Cookie-Einwilligung für Kurzlinks: Was die EU vorschreibt

Brauchen Sie einen Cookie-Banner für einen Kurzlink? Für den Redirect selbst nicht - eine einfache 301- oder 302-Weiterleitung, die nichts auf dem Gerät speichert, ist ein Dienst, um den der Nutzer gebeten hat. Eine Einwilligung brauchen Sie in dem Moment, in dem der Kurzlink ein nicht essenzielles Cookie oder einen Geräte-Identifier setzt oder ausliest, etwa für Retargeting oder seitenübergreifendes Analytics - denn die ePrivacy-Richtlinie verlangt diese Einwilligung, bevor die Speicherung stattfindet.

Dieser eine Satz verbirgt zwei getrennte Regelwerke, die Marketer immer wieder vermischen. Die ePrivacy-Richtlinie regelt das Speichern oder Auslesen von irgendetwas auf dem Gerät eines Nutzers (die Cookie-Ebene). Die GDPR regelt, was Sie anschließend mit den personenbezogenen Daten tun (die Ebene der Rechtsgrundlage). Ein Kurzlink kann die eine, beide oder keine der beiden Regeln auslösen, und erst zu wissen, welche das ist, verrät Ihnen, ob ein Banner rechtlich erforderlich ist oder nur unreflektiert auf die Seite kopiert wurde.

Dies ist ein Beitrag aus dem Compliance-Cluster, deshalb werden die Regeln zitiert und die Quellen verlinkt, damit Ihre eigene Rechtsberatung sie prüfen kann. Den vollständigen Rahmen dahinter - was die GDPR von jedem Shortener verlangt - geht der GDPR-für-URL-Shortener-Grundlagenartikel Artikel für Artikel durch.

Die kurze Antwort für Marketer und Datenschutzbeauftragte

Bei der Einwilligung geht es um die Speicherung auf dem Gerät, nicht um den Link selbst. Stellen Sie sich eine Frage: Führt der Klick auf den Kurzlink dazu, dass etwas in den Browser des Nutzers geschrieben oder daraus gelesen wird, das für die Durchführung des Redirects nicht unbedingt notwendig ist?

• Wenn nein - der Klick löst lediglich ein Ziel auf und erhöht höchstens einen serverseitigen Zähler - gibt es für den Shortener keinen ePrivacy-Einwilligungsauslöser.
• Wenn ja - ein Tracking-Cookie, ein Pixel oder ein Fingerprinting-Identifier wird beim Redirect-Hop ausgelöst - ist eine Einwilligung erforderlich, und sie muss vor der Speicherung vorliegen.

Die GDPR fügt dann eine zweite Frage zum Klick-Log selbst hinzu, das fast immer personenbezogene Daten enthält. Diese beiden Fragen haben unterschiedliche Antworten, und der Rest dieses Beitrags behandelt sie der Reihe nach.

Wann ein Kurzlink keine Einwilligung braucht

Ein Redirect, der kein Cookie setzt, liegt auf der Seite des "unbedingt Erforderlichen" der ePrivacy-Richtlinie. Article 5(3) der Richtlinie 2002/58/EG nimmt Speicherungen aus, die "unbedingt erforderlich sind, damit der Anbieter eines von dem Teilnehmer oder Nutzer ausdrücklich gewünschten Dienstes der Informationsgesellschaft diesen Dienst zur Verfügung stellen kann." Das Auflösen eines Links, den der Nutzer bewusst angeklickt hat, ist genau dieser Dienst. Für den Hop ist kein Banner geschuldet.

Die GDPR-Ebene gilt trotzdem, denn das Klick-Log ist personenbezogene Daten. Jeder Redirect kann eine IP-Adresse und einen User-Agent protokollieren, und der Europäische Gerichtshof entschied im Fall Breyer (C-582/14), dass eine dynamische IP-Adresse für jeden, der die dahinterstehende Person identifizieren kann, personenbezogene Daten darstellt. Sie brauchen also eine Rechtsgrundlage für das Log, und für aggregiertes Klick-Zählen ist diese Grundlage meist das berechtigte Interesse nach Article 6(1)(f) - vorausgesetzt, Sie haben die Interessenabwägung durchgeführt, das Gespeicherte minimiert und ein kurzes Aufbewahrungsfenster festgelegt.

