Ein DSGVO-freundlicher URL-Shortener tut vier Dinge: Er schließt einen Auftragsverarbeitungsvertrag (AVV) ab, der Artikel 28 Absatz 3 abdeckt, er speichert nur so viele Klickdaten, wie der Zweck braucht, er kann diese Daten auf Anfrage löschen, und er löst bei der Weiterleitung keine Drittanbieter-Pixel aus. Alles andere auf einer Preisseite ("DSGVO-konform", ein Badge) ist Marketing, bis Sie diese vier schriftlich sehen.
Ein Klick erzeugt eine Log-Zeile: IP-Adresse, Zeitstempel, User-Agent, meist ein Referrer. Nach Artikel 4 Nummer 1 kann das ein personenbezogenes Datum sein, und der EuGH hat das für dynamische IPs in Breyer (C-582/14) so festgestellt. Ihr Shortener hält dieses Log, ist also Auftragsverarbeiter, und Sie sind der Verantwortliche. Dieser Beitrag ist die Kurzfassung der Vertragsprüfung: zehn Prüfpunkte, was drei bekannte Anbieter veröffentlichen, und wo Elido selbst Lücken hat. Für die rechtliche Herleitung Artikel für Artikel lesen Sie den Cornerstone-Beitrag zur DSGVO für URL-Shortener. Wo Ihre übrigen Marketing-Tools Daten speichern, steht unter EU-Datenresidenz für Marketing-Tools; das wiederhole ich hier nicht.
Was die DSGVO von einem Link-Shortener verlangt
Vier Pflichten fallen auf die Seite des Shortener, und jede lässt sich auf etwas abbilden, das Sie anfordern können.
Ein Vertrag, der Artikel 28 Absatz 3 erfüllt. Artikel 28 Absatz 3 verlangt dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Kontrollen für Unterauftragsverarbeiter, Unterstützung bei Anfragen betroffener Personen, Unterstützung bei Pflichten zu Datenpannen und Datenschutz-Folgenabschätzung, Löschung oder Rückgabe bei Vertragsende und Prüfrechte. Ohne solchen Vertrag kein Einsatz in der EU.
Eine Rechtsgrundlage für die Analytics-Ebene. Die Weiterleitung ist notwendig, um den Link auszuliefern. Den Klick für Berichte zu erfassen, ist ein separater Vorgang. Die meisten Teams stützen sich für einfache Zählungen auf das berechtigte Interesse (Artikel 6 Absatz 1 Buchstabe f). Sobald die Weiterleitung ein Werbepixel lädt, sind Sie im Bereich der Einwilligung.
Datenminimierung. Artikel 5 Absatz 1 Buchstabe c beschränkt Sie auf das Notwendige. Land, Geräteklasse, Referrer und Zeitstempel beantworten die meisten Kampagnenfragen. Die vollständige IP und ein roher User-Agent-String verdienen sich ihren Platz meist nicht.
Ein rechtmäßiger Übermittlungsweg. Verlassen Klickdaten den EWR, gelten die Artikel 44 und 46: SCC mit einer Bewertung der Übermittlung oder eine Zertifizierung nach dem Data Privacy Framework, die weiterhin umstritten ist.
Was Bitly, Rebrandly und TinyURL veröffentlichen
Ich habe die eigenen Rechtsseiten jedes Anbieters am 2026-10-24 gelesen (abgerufen am 2026-10-24). Wo eine Seite nicht geladen wurde oder nichts sagte, mache ich keine Aussage.
| Anbieter | Datenstandort | Übermittlungsmechanismus | AVV |
|---|---|---|---|
| Bitly | Datenschutzerklärung sagt, Daten "may be transferred outside the European Union and the European Economic Area, including, but not limited to, the United States" | SCC und eine angegebene Zertifizierung nach EU-U.S. DPF | Die Datenschutzerklärung erwähnt keinen AVV; sie nennt eine Vereinbarung über gemeinsame Verantwortliche zwischen Bitly Inc. und Bitly Europe GmbH |
| Rebrandly | AVV Anhang 1: AWS-Server "located mainly in the United States"; Abschnitt 6.3.1: primäre Verarbeitungseinrichtungen in den USA; keine EU-Region genannt | SCC (Modul Zwei, Verantwortlicher an Auftragsverarbeiter); DPF nicht erwähnt | Ja, der AVV ist Bestandteil des Subscription Agreement (der Nutzungsbedingungen) |
| TinyURL | Die Richtlinienseiten wurden bei mir nicht geladen (nur ein Seitentitel kam zurück) | Nicht angegeben | Nicht angegeben |
Quellen: Datenschutzerklärung von Bitly, AVV von Rebrandly, Nutzungsbedingungen von TinyURL und Datenschutzerklärung.
Lesen Sie diese Tabelle als das, was sie ist. Bitly und Rebrandly stützen sich beide auf anerkannte Übermittlungsinstrumente und sagen das offen; keiner veröffentlicht auf den von mir geprüften Seiten eine Zusage zur Verarbeitung ausschließlich in der EU, auch wenn ein individueller Enterprise-Vertrag eine anbieten kann. Zu TinyURL kann ich Ihnen nichts sagen, weil die abgerufenen Seiten keinen Richtlinientext lieferten. Wenn es für Sie zählt, fragen Sie TinyURL direkt nach AVV und Liste der Unterauftragsverarbeiter und warten Sie die Antwort ab, bevor Sie kaufen. Preise sind eine eigene Frage, und ich habe für diesen Beitrag keine Tarifpreise