten beim Antippen übertragen werden

Kurz gesagt

Beim Antippen einer NFC-Bewertungskarte übergibt der Chip genau zwei Dinge an das Handy: den gespeicherten Link zur Bewertungsseite und seine Seriennummer. Kundendaten fließen dabei nicht, denn die Karte hat keine eigene Stromquelle, keinen Sensor und keinen Speicher für Besucherdaten. Die Übertragung läuft nur in eine Richtung, vom Chip zum Telefon. Datenschutzpflichten nach der DSGVO entstehen erst hinter dem Link, also auf der Seite, zu der die Karte führt. Dieser Text ordnet das allgemein ein und ersetzt keine Rechtsberatung.

Welche Daten überträgt eine NFC-Bewertungskarte beim Antippen?

Eine NFC-Bewertungskarte überträgt beim Antippen zwei Informationen an das Handy: den gespeicherten Link und die Seriennummer des Chips. Mehr steht auf der Karte nicht.

Der Link liegt als NDEF-Datensatz auf dem Chip. NDEF ist das Standardformat für NFC-Inhalte. Android erkennt den Datensatz, ordnet ihn zu und startet die passende App, bei einer Internetadresse den Browser. Ein iPhone verarbeitet beim Lesen im Hintergrund nur den ersten gefundenen URL-Datensatz.

Die Seriennummer ist ab Werk fest im Chip programmiert. Sie identifiziert die Karte, nicht die Person. Das Handy schreibt beim Antippen keine Kontakt-, Konto- oder Standortdaten auf die Karte.

Was eine NFC-Bewertungskarte nicht kann: Handy auslesen, App installieren, Gäste wiedererkennen

Eine NFC-Bewertungskarte kann das Handy des Gastes nicht auslesen und keine App installieren. Der Chip ist ein reiner Speicherbaustein. Der NTAG213, wie er in Karten im Scheckkartenformat steckt, hat 144 Byte Nutzerspeicher. Das reicht für eine Internetadresse, nicht für Programme oder Kundenlisten.

Der Chip hat keine eigene Stromquelle. Erst das Magnetfeld des Smartphones versorgt ihn über induktive Kopplung. NFC arbeitet bei rund 13,56 MHz und nur auf sehr kurze Distanz; in der Fachliteratur werden bis etwa 20 Zentimeter genannt. Liegt kein Handy unmittelbar an der Karte, passiert nichts.

Die Karte speichert auch nicht, wer sie angetippt hat. Sie zählt keine Scans und merkt sich kein Gerät. Ein Gast lässt sich über die Karte später nicht wiedererkennen.

Wo die DSGVO bei NFC-Bewertungskarten greift: hinter dem Link, nicht auf dem Chip

Datenschutzpflichten entstehen dort, wo Ihr Betrieb selbst Daten verarbeitet — also auf der Seite, zu der die Karte führt. Führt die Karte direkt auf Ihr Google-Unternehmensprofil, erheben Sie an dieser Stelle keine Kundendaten.

Anders liegt es, wenn Sie eine eigene Zwischenseite betreiben. Für diese Seite sind Sie verantwortlich. Zum Zeitpunkt der Erhebung müssen Sie über Verantwortlichen, Datenkategorien, Zwecke und Rechtsgrundlagen informieren. Die Datenschutzerklärung braucht einen eigenen Link und gehört nicht ins Impressum oder in die AGB.

Für Cookies und vergleichbare Technik kommt eine weitere Pflicht hinzu. Nicht technisch notwendige Cookies brauchen vorab eine Einwilligung. Vorangekreuzte Kästchen sind unzulässig. Auf der ersten Ebene des Banners muss neben „Alle akzeptieren“ eine klar sichtbare Ablehnen-Option stehen.

Erheben Sie nur, was Sie für den Zweck wirklich brauchen. Wer Bewertungen sammeln will, braucht dafür keine E-Mail-Adresse und keine Telefonnummer. Wie Link, QR-Code und Karte technisch zusammenhängen, steht unter Bewertungslink, QR-Code und NFC-Karte.

Brauche ich für eine NFC-Bewertungskarte eine Einwilligung des Gastes?

Für eine Karte, die nur einen Link trägt, brauchen Sie keine Einwilligung des Gastes. Beim Antippen erheben Sie keine personenbezogenen Daten. Das ist eine allgemeine Einordnung und keine Rechtsberatung.

Entscheidend ist Transparenz. Ein heimlicher Einsatz von RFID-Tags verstößt gegen das Transparenzgebot der DSGVO; Menschen müssen erkennen können, was passiert. Eine Bewertungskarte am Tisch oder am Empfang ist das Gegenteil: Sie liegt offen, ist beschriftet und wird bewusst angetippt.

Eine Rechtsgrundlage brauchen Sie erst, wenn Sie selbst Daten erfassen. Das gilt zum Beispiel für ein Formular mit Namen oder E-Mail-Adresse. Eine Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Personenbezogen sind dabei auch Online-Kennungen, aus denen sich eine Person wieder erkennen lässt.

Sieht der Betrieb über die NFC-Karte, wer die Bewertung geschrieben hat?

Über die NFC-Bewertungskarte erfahren Sie nichts über den Verfasser einer Bewertung. Sichtbar ist nur, was der Kunde auf Google selbst veröffentlicht, in der Regel Profilname und Text.

