Jeder Redirect über einen URL-Shortener erzeugt ein Datenverarbeitungsereignis. Das Klick-Event enthält mindestens eine IP-Adresse, einen Zeitstempel und einen User-Agent-String. Unter Artikel 4(1) der GDPR kann diese Kombination personenbezogene Daten darstellen - der CJEU hat in Breyer (C-582/14, 2016) bestätigt, dass dynamische IP-Adressen personenbezogene Daten sind, wenn eine Organisation eine realistische Möglichkeit hat, das Individuum dahinter zu identifizieren. Dein Shortener hat diese Möglichkeit: er kontrolliert das Redirect-Log.
Dieser Post ist eine praktische Checkliste, um zu bewerten, ob ein URL-Shortener tatsächlich GDPR-freundlich ist. Ich gehe durch, was die Verordnung tatsächlich verlangt, wo beliebte Anbieter zurückbleiben, worauf in einem konformen Tool zu achten ist, und welche Trade-offs damit verbunden sind. Die Artikelverweise beziehen sich auf die Regulation (EU) 2016/679, die GDPR in der geltenden Fassung.
Was die GDPR von einem URL-Shortener verlangt
Ein URL-Shortener sitzt im Datenfluss zwischen deiner Kampagne und deinem Kunden. Wenn jemand auf einen Kurzlink klickt, sieht der Shortener den Klick, bevor die Zielseite ihn sieht. Das macht den Shortener zu einem Auftragsverarbeiter unter Artikel 4(8): er verarbeitet personenbezogene Daten in deinem Auftrag. Du bist der Verantwortliche; du entscheidest über den Zweck und die Mittel des Trackings. Der Shortener führt die Operation auf deine Weisung aus.
Diese Aufteilung erzeugt vier konkrete Verpflichtungen, die der Shortener erfüllen muss:
1. Ein schriftlicher Vertrag, der Artikel 28(3) abdeckt
Artikel 28(3) listet acht Anforderungen auf, die jeder Auftragsverarbeitungsvertrag enthalten muss: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, angemessene Sicherheit, Offenlegung von Sub-Processors, Unterstützung bei Betroffenenrechten, Unterstützung bei Sicherheits- und DPIA-Pflichten, Löschung oder Rückgabe bei Beendigung und Audit-Rechte. Ein Shortener ohne ein Data Processing Agreement (DPA), das jeden dieser Punkte adressiert, ist nicht procurement-ready für ein EU-Deployment.
2. Rechtsgrundlage für die Klick-Tracking-Ebene
Der Redirect selbst - einen Klick entgegenzunehmen und zum Ziel zu routen - ist erforderlich für den Dienst. Die Analytics-Schicht, die auf diesem Redirect aufsitzt - den Klick für Attribution, Kampagnenmessung, Retargeting zu erfassen - ist eine separate Verarbeitungsoperation, die ihre eigene Rechtsgrundlage unter Artikel 6 braucht. Die meisten B2B-Teams gründen Kampagnen-Analytics auf berechtigtem Interesse nach Artikel 6(1)(f); wenn der Shortener Drittanbieter-Retargeting-Pixel zum Redirect-Zeitpunkt injiziert, verschiebt sich die Grundlage zur Einwilligung nach Artikel 6(1)(a), was bedeutet, dass du vor dem ersten Klick einen Einwilligungs-Mechanismus brauchst.
3. Datenminimierung
Artikel 5(1)(c) verlangt, dass die Datenerhebung "dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt" ist. Für einen Shortener gilt dieses Prinzip direkt für das Klick-Event-Schema. Du brauchst Land-Level-Geo, die Gerätekategorie, den Zeitstempel und eine Klick-Kennung. Du brauchst die volle IP-Adresse über den Moment des Redirects hinaus nicht. Du brauchst mit großer Wahrscheinlichkeit den vollen User-Agent-String nicht - ein geparstes Tupel device.type / device.os trägt das Attributionssignal, ohne ein Fingerprinting-Vektor zu sein.
