"Werden die Kundendaten in der EU gehostet?" ist das erste Kästchen in den meisten Sicherheitsfragebögen, und es ist die falsche Stelle, um aufzuhören. Ein Anbieter kann Ja ankreuzen und Ihrem DSB trotzdem einen Stack hinterlassen, in dem die eigentlichen Übermittlungen woanders stattfinden: in einem Pixel auf Ihrer Landingpage, in einem E-Mail-Öffnungs-Tracker oder in einem Conversion-Aufruf an eine Werbeplattform.
Dieser Beitrag trennt die Ebenen. Er behandelt, was das Gesetz verlangt, wohin Marketing-Stacks EU-Daten tatsächlich senden, was serverseitige Weiterleitung ändert und was nicht, und die acht schriftlichen Antworten, die Sie vor der Unterschrift einfordern sollten. Er richtet sich an die Marketerin und den Marketer, die einem DSB gegenübersitzen müssen, nicht an die Juristin. Die Sicht des Auftragsverarbeiters, Artikel für Artikel, finden Sie in DSGVO für URL-Shortener.
Kurze Antwort: Residenz ist eine Eigenschaft jeder einzelnen Ebene
- "EU-gehostet" beschreibt, wo die eigenen Server eines Anbieters stehen. Es sagt nichts über die Browser-Skripte, E-Mail-Tracker und Werbeplattform-Aufrufe, die an Ihren Kampagnen hängen.
- Serverseitige Conversion-Weiterleitung gibt Ihnen Kontrolle über die Übermittlung. Sie beseitigt sie nicht. Liegt die Werbeplattform außerhalb des EWR, brauchen Sie weiterhin einen Übermittlungsmechanismus.
- Eine kurze, öffentliche Liste von Unterauftragsverarbeitern mit benannten Standorten ist prüfbar. Eine lange mit vagen Einträgen ist ein dauerhafter Prüfaufwand.
- Verlangen Sie im ersten Gespräch die acht schriftlichen Antworten aus der Checkliste unten. Anbieter, die sie bereithalten, bestehen die Prüfung meist in Tagen, nicht in Wochen.
Was das Gesetz tatsächlich verlangt
Vier Rechtsvorschriften leisten den Großteil der Arbeit. Die Primärtexte stehen auf EUR-Lex; die EUR-Lex-Seite lieferte einem automatisierten Abruf am 2026-10-24 keinen Inhalt, die Artikelverweise unten beziehen sich daher auf die veröffentlichte Nummerierung der Verordnung, und Sie sollten den Text dort selbst lesen.
Artikel 3 Absatz 2, räumlicher Anwendungsbereich. Die DSGVO gilt für einen Verantwortlichen oder Auftragsverarbeiter außerhalb der EU, wenn die Verarbeitung damit zusammenhängt, Personen in der EU Waren oder Dienstleistungen anzubieten oder ihr Verhalten in der EU zu beobachten. Klick-Tracking bei EU-Besuchern ist Beobachtung. Der Text steht in der Verordnung (EU) 2016/679 (abgerufen am 2026-10-24, die Seite wurde bei unserem Abruf nicht geladen).
Artikel 28, Auftragsverarbeiter. Jeder Anbieter, der für Sie personenbezogene Daten verarbeitet, braucht einen Vertrag, der die Vorgaben von Artikel 28 Absatz 3 abdeckt. Artikel 28 Absatz 2 verlangt Ihre vorherige Genehmigung, gezielt oder allgemein, bevor ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzuzieht, und eine allgemeine Genehmigung muss Ihnen die Möglichkeit geben, Änderungen zu widersprechen. Deshalb zählt die Liste der Unterauftragsverarbeiter in der Praxis.
Artikel 44 bis 49, Übermittlungen. Kapitel V verbietet es, personenbezogene Daten in ein Drittland zu übermitteln, es sei denn, ein aufgeführter Weg greift: ein Angemessenheitsbeschluss, geeignete Garantien wie Standardvertragsklauseln oder eine enge Ausnahme. Eine verwandte Dokumentationspflicht steht in Artikel 30: Ihr Verzeichnis von Verarbeitungstätigkeiten sollte jede Übermittlung und ihre Grundlage nennen.