Google beschreibt, dass Nutzerinnen und Nutzer selbst entscheiden, ob Rezensionen, Fotos und öffentliche Beiträge im öffentlichen Profil erscheinen. Sie können ihr Profil in den Einstellungen einschränken. Die Karte hat darauf keinen Einfluss. Sie übergibt eine Internetadresse und sonst nichts.

Auch mehrere Karten im Haus ändern daran nichts. Die Karte am Empfang und die am Tisch führen zur selben Adresse. Eine Zuordnung zwischen Antippen und Person entsteht dadurch nicht. Was bei Google überhaupt erkennbar ist, lesen Sie unter Google-Bewertung zurückverfolgen.

Das Wichtigste zum Datenschutz bei der NFC-Bewertungskarte

Die NFC-Bewertungskarte überträgt einen Link und die Seriennummer des Chips, keine Kundendaten. Sie liest das Handy nicht aus und speichert nicht, wer sie angetippt hat. Pflichten nach der DSGVO treffen Sie erst, wenn hinter dem Link eine eigene Seite Ihres Betriebs steht. Führt die Karte direkt auf Ihr Google-Profil, verarbeiten Sie an dieser Stelle selbst keine personenbezogenen Daten.

Diese Einordnung ist allgemein gehalten und ersetzt keine Rechtsberatung im Einzelfall. Wer eine eigene Landingpage, ein Formular oder ein Analysewerkzeug dazwischenschaltet, prüft seine Pflichten besser konkret. Für kleine Betriebe gilt die DSGVO ebenso; nur einzelne Pflichten entfallen unter bestimmten Schwellenwerten.

Was Sie Gästen antworten können, wenn sie beim Antippen der Karte zögern

Sagen Sie kurz, was passiert: „Halten Sie Ihr Handy an die Karte, dann öffnet sich unsere Google-Seite.“ Mehr ist es nicht. Für viele ist diese Bewegung längst Routine: 59 Prozent der Menschen in Deutschland haben laut einer Bitkom-Befragung von 2024 in den zwölf Monaten davor mindestens einmal kontaktlos mit Smartphone oder Smartwatch bezahlt.

Am iPhone braucht der Gast keine App. Das Gerät liest Tags im Hintergrund nur bei eingeschaltetem Display und muss nach dem Start einmal entsperrt worden sein. Nach dem Lesen erscheint eine Mitteilung, die der Gast selbst antippen muss. Während Wallet, Apple Pay oder die Kamera aktiv sind oder im Flugmodus, wird nicht gescannt.

Bei Android-Geräten muss NFC eingeschaltet sein. Bei Galaxy-Smartphones geht das über die Schnelleinstellungen oder über Einstellungen, Verbindungen, NFC und kontaktlose Zahlungen. Klappt es dann noch nicht, liegt es häufig an der Position der Antenne oder an einer dicken Hülle. Welche Geräte mitmachen, steht unter Funktioniert eine NFC-Bewertungskarte mit jedem Handy?

Wenn Sie eine Karte einsetzen möchten, die vor dem Versand auf Ihr Google-Profil programmiert wird und ohne eigene Zwischenseite arbeitet, finden Sie sie bei der NFC-Google-Bewertungskarte.

Quellen

Häufige Fragen

Werden beim Antippen persönliche Daten vom Handy auf die Karte übertragen?

Nein. Die Übertragung läuft vom Chip zum Handy, nicht umgekehrt. Übergeben werden der gespeicherte Link und die ab Werk feste Seriennummer des Chips. Name, Telefonnummer oder Zahlungsdaten sind daran nicht beteiligt.

Kann über eine NFC-Bewertungskarte Schadsoftware aufs Handy kommen?

Auf dem Chip steht nur eine Internetadresse, im NTAG213 sind 144 Byte Nutzerspeicher vorhanden. Programme passen dort nicht hinein. Das Handy öffnet eine Seite, es installiert nichts. Am iPhone erscheint zuerst eine Mitteilung, die der Nutzer selbst antippen muss.

Muss die NFC-Bewertungskarte in der Datenschutzerklärung stehen?

Die Karte selbst erhebt keine Daten, sie trägt nur einen Link. Führt sie auf eine eigene Seite Ihres Betriebs, gelten dort die üblichen Informationspflichten. Die Datenschutzerklärung muss dann über einen eigenen Link erreichbar sein und gehört nicht ins Impressum.

Ist eine Google-Bewertung über die NFC-Karte anonym?

Das entscheidet nicht die Karte, sondern das Google-Konto des Gastes. Google beschreibt, dass Nutzerinnen und Nutzer selbst steuern, was im öffentlichen Profil erscheint. Meist ist der Profilname sichtbar. Über die Karte selbst fließen keine Daten zur Person.

NFC oder QR-Code — was ist datenschutzfreundlicher?

Beide transportieren nur eine Internetadresse. Der QR-Code wird mit der Kamera gelesen, der NFC-Chip per Funk auf kurze Distanz. Personenbezogene Daten entstehen in beiden Fällen erst auf der Zielseite. Der Unterschied liegt in der Bedienung, nicht im Datenschutz.

Mehr echte Google-Bewertungen

NFC-Bewertungskarte, fertig programmiert auf Ihr Google-Profil. Ab 10 Karten versandkostenfrei.

Karten ansehen →