4. Compliance bei internationalen Übermittlungen
Wenn der Shortener Klick-Events außerhalb des EWR speichert oder verarbeitet, gelten Artikel 44 und Artikel 46. Übermittlungen in die USA erfordern entweder Standardvertragsklauseln (SCCs) plus eine Transfer Impact Assessment oder die Teilnahme am EU-US Data Privacy Framework, das selbst Gegenstand anhängiger Rechtsstreitigkeiten ist. Ein EU-gehosteter Shortener umgeht dieses Problem komplett.
Wo beliebte Shortener zurückbleiben
Bitly
Bitlys primäre Datenebene liegt in den Vereinigten Staaten. Laut ihrer öffentlichen Dokumentation stützen sich internationale Datenübermittlungen aus dem EWR auf Standardvertragsklauseln. Das DPA ist verfügbar, aber im Standardvertrag nicht vorab unterzeichnet - Enterprise-Kunden verhandeln es separat, was die Beschaffungsdauer erhöht. EU-only-Datenresidenz ist kein Standardangebot; es ist ein Gespräch über einen Sondervertrag.
Zwei weniger diskutierte Themen: Bitlys Analytics-Dashboard integriert sich mit Drittanbieter-Attributionsdiensten, und einige Plan-Tiers aktivieren Retargeting-Pixel-Injektion auf der Redirect-Ebene. Wenn Retargeting-Pixel feuern, bevor der Nutzer eingewilligt hat, ist das ein Artikel-6-Compliance-Problem für dich als Verantwortlichen. Der Shortener ist der Auftragsverarbeiter, aber die Hauptverantwortung dafür, die richtige Rechtsgrundlage zu haben, trägt der Verantwortliche.
Rebrandly
Rebrandly hat seinen Sitz in Dublin, was EU-freundlich klingt, aber die operative Frage ist, wo Daten verarbeitet werden, nicht wo das Unternehmen eingetragen ist. Laut ihrem DPA (abgerufen Mai 2026) stützen sich Datenübermittlungen aus dem EWR in die USA auf SCCs. EU-only-Verarbeitung ist Enterprise-Kunden zu Sonderkonditionen verfügbar. Der Standardvertrag bindet die Daten nicht an EU-Infrastruktur. Für Teams, die eine vertraglich durchsetzbare Residenzklausel von der Stange brauchen, erfordert Rebrandly eine Sonderverhandlung.
Rebrandly unterstützt außerdem Drittanbieter-Retargeting-Pixel nativ auf den meisten Plänen. Der Marketingwert ist real; die Compliance-Implikation ist, dass jedes Pixel, das für EU-Betroffene zur Redirect-Zeit feuert, eine Einwilligungs-Basis braucht, keine berechtigtes-Interesse-Basis, weil Verhaltensprofiling für Werbung in den meisten Auslegungen der Aufsichtsbehörden außerhalb der berechtigtes-Interesse-Grenze liegt.
TinyURL
TinyURL bietet ein sauberes Free-Tier und ist ein weit verbreiteter Consumer-Shortener. Es veröffentlicht keine Sub-Processor-Liste. Die Standardbedingungen enthalten kein DPA, das Artikel 28(3) erfüllt. Die Analytics-Schicht ist rudimentär und in den USA gehostet. Für B2B- oder Marketing-Teams mit EU-Betroffenen in ihrer Zielgruppe ist TinyURL nicht procurement-ready.
Das generelle Problem US-gehosteter Shortener
Viele Anbieter, die primär für US-Kunden operieren, behandeln GDPR-Compliance als Häkchen statt als architektonische Einschränkung. Die Anzeichen, auf die zu achten ist: ein "GDPR compliant"-Abzeichen auf der Preisseite ohne Link zu einem DPA, eine Sub-Processor-Liste, die keine Hosting-Regionen nennt (nur Hyperscaler-Namen ohne Regionen), ein Löschprozess, der über den Support läuft statt über einen dokumentierten API-Endpoint, und keine Erwähnung von IP-Truncation oder Datenminimierungs-Defaults.