Schrems II und das Data Privacy Framework. In der Rechtssache C-311/18 erklärte der Gerichtshof im Juli 2020 den Privacy Shield für ungültig und entschied, dass Anwender von SCC prüfen müssen, ob das Recht des Ziellandes die Klauseln untergräbt (Urteil bei Curia, abgerufen am 2026-10-24, die Seite leitet auf einen skriptgesteuerten Viewer um, der bei unserem Abruf nicht gerendert wurde). Die Kommission erließ am 10. Juli 2023 einen neuen US-Angemessenheitsbeschluss für zertifizierte Empfänger (Seite der Kommission, abgerufen am 2026-10-24). Das Gericht der Europäischen Union wies die Klage Latombe dagegen am 3. September 2025 ab, und beim Gerichtshof ist ein Rechtsmittel als Rechtssache C-703/25 P anhängig (Bekanntmachung im Amtsblatt C/2025/6610, abgerufen am 2026-10-24, Zusammenfassung aus einem Suchergebnis übernommen, weil die Seite nicht gerendert wurde). Prüfen Sie den aktuellen Stand im Register des Gerichts. Die Empfehlungen 01/2020 des EDSA zu ergänzenden Maßnahmen (Endfassung angenommen am 18. Juni 2021, abgerufen am 2026-10-24) bleiben der Maßstab für Teams, die ein Übermittlungsregime wollen, das einen Wandel der Rechtslage übersteht.
Wohin Marketing-Stacks EU-Daten senden
Die Lücke zwischen "unser Shortener ist EU-gehostet" und "unsere Daten bleiben in der EU" öffnet sich in den Ebenen rund um den Shortener. Statt Anbieter-Standardwerte zu raten, die sich ändern, hier das Muster und die Frage an den jeweiligen Verantwortlichen.
| Ebene | Was übertragen wird | Frage an den Verantwortlichen |
|---|---|---|
| Browser-Pixel und Tags (Meta, Google, andere) | Seiten-URL mit UTM-Parametern, IP, Cookie-IDs, vom Browser des Besuchers an den Anbieter gesendet | Welcher Endpunkt des Anbieters, welche Übermittlungsgrundlage, und wird zuerst eingewilligt? |
| E-Mail-Öffnungs- und Klick-Tracker | Abonnentenkennung in der Tracking-URL, gehostet im CDN des E-Mail-Anbieters | In welcher Region liegt unser Konto, und folgt die Tracking-Domain ihr? |
| CRM und Marketing-Automatisierung | Kontaktdatensätze und Formulareinsendungen | In welcher Datenregion liegt unser Tenant, und lässt sie sich nachträglich ändern? |
| Serverseitige Weiterleitungen | Klick- oder Conversion-Ereignisse, gesendet von einem Server, den Sie betreiben | Liegt der empfangende Endpunkt im EWR, und welche Kennungen werden gesendet? |
| Der Shortener | Weiterleitungsanfrage und Klick-Log | Wo werden die Weiterleitung und der Klick-Datensatz verarbeitet und gespeichert? |
Die meisten Teams, die ich sehe, betreiben mehrere davon gleichzeitig, ohne dass eine Bewertung der Übermittlung vorliegt, und mit einem Verzeichniseintrag, der "Google Analytics, Meta Pixel" nennt, ohne einen Mechanismus zu benennen. Der Shortener ist meist der kleinste Posten auf der Liste, weil eine Weiterleitung wenige Millisekunden dauert und das Klick-Log der einzige Datensatz ist, den sie erzeugt. Die browserseitigen Posten sind die, die auslösen, bevor ein EU-Server die Anfrage überhaupt sieht. Die praktischen Folgen davon behandelt Schrems II und Tracking-Pixel, und den Umgang mit Einwilligungen bei Kurzlinks finden Sie unter Cookie-Einwilligung für Kurzlinks.
Was serverseitige Weiterleitung ändert und was nicht
Bei einem serverseitigen Setup spricht der Browser des Besuchers nur mit der Weiterleitung. Ein Server sendet dann das Conversion-Ereignis an die API der Werbeplattform, etwa die Meta Conversions API oder das Measurement Protocol von Google Analytics 4 (beide Seiten abgerufen am 2026-10-24; die Seite von Meta ist eine skriptgerenderte Doku-Site, verlassen Sie sich also auf ihren aktuellen Text statt auf diese Zusammenfassung).
Was sich ändert. Die Übermittlung findet jetzt auf einer Infrastruktur statt, die Sie konfigurieren, mit Feldern, die Sie wählen, statt in einem Skript, das Sie kaum prüfen können. Ihr Verzeichniseintrag kann eine kontrollierte Server-zu-Server-Übermittlung beschreiben statt "browserseitig ausgelöst, Grundlage noch zu klären".
Was sich nicht ändert. Liegt der empfangende Endpunkt außerhalb des EWR, findet weiterhin eine Übermittlung statt. Für diese Teilstrecke brauchen Sie weiterhin SCC oder einen Weg über das Data Privacy Framework und einen Nachweis dazu. Serverseitige Weiterleitung verbessert Kontrolle und Datenminimierung. Sie ist keine Ausnahme, und Ihr DSB sollte das vor der Prüfung hören, nicht danach.