In der Praxis bedeutet das: Sie können Klicks zählen, sehen, welche Kampagne sie ausgelöst hat, und die Geografie auf Länderebene auswerten, ohne irgendjemanden zur Annahme eines Cookies aufzufordern - solange die Analysen aggregiert bleiben und die Identifier nicht darauf ausgelegt sind, eine einzelne Person herauszugreifen. Das ist die Spur, in der die meisten Link-Trackings verlaufen sollten, und es ist ein großer Teil dessen, was datenschutzfreundliches Klick-Analytics überhaupt praktikabel macht.

Wann ein Kurzlink eine Einwilligung braucht

Der Banner wird in dem Moment verpflichtend, in dem ein nicht essenzielles Cookie oder ein ähnlicher Identifier gespeichert wird. Der Europäische Gerichtshof legte den Maßstab für diese Einwilligung im Fall Planet49 (C-673/17) fest: Ein bereits angekreuztes Kästchen ist keine Einwilligung, und der Nutzer muss vor der Speicherung eine eindeutige, aktive Handlung vornehmen. Die EDPB-Leitlinien zur Einwilligung verschärfen das noch weiter - die Einwilligung muss freiwillig, spezifisch, informiert und ebenso leicht zu widerrufen wie zu erteilen sein.

Kurzlinks erzeugen hier ein unangenehmes Timing-Problem. Setzt Ihr Shortener auf seiner eigenen Redirect-Domain ein Retargeting-Cookie, geschieht diese Speicherung beim Hop - bevor der Nutzer überhaupt Ihre Seite und Ihren Consent-Banner erreicht. Das Cookie ist bereits gesetzt, wenn Ihre Consent-Management-Plattform lädt. Wer es gesetzt hat, ist dafür verantwortlich, eine gültige Einwilligung vorzuweisen, und in dieser Architektur hat niemand eine eingeholt. Das ist keine Formalie, sondern ein Cookie, das ohne Rechtsgrundlage gesetzt wurde - genau das Muster, für das Aufsichtsbehörden bereits Bußgelder verhängt haben.

Tut ein Kurzlink also eines der folgenden Dinge, befinden Sie sich im Einwilligungsterritorium und müssen das auch nachweisen können:

1. Setzt beim Klick ein Tracking- oder Retargeting-Cookie.
2. Liest oder schreibt einen Geräte-Fingerprint oder einen dauerhaften Identifier.
3. Löst über den Redirect ein Werbe-Pixel eines Drittanbieters aus.
4. Baut für Werbe-Targeting ein seitenübergreifendes Profil der Person auf.

Cookie-Einwilligung vs. GDPR-Rechtsgrundlage - zwei Ebenen

Der Fehler, den ich am häufigsten sehe, ist, "wir haben eine Rechtsgrundlage nach der GDPR" zu behandeln, als wäre damit die Cookie-Frage erledigt. Ist sie nicht. Die beiden Regelwerke bauen aufeinander auf, und die ePrivacy-Regel kommt zeitlich zuerst.

Die ePrivacy-Richtlinie fragt: Dürfen Sie das auf dem Gerät speichern oder auslesen? Bei allem, was nicht essenziell ist, lautet die Antwort nur mit vorheriger Einwilligung Ja, und keine GDPR-Rechtsgrundlage ersetzt diese Einwilligung. Berechtigtes Interesse kann das Setzen eines Marketing-Cookies nicht rechtfertigen - der Speicherschritt braucht in jedem Fall eine Einwilligung. Erst wenn die Speicherfrage geklärt ist, stellt die GDPR ihre eigene Frage: Jetzt, wo Sie diese personenbezogenen Daten haben - was ist Ihre Rechtsgrundlage, um sie zu verarbeiten, und haben Sie die Pflichten zu Transparenz, Aufbewahrung und Übermittlung erfüllt?