"GDPR compliant" als Marketing-Aussage bedeutet nichts ohne ein DPA, das auf Artikel 28(3) abgebildet ist, eine aktuelle und regional-spezifische Sub-Processor-Liste und Belege, dass die Standard-Erhebung Minimierung anwendet, statt dich zu zwingen, sie aktiv einzuschalten.
Die Checkliste für GDPR-freundliche Shortener
Dies sind die zehn Fragen, die du schriftlich stellen solltest, bevor du einen Vertrag mit einem URL-Shortener unterzeichnest, der Klickdaten zu EU-Betroffenen verarbeiten wird.
1. Wo werden die Daten verarbeitet, und ist das eine vertragliche Zusage?
Frag nach der Hyperscaler-Region - nicht nur dem Cloud-Anbieter. "AWS" ist keine Antwort; "AWS eu-central-1 (Frankfurt)" schon. Wichtiger: frag, ob diese Region eine bindende Klausel im Standardvertrag ist oder eine operative Praxis, die ohne deine Zustimmung geändert werden kann. Unter Artikel 44 brauchen Übermittlungen außerhalb des EWR eine Rechtsgrundlage; du willst die Residenzzusage im Vertrag, damit du die Analyse nicht jedes Mal wiederholen musst, wenn der Anbieter seine Infrastruktur aktualisiert.
2. Ist das DPA vorab unterzeichnet, und deckt es Artikel 28(3) vollständig ab?
Ein DPA, das im Standardvertrag vorab unterzeichnet ausgeliefert wird, signalisiert, dass der Anbieter GDPR-Compliance als Basis behandelt, nicht als Verhandlung. Lies das DPA gegen die acht Unterabsätze von Artikel 28(3). Jeder muss adressiert sein. Achte besonders auf Absatz (d) - Einbindung von Sub-Processors - und Absatz (h) - Audit-Rechte. Generische Formulierungen wie "wir nutzen branchenübliche Sicherheitspraktiken" anstelle der konkreten Pflichten sind ein Warnzeichen.
3. Wie viele Sub-Processors, und sind sie mit Regionen benannt?
Jeder Sub-Processor ist ein weiteres Glied in der Übermittlungskette. Eine kurze Liste mit benannten Regionen (EU-Compute-Anbieter in der EU-Region, E-Mail-Anbieter in US East, etc.) ist in einem einzigen Review prüfbar. Eine lange Liste mit vagen Anbieternamen ist eine Wartungslast und ein Residenzrisiko. Unter Artikel 28(2) muss jeder Sub-Processor dieselben Datenschutzpflichten akzeptieren wie der Auftragsverarbeiter. Frag, wie lang die Benachrichtigungsfrist für neue Sub-Processors ist und ob du ein Widerspruchsrecht hast.
4. Kürzt oder hasht der Shortener IP-Adressen, bevor er sie speichert?
Volle IP-Adress-Speicherung ist für die Analytics-Anwendungsfälle, die ein Shortener unterstützt, selten erforderlich. Land-Level-Geolokalisierung und Bot-Erkennung können zur Redirect-Zeit aus der vollen IP durchgeführt und das Ergebnis gespeichert werden; die rohe IP kann dann verworfen oder gekürzt werden. Unter Artikel 5(1)(c) ist es ein Verstoß gegen das Prinzip der Datenminimierung, mehr Daten als der Zweck verlangt zu speichern. Frag, ob IP-Truncation oder Hashing der Default ist, oder ob du sie aktiv einschalten musst. Default-Minimierung ist die richtige Architektur; Opt-in-Minimierung verschiebt das Compliance-Risiko auf dich.