Elido kann heute Link-Klicks serverseitig an Google Analytics 4 (Measurement Protocol), Mixpanel, Klaviyo, Brevo und Datadog weiterleiten. Es leitet nicht an Meta oder TikTok weiter, und es leitet keine Käufe oder Conversions an irgendeine Plattform weiter. Ich habe die Forwarder im Code geprüft, und zwei Details sind für einen DSB wichtig. Mixpanel verwendet standardmäßig seinen US-Endpunkt, sofern Sie die Region des Projekts nicht auf EU oder Indien setzen; setzen Sie sie auf EU, wenn Ihr Projekt dort liegt, die Anleitung zur EU-Datenresidenz bei Mixpanel führt Sie durch. Fehlgeschlagene Zustellungen werden nach einer Sekunde einmal wiederholt und dann verworfen; betrachten Sie weitergeleitete Ereignisse daher als Best-Effort, nicht als Buchungsjournal. Deduplizierungs-IDs für Ereignisse und das Hashen von Kennungen sind noch nicht implementiert.
Warum die Liste der Unterauftragsverarbeiter das Dokument zum Lesen ist
Nach Artikel 28 Absatz 2 darf ein Auftragsverarbeiter ohne Ihre Genehmigung keine Unterauftragsverarbeiter hinzufügen, und eine allgemeine Genehmigung muss Ihnen erlauben, Ergänzungen zu widersprechen. In der Praxis wird daraus eine öffentliche Liste plus eine Ankündigungsfrist. Eine brauchbare Liste nennt den Anbieter, was er tut und wo die Daten verarbeitet werden, auf Ebene von Land oder Cloud-Region, und sie sagt, wie Änderungen angekündigt werden.
Die Liste von Elido steht unter /legal/subprocessors. Sie nennt derzeit 13 Anbieter, jeweils mit Zweck und Standort. Mehrere liegen außerhalb der EU oder haben einen Rückfall außerhalb der EU, und die Richtlinie sagt das und stützt sich dafür auf SCC. Dreizehn ist keine winzige Zahl, und ich möchte, dass Sie die Liste lesen, statt eine Zahl auf Vertrauen hinzunehmen: Der nützliche Test ist, ob Sie jede Zeile an einem Nachmittag prüfen können, mit einem Standort neben jeder. Die Vertragsbedingungen stehen im AVV, und die Datenschutzerklärung von Elido sagt 30 Tage Vorankündigung bei Änderungen der Liste zu.
Die acht schriftlichen Antworten, die Sie verlangen sollten
Stellen Sie diese Fragen jedem Marketing-Anbieter schriftlich, vor der Prüfung.
- Welche Hosting-Region hält neue Kundendaten, benannt bis zur Rechenzentrumsregion oder zumindest bis zum Land? "Die EU" allein ist keine Antwort.
- Ist diese Region im Standardvertrag festgeschrieben oder eine betriebliche Entscheidung, die der Anbieter ohne Ankündigung ändern kann?
- Ist ein Auftragsverarbeitungsvertrag, der Artikel 28 Absatz 3 abdeckt, vorab unterzeichnet verfügbar, noch vor dem Ende des Vertriebsgesprächs?
- Wie viele Unterauftragsverarbeiter gehören zur Standardkette, und wo wird bei jedem verarbeitet? Ist die Liste öffentlich und aus Ihrem Verzeichnis verlinkbar?
- Wird Conversion-Tracking serverseitig weitergeleitet, und welche Kennungen werden gehasht und welche im Klartext gesendet?
- Was geschieht mit der IP-Adresse des Besuchers in Klick-Logs: gekürzt, gehasht oder wie empfangen gespeichert, und wie lange?
- Wie wird eine Löschanfrage einer betroffenen Person ausgeführt, und erreicht sie den Speicher der Klick-Ereignisse?
- Welche unabhängigen Bescheinigungen hält der Anbieter heute, mit Datum, und welche sind nur geplant?
Zu Frage 6: Elido kürzt die IP des Besuchers am Edge (IPv4 auf /24, IPv6 auf /48), bevor der Klick gespeichert wird. Land, Region, Stadt und ungefähre Koordinaten werden zuerst abgeleitet und mit dem Klick behalten, und der vollständige User-Agent wird gespeichert, behandeln Sie die Klickzeile also als personenbezogene Daten. Zu Frage 8: SOC 2 ist in Vorbereitung, noch ohne ausgestellten Bericht, und Elido ist nicht nach ISO 27001 zertifiziert, keines von beiden ist also ein gehaltenes Zertifikat. Kunden mit Business-Tarif können einen HIPAA BAA erhalten. Messen Sie jeden Anbieter, uns eingeschlossen, an der Unterscheidung zwischen "gehalten" und "geplant".