In dieser Reihenfolge gelesen, klären sich die meisten Link-Tracking-Setups schnell von selbst. Cookiefreies, aggregiertes Klick-Logging: eine Ebene (berechtigtes Interesse nach der GDPR), kein Banner. Cookie-basiertes Retargeting: beide Ebenen (ePrivacy-Einwilligung zum Setzen des Cookies, dann GDPR-Einwilligung als Verarbeitungsgrundlage), Banner erforderlich, und er muss zuerst erscheinen.

Zwingt Ihnen Ihr aktueller Shortener das zweite Muster auf, obwohl Sie eigentlich nur Kampagnen-Attribution wollten, lohnt es sich, das auf Tool-Ebene zu beheben, statt es mit einem größeren Banner zu übertünchen. Elido hält Klick-Analytics cookiefrei und EU-ansässig, damit der Normalfall in der bannerfreien Spur bleibt.

Wie Kurzlinks einwilligungsarm bleiben

Sie können nicht jede Pflicht wegzaubern - wenn Sie retargeten, holen Sie eine Einwilligung ein, Punkt. Aber Sie können den Normalfall einfach halten und die Fläche verkleinern, die ein Banner abdecken muss.

• Bevorzugen Sie einen Shortener, der Klicks serverseitig erfasst, ganz ohne Cookie auf der Redirect-Domain, sodass es beim Hop nichts gibt, wofür man eine Einwilligung bräuchte.
• Halten Sie die Analysen aggregiert. Geografie auf Länderebene und Kampagnenzahlen müssen keine einzelne Person herausgreifen; Profile pro Nutzer schon.
• Minimieren und verkürzen Sie. Kürzen oder hashen Sie IP-Adressen, wo immer möglich, und legen Sie ein Aufbewahrungsfenster fest, das in Wochen statt Jahren gemessen wird, gestützt auf eine dokumentierte Interessenabwägung.
• Halten Sie die Daten in der EU. Die Ansässigkeit hebt die Einwilligungsfrage nicht auf, entfernt aber die zusätzliche Übermittlungsprüfung, die ein US-Shortener obendrauf mit sich bringt - die Lücke, die die Analyse ist Bitly GDPR-konform beleuchtet, und aus demselben Grund wirft Google Analytics eigene GDPR-Fragen auf.
• Nehmen Sie die ehrliche Offenlegung in Ihre Datenschutzerklärung auf: was der Redirect protokolliert, auf welcher Grundlage und wie lange.

Nichts davon ist Rechtsberatung für Ihren konkreten Stack, und ein Shortener, der sich vorbildlich verhält, befreit die Zielseite nicht von ihren eigenen Cookie-Pflichten. Aber er verschiebt den Shortener von "noch ein Anbieter, den mein Banner abdecken muss" zu "ein Redirect, der einen Klick protokolliert und dabei stehen bleibt." Für die Ansässigkeitsseite derselben Entscheidung beleuchten EU-Datenresidenz für Marketing und die Übersicht die besten EU-URL-Shortener, wer sich verpflichtet, die Daten in der EU zu halten.

Die Grundlagenserie lesen

Dieser Beitrag gehört zum Compliance-Cluster. Der Grundlagenartikel ist GDPR für URL-Shortener: was Ihr Datenschutzbeauftragter wirklich sehen will - beginnen Sie dort für den Artikel-für-Artikel-Rahmen, und nutzen Sie anschließend die Trust-Seite und solutions/compliance als Unterlagen für die Beschaffung.

Verwandte Beiträge im Blog

• GDPR für URL-Shortener: was Ihr Datenschutzbeauftragter wirklich sehen will
• Ist Bitly GDPR-konform? Die ehrliche Antwort eines Datenschutzbeauftragten
• Ist Google Analytics GDPR-konform?
• EU-Datenresidenz für Marketing-Tools: was Ihr Datenschutzbeauftragter wirklich fragt
• Die besten EU-URL-Shortener, bewertet nach ihrer Datenresidenz