5. Injiziert der Redirect Drittanbieter-Skripte oder -Pixel?
Manche Shortener bieten Retargeting-Pixel-Injektion als Feature an: wenn ein Besucher auf deinen Kurzlink klickt, lädt der Shortener vor oder während des Redirects ein Meta Pixel, einen Google Tag oder ein ähnliches Drittanbieter-Skript. Für EU-Betroffene ist das Laden eines Drittanbieter-Verhaltens-Tracking-Skripts ohne vorherige Einwilligung ein Verstoß gegen Artikel 6 und, abhängig davon, ob Cookies gesetzt werden, gegen die ePrivacy-Richtlinie. Wenn dein Shortener Pixel-Injektion anbietet, muss dieses Feature für EU-Traffic deaktiviert oder per Einwilligung gegated werden. Wenn der Anbieter nicht bestätigen kann, dass zur Redirect-Zeit standardmäßig keine Drittanbieter-Skripte laden, teste es selbst mit geöffneter Network-Tab.
6. Gibt es einen API-Endpoint für Löschanfragen?
Artikel 17 gibt betroffenen Personen das Recht, ihre personenbezogenen Daten "ohne unangemessene Verzögerung" löschen zu lassen, wenn spezifische Gründe greifen. Wenn du eine Löschanfrage erhältst, die sich auf Klickdaten bezieht, die dein Shortener hält, brauchst du einen Mechanismus, um darauf zu reagieren. Ein API-Endpoint, der eine Subject-ID akzeptiert und zugehörige Klick-Events löscht, ist die operativ richtige Antwort. Löschung-per-Support-Ticket ist in den meisten Auslegungen der Aufsichtsbehörden nicht "ohne unangemessene Verzögerung" und ist bei nennenswertem Klick-Volumen kein skalierbares Muster.
Die Komplikation: Klick-Events leben oft in einer spaltenorientierten Append-only-Analytics-Datenbank (zum Beispiel BigQuery oder Snowflake). Ein Anbieter, der Klick-Events so speichert, muss demonstrieren, dass die Löschung echt ist - ein DELETE gegen die relevante Partition - und nicht nur ein Soft-Flag. Frag nach dem Artikel-17-SLA des Anbieters und nach dem technischen Mechanismus dahinter.
7. Was ist das Breach-Notification-SLA?
Artikel 33 verlangt vom Verantwortlichen, seine Aufsichtsbehörde "ohne unangemessene Verzögerung und nach Möglichkeit binnen 72 Stunden, nachdem ihm der Vorfall bekannt geworden ist" über eine Datenschutzverletzung zu informieren. Damit diese Uhr funktioniert, musst du deinen Auftragsverarbeiter dazu bringen, dich deutlich schneller zu benachrichtigen - die Industrie-Norm sind 24 Stunden ab Kenntnis zur Benachrichtigung des Verantwortlichen. Dein DPA sollte dieses SLA spezifizieren. "Wir werden Sie umgehend benachrichtigen" ist keine Zahl.
8. Nutzt der Shortener standardmäßig cookielose First-Party-Analytics?
Viele Shortener bauen ihr eigenes Analytics-Dashboard auf einem Drittanbieter-Produktanalytics-Tool (Mixpanel, Amplitude, Segment) auf, das US-gehostet ist und persistente Identifier in Cookies oder Local Storage setzen kann. Für die eigenen Produktanalytics des Shorteners (das Tracking deiner Nutzung des Dashboards) ist das eine separate Angelegenheit. Die für Klick-Tracking relevante Frage ist, ob der Redirect-Flow Cookies oder persistente Identifier ohne Einwilligung im Browser des Besuchers setzt.
Ein cookieloses Klick-Event - eines, das Land, Gerät und Referrer aus den Request-Headern ableitet, ohne clientseitigen State zu setzen - verlangt nach den meisten Leitlinien der Aufsichtsbehörden keinen Einwilligungsmechanismus für First-Party-Analytics, sofern die Daten unter berechtigtem Interesse verarbeitet werden und der Datenschutzhinweis zugänglich ist. Ein Redirect, der einen persistenten Identifier setzt oder einen Drittanbieter-Tag lädt, erfordert ein Einwilligungs-Gate. Wisse, welches dein Shortener verwendet.