Was Elido beansprucht und was nicht
Elido ist die Link-Ebene. Die Datenschutzerklärung besagt, dass operative Daten in EU-Rechenzentren gespeichert werden, wobei Datenbank, Analytics-Speicher und Backups in der EU liegen. Die Rechtsseiten nennen Redirect-Knoten in den USA und in Singapur, die Besucheranfragen verarbeiten und Link-Daten zwischenspeichern können, und das dort erzeugte Klick-Ereignis ist weiterhin ein an diesem Standort verarbeitetes personenbezogenes Datum, daher behaupte ich nicht, dass jeder Klick ausschließlich innerhalb der EU verarbeitet wird.
Die Region-Festlegung pro Workspace, etwa die Wahl eines Datenstandorts nur in den USA oder nur in Asien, gibt es bei Elido heute nicht. Akzeptieren Sie keine Vertragsformulierung, die sie voraussetzt. Die Compliance-Lösungsseite fasst den aktuellen Stand für Einkaufsteams zusammen.
Wenn Ihre Richtlinie lautet, dass keinerlei personenbezogene Daten von EU-Betroffenen den EWR verlassen dürfen, behebt das ein anderer Shortener nicht. Die Lösung ist, keine Conversion-Ereignisse an Plattformen außerhalb des EWR zu senden. Das ist eine Marketing-Entscheidung, keine Hosting-Entscheidung. Zur weiteren Frage EU- gegenüber US-Anbietern siehe EU-Alternativen zu US-SaaS, und zu den Pflichten der Auftragsverarbeiter siehe DSGVO für URL-Shortener.
Verwandt im Blog
Häufig gestellte Fragen
Was bedeutet EU-Datenresidenz bei einem Marketing-Tool?
Sie bedeutet, dass der Anbieter Ihre Daten in EU-Rechenzentren speichert und verarbeitet. Sie bedeutet nicht, dass nie personenbezogene Daten die EU verlassen. Pixel im Browser des Besuchers, serverseitige Weiterleitungen an Werbeplattformen und Support-Tools können jeweils Daten in ein Drittland übermitteln, und jede dieser Übermittlungen braucht nach Kapitel V der DSGVO ihre eigene Grundlage.
Reicht EU-Hosting für DSGVO-Konformität?
Nein. Der Hosting-Standort ist nur ein Faktor. Sie brauchen weiterhin einen Auftragsverarbeitungsvertrag nach Artikel 28, eine Rechtsgrundlage, einen Eintrag nach Artikel 30 und einen Übermittlungsmechanismus für jeden Unterauftragsverarbeiter oder jede Werbeplattform außerhalb des EWR. EU-Hosting verringert nur die Zahl der Übermittlungen, die Sie rechtfertigen müssen.
Macht serverseitiges Tracking Garantien für Übermittlungen überflüssig?
Nein. Wenn Sie einen Conversion-Aufruf vom Browser auf einen Server verlegen, ändert sich, wer die Daten sendet und was Sie kontrollieren; liegt die empfangende Plattform aber außerhalb des EWR, findet die Übermittlung trotzdem statt. Für diese Teilstrecke brauchen Sie weiterhin SCC oder einen Angemessenheitsweg wie das Data Privacy Framework.
Ist das EU-US Data Privacy Framework noch gültig?
Ja, zum 24. Oktober 2026 besteht der Angemessenheitsbeschluss vom 10. Juli 2023 fort. Das Gericht der Europäischen Union hat die Klage Latombe am 3. September 2025 abgewiesen, aber ein Rechtsmittel beim Gerichtshof (C-703/25 P) ist anhängig; halten Sie daher in Ihren Unterlagen eine Rückfalllösung wie SCC bereit.
Wie viele Unterauftragsverarbeiter sollte ein Link-Shortener haben?
Es gibt keine gesetzliche Zahl. Entscheidend ist, dass die Liste öffentlich ist, jeden Anbieter mit Zweck und Standort nennt und sich nur mit Vorankündigung ändert. Elido veröffentlicht 13, jeweils mit Zweck und Standort, und kündigt Änderungen 30 Tage im Voraus an.
Speichert Elido Klickdaten nur in der EU?
Laut Datenschutzerklärung von Elido werden operative Daten in EU-Rechenzentren gespeichert, mit einer primären Region in der EU. Die Rechtsseiten nennen außerdem Redirect-Knoten in den USA und in Singapur, die Besucheranfragen verarbeiten, sodass Besucher-IPs außerhalb der EU verarbeitet werden können. Serverseitige Weiterleitungen an Werbeplattformen, die Sie konfigurieren, verlassen die EU von vornherein.
Elido testen
URL einfügen, kurzer Link in Sekunden
Kein Konto nötig. Link bleibt 30 Tage aktiv. Konto erstellen, um ihn dauerhaft zu behalten.
Keine Anmeldung nötig. Kostenlos registrieren für 50 Links im Monat.