Digitale Visitenkarte & DSGVO

Eine digitale Visitenkarte verarbeitet personenbezogene Daten — deine eigenen und, sobald du Kontakte oder Leads erfasst, die anderer Menschen. Damit fällt sie unter die Datenschutz-Grundverordnung (DSGVO). Die gute Nachricht: Richtig umgesetzt ist eine digitale Karte oft datenschutzfreundlicher als Papier — weil du steuerst, welche Daten wann und an wen fließen.

Sind digitale Visitenkarten DSGVO-konform?

Ja — eine digitale Visitenkarte kann vollständig DSGVO-konform betrieben werden. Entscheidend sind drei Dinge: wo die Daten liegen (Serverstandort, Auftragsverarbeiter), wie Besucher gemessen werden (Cookies/Tracker ja/nein) und ob für die Erfassung fremder Daten (Leads) eine Einwilligung vorliegt. Wer hier sauber arbeitet, erfüllt die DSGVO ohne großen Aufwand.

Gegenüber der Papierkarte hat die digitale Variante sogar Vorteile: Du gibst keine Daten „auf Vorrat" heraus, kannst Inhalte jederzeit ändern oder zurückziehen und musst keine Restbestände mit veralteten Angaben entsorgen.

Die Rechtsgrundlagen im Überblick

Für digitale Visitenkarten in Deutschland sind vor allem vier Regelwerke relevant:

• DSGVO (Datenschutz-Grundverordnung, EU) — das zentrale Gesetz für die Verarbeitung personenbezogener Daten. Relevant u. a. Art. 6 (Rechtsgrundlagen), Art. 28 (Auftragsverarbeitung), Art. 13/15–17 (Informations- und Betroffenenrechte).
• BDSG (Bundesdatenschutzgesetz) — ergänzt die DSGVO national, etwa zu Beschäftigtendaten und zur Datenschutzbeauftragten-Pflicht.
• TDDDG (Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten) — seit Mai 2024 Nachfolger des TTDSG. Regelt u. a. das Setzen von Cookies und den Zugriff auf Endgeräte (Einwilligungspflicht).
• DDG (Digitale-Dienste-Gesetz) — seit 2024 Nachfolger des TMG. Regelt u. a. die Impressumspflicht für geschäftsmäßige Online-Angebote.

Welche Daten verarbeitet werden

Bei einer digitalen Visitenkarte fallen typischerweise drei Datenarten an:

• Deine Profildaten — Name, Position, Telefon, E-Mail, Links. Die gibst du selbst frei; die Rechtsgrundlage ist deine Entscheidung, sie öffentlich zu zeigen.
• Nutzungsdaten der Besucher — z. B. dass eine Karte aufgerufen wurde. Hier entscheidet die Ausgestaltung: anonym und ohne Cookie ist datensparsam, Tracking mit Wiedererkennung wäre einwilligungspflichtig.
• Leads & Kontakte — Daten, die andere Menschen dir hinterlassen. Dafür brauchst du eine Rechtsgrundlage, in der Regel deren Einwilligung.

Wie Vizitcard Datenschutz umsetzt

Datenschutz ist bei uns keine Einstellung, die du erst suchen musst — er ist der Standard:

• Hosting in Deutschland. Deine Daten liegen auf Servern in Deutschland, nicht auf einem anderen Kontinent.
• Cookielose Statistik ab Werk. Wir messen Reichweite ohne Cookies und ohne externen Tracker. Die IP-Adresse wird sofort anonymisiert (letztes Oktett verworfen) und nie gespeichert; die grobe Geo-Zuordnung stammt aus einer lokalen Datenbank — ganz ohne Aufruf externer Dienste.
• Web-Analyse nur nach Opt-in. Optionale Dienste wie Matomo oder Google Analytics laden ausschließlich nach aktiver Einwilligung über ein zentrales Cookie-Consent-Layer — ohne Konfiguration gibt es kein Banner und kein Tracking.
• Verschlüsselung, wo es zählt. Passwörter und PINs werden mit Argon2id gehasht, niemals im Klartext gespeichert. Sessions sind gehärtet (Secure, HttpOnly, SameSite), dazu Sicherheits-Header wie CSP.
• Einwilligung eingebaut. Das Lead-Formular auf jeder Karte hat eine Einwilligungs-Checkbox — DSGVO-konform ab dem ersten Kontakt.
• Betroffenenrechte als Self-Service. Datenexport (JSON) und Konto-Löschung erledigst du selbst, ohne Support-Ticket.
• AVV & Rechtstexte. Auftragsverarbeitungsvertrag als Vorlage, gehostete Impressums- und Datenschutz-Seiten je Karte, Rechtstexte nach aktueller Gesetzeslage (DDG statt TMG, TDDDG statt TTDSG).

Deine Pflichten als Nutzer

Auch mit datenschutzfreundlicher Technik bleibst du für deine Inhalte verantwortlich. Das Wichtigste:

• Impressum — geschäftsmäßige Karten brauchen nach DDG eine Anbieterkennzeichnung. Bei Vizitcard hinterlegst du sie je Karte.
• Datenschutzerklärung — informiere transparent, welche Daten du erhebst (z. B. über das Lead-Formular) und wozu.
• Einwilligung einholen — bevor du fremde Kontaktdaten speicherst oder anschreibst.
• Eigene Domain? — Bei einer eigenen Domain gilt weiterhin dieselbe Sorgfalt wie bei jeder Website.

Leads & Einwilligung

Der häufigste Stolperstein: fremde Daten ohne Rechtsgrundlage zu speichern. Wenn ein Besucher über deine Karte ein Formular ausfüllt, brauchst du in der Regel seine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — freiwillig, informiert und nachweisbar. Genau dafür hat unser Lead-Formular eine Einwilligungs-Checkbox mit klarer Zweckangabe. Für Newsletter gilt zusätzlich das Prinzip des Double-Opt-in.

AVV: Wann du ihn brauchst

Sobald ein Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet — wie Vizitcard es für dich tut — verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Für geschäftliche Nutzung, insbesondere für Agenturen und Teams, stellen wir eine AVV-Vorlage bereit. Zur AVV-Vorlage

DSGVO-Checkliste für deine digitale Visitenkarte

• Serverstandort & Auftragsverarbeiter geklärt (idealerweise EU/Deutschland)
• Reichweitenmessung ohne einwilligungspflichtige Cookies — oder Consent-Banner aktiv
• Impressum hinterlegt (DDG)
• Datenschutzerklärung vorhanden und aktuell
• Lead-/Kontaktformular mit Einwilligungs-Checkbox
• AVV mit dem Anbieter geschlossen (bei geschäftlicher Nutzung)
• Betroffenenrechte (Auskunft, Löschung) erfüllbar

5 häufige Fehler — und wie du sie vermeidest

1. Tracking ohne Einwilligung. Google Analytics & Co. ohne Opt-in einzubinden ist einwilligungspflichtig. Lösung: cookielose Messung oder sauberes Consent-Layer.
2. Fremde Daten „einfach so" speichern. Ohne Einwilligung keine Lead-Erfassung.
3. Kein Impressum. Geschäftskarten ohne Anbieterkennzeichnung sind abmahngefährdet.
4. US-Dienste unbedacht einbinden. Prüfe Drittlandtransfers und Rechtsgrundlagen.
5. Kein AVV. Bei Auftragsverarbeitung ist er Pflicht — nicht Kür.