9. Gibt es einen Transparenzhinweis, der den Link-Empfängern zugänglich ist?
Artikel 13 verlangt, dass Personen, deren Daten erhoben werden, zum Zeitpunkt der Erhebung über die Verarbeitung informiert werden, sofern keine Ausnahme greift. Für Klick-Tracking auf einem Kurzlink lautet die praktische Frage: wie weiß die Person, die den Link klickt, dass ihr Klick getrackt wird, und wo kann sie darüber nachlesen?
Die meisten Shortener-Deployments erfüllen das über den Datenschutzhinweis des Verantwortlichen auf der Zielseite oder in einem Cookie-Banner auf der ausgehenden Kampagnenseite. Der Shortener als Auftragsverarbeiter muss dem Klickenden keinen eigenen Hinweis anzeigen - aber du als Verantwortlicher brauchst einen Datenschutzhinweis, der die Link-Tracking-Verarbeitungskette abdeckt. Wenn die Datenschutzerklärung des Shorteners das einzige Dokument ist, das die Verarbeitung beschreibt, und sie aus Anbieter- statt aus Verantwortlichen-Perspektive geschrieben ist, hast du eine Lücke.
10. Kannst du deine eigenen Daten ohne Support-Kontakt herunterladen und löschen?
Das ist ein praktischer Test dafür, ob ein Anbieter Betroffenenrechte, die er beansprucht, tatsächlich operationalisiert. Du solltest in der Lage sein: alle Klick-Events für einen Workspace in einem portablen Format zu exportieren, einzelne Links und die zugehörige Klick-Historie zu löschen und das Konto mit dokumentierter Löschung aller personenbezogenen Daten zu beenden. Wenn eines dieser Dinge eine Support-Anfrage statt einer Self-Service-API oder Dashboard-Aktion erfordert, frag nach dem SLA und setz es in den Vertrag.
Die Trade-offs
GDPR-freundliche Architektur bringt echte Trade-offs mit sich, und ehrlich darüber zu sein ist nützlicher, als so zu tun, als hätten die Compliance-Einschränkungen keine Kosten.
Gröbere Analytics. Ein Shortener, der IPs auf /24 kürzt und den vollen User-Agent-String verwirft, liefert dir Land, Gerätefamilie und OS - aber kein City-Level-Targeting, keinen individuellen Browser-Fingerprint und keine sitzungsübergreifende Identitätsauflösung, die volle Daten ermöglichen würden. Für die meisten Kampagnen-Attributions-Anwendungsfälle ist diese Auflösungsstufe ausreichend. Für Retargeting auf Individuumsebene brauchst du einen anderen Ansatz - typischerweise serverseitiges Conversion-Forwarding gegen einen First-Party-Identifier, den der Nutzer bereits geteilt hat (E-Mail-Adresse, eingeloggte User-ID), was nicht verlangt, dass der Shortener das Individuum auf der Redirect-Ebene trackt.
Kleinere Feature-Fläche. Einige der mächtigsten Shortener-Features - Retargeting-Pixel-Injektion, Cross-Domain-Tracking, tiefe Integration mit Drittanbieter-Werbeplattformen - basieren auf Datenerhebungspraktiken, die schwer mit Datenminimierung in Einklang zu bringen sind. Ein GDPR-freundlicher Shortener neigt zu einem saubereren Redirect, der weniger auf der Redirect-Ebene tut und mehr in die Conversion-Event-Ebene routet, wo der Verantwortliche eine direkte Beziehung zum Nutzer hat und das Tracking auf Einwilligung gründen kann.
Procurement-Aufwand. Die Wahl eines EU-gehosteten Shorteners mit vorab unterzeichnetem DPA reduziert den Beschaffungszyklus gegenüber einem US-gehosteten Anbieter, der für EU-Residenz einen Sondervertrag verlangt. Sie eliminiert den Zyklus nicht. Du musst trotzdem das DPA prüfen, die Sub-Processor-Liste checken, das Lösch-SLA validieren und bestätigen, dass die IP-Truncation- und Cookie-Defaults zu deinem Datenschutzhinweis passen. Veranschlage zwei bis vier Stunden Beschaffungsaufwand für einen GDPR-freundlichen Shortener gegenüber zwei bis acht Wochen für einen US-gehosteten Anbieter, bei dem EU-Residenz Sondervertragsverhandlungen erfordert.
Wie Elido das angeht
Wo es für diese Checkliste relevant ist, hier wie Elidos Standard-Deployment aussieht.
Datenresidenz. Elido verarbeitet Klick-Events standardmäßig auf EU-Infrastruktur in der EU-Region. Die Residenz ist eine bindende Klausel im Standardkundenvertrag, keine operative Praxis. Business+-Kunden können an andere Regionen pinnen; der Default übermittelt keine Daten außerhalb des EWR.
IP-Truncation. In unserem Analysespeicher gespeicherte Klick-Events enthalten das /24- (IPv4) oder /48- (IPv6) Netzwerkpräfix, nicht die volle IP-Adresse. Geo- und Bot-Erkennung laufen zur Redirect-Zeit auf der vollen IP, und die volle IP wird verworfen, bevor das Event persistiert wird. Das ist der Default; du musst es nicht konfigurieren.
Drittanbieter-Pixel zur Redirect-Zeit. Die Redirect-Ebene lädt keine Drittanbieter-Skripte. Serverseitiges Conversion-Forwarding - Attribution-Daten an Meta CAPI, GA4 oder ähnliches senden - ist ein optionales, separat konfiguriertes Feature, das First-Party-Event-Daten verwendet, die du an die Elido-API POSTest, kein zur Redirect-Zeit injiziertes Pixel. Diese sind architektonisch unterschiedlich: eines feuert ohne Wissen des Besuchers aus dem Redirect, das andere ist ein Server-to-Server-Aufruf, der auf Daten basiert, die der Besucher bereits mit dir geteilt hat.
DPA. Elidos DPA ist im Standardkundenvertrag vorab unterzeichnet. Es adressiert alle acht Unterabsätze von Artikel 28(3). Sub-Processors sind auf der Trust-Seite mit benannten Regionen aufgelistet. Die Seite legal/privacy deckt die Verarbeitungskette ab, die für Link-Empfänger sichtbar ist.
Recht auf Löschung. Artikel-17-Löschanfragen propagieren innerhalb von 24 Stunden in den Klick-Event-Store. Die Löschung ist eine Partition-Level-Operation, kein Soft-Flag.
Cookielose Analytics. Die Redirect-Ebene setzt keine Cookies. Klick-Events sind ausschließlich serverseitig. Das Analytics-Dashboard, das Elido intern ausliefert, nutzt Plausible im cookielosen Modus für Produkttelemetrie; das ist getrennt vom Klick-Event-Recording für deine Kampagnen.
Was Elido noch nicht hat: SOC 2 Type II (in Arbeit, Ziel H2 2026), eine Self-Service-DPIA-Vorlage für Kunden und eine vollständig automatisierte Subject-Access-Request-API für weniger gängige Auskunftsrecht-Szenarien. Details zu aktuellen Bescheinigungen findest du auf der Trust-Seite.
Migrations-Checkliste für den Wechsel von einem Nicht-EU-Shortener
Falls du derzeit einen US-gehosteten Shortener nutzt und auf einen EU-gehosteten wechseln musst, hier eine komprimierte operative Checkliste.
Vor Unterzeichnung des neuen Vertrags:
- Lies das DPA des neuen Anbieters gegen Artikel 28(3). Bestätige, dass alle acht Punkte explizit abgedeckt sind.
- Prüfe die Sub-Processor-Liste. Bestätige, dass Hosting-Regionen benannt sind, nicht nur Cloud-Anbieter.
- Bestätige den IP-Truncation-Default. Frag nach schriftlicher Bestätigung, falls es nicht in der Produktdokumentation steht.
- Bestätige das Artikel-17-SLA und den technischen Mechanismus.
- Prüfe, ob Retargeting-Pixel zur Redirect-Zeit feuern. Falls ja, bestätige, dass sie vollständig deaktivierbar sind oder per Einwilligung gegated werden können.
Während der Migration:
- Exportiere deine bestehenden Kurzlinks als CSV. Verifiziere, dass Custom Slugs von der neuen Plattform erhalten bleiben, bevor du DNS anfasst.
- Provisioniere alle Links auf der neuen Plattform unter derselben Custom Domain und denselben Slugs, bevor du den CNAME umlegst.
- Lass nach dem CNAME-Wechsel 24-48 Stunden für DNS-Propagation. Beide Plattformen liefern in diesem Fenster gültige Antworten, wenn die Slugs übereinstimmen.
- Migriere keine historischen Klickdaten von der alten Plattform - die Chain of Custody für alte Klick-Events bleibt beim alten Auftragsverarbeiter, bis du Löschrechte ausübst.
Nach der Migration:
- Stelle eine Löschanfrage beim alten Anbieter für alle personenbezogenen Daten, die mit deinem Workspace verknüpft sind. Bestätige den Empfang und die Löschzeitlinie.
- Aktualisiere deinen Datenschutzhinweis, um den neuen Auftragsverarbeiter, seine Sub-Processors und die neue Datenresidenz widerzuspiegeln.
- Prüfe alle Cookie-Banner oder Einwilligungs-Mechanismen, die auf Tracking-Features des alten Shorteners verwiesen haben. Passe den Scope an, wenn die Default-Erhebung der neuen Plattform schmaler ist.
Das migrate from Bitly playbook deckt die technischen Mechaniken des Link-Imports und der DNS-Übergabe in mehr Detail ab.
Was vor dem Vertrauen einer GDPR-Aussage zu verifizieren ist
Jeder Shortener kann "GDPR compliant" auf eine Preisseite schreiben. Die Aussage ist nicht reguliert und trägt für sich allein keine rechtliche Wirkung. Die Artefakte, die Gewicht tragen, sind:
- Ein DPA, das auf Artikel 28(3) Unterabsatz für Unterabsatz abgebildet ist.
- Eine Sub-Processor-Liste, die Anbieter, Regionen und geteilte Datenkategorien nennt.
- Ein Datenschutzhinweis, der Link-Empfängern zugänglich ist und die Verarbeitungskette beschreibt - das erfüllt Artikel 13.
- Dokumentierte IP-Handhabung, die Truncation oder Hashing vor der Persistenz bestätigt.
- Ein Artikel-17-Lösch-SLA mit einem benannten technischen Mechanismus.
- Unabhängige Bescheinigung (ISO 27001 ist die Untergrenze; SOC 2 Type II fügt Vertrauen für US/internationale Beschaffung hinzu).
Wenn ein Anbieter all das nicht innerhalb eines Geschäftstages schriftlich liefern kann, ist die "GDPR compliant"-Aussage Marketing-Copy statt einer dokumentierten Compliance-Haltung.
Für die artikelweise rechtliche Analyse hinter dieser Checkliste deckt der GDPR for URL shorteners cornerstone die Artikel 3, 6, 28, 30, 32 und 35 in der Tiefe ab, mit Zitaten der Aufsichtsbehörden. Beschaffungsgewandte Artefakte: Elidos privacy policy, terms of service und pricing - das DPA ist auf jedem bezahlten Tier in den Standardvertrag gebundelt.
Verwandt im Blog
Elido testen
URL einfügen, kurzer Link in Sekunden
Kein Konto nötig. Link bleibt 30 Tage aktiv. Konto erstellen, um ihn dauerhaft zu behalten.
Kostenlos, keine Anmeldung erforderlich · 2 pro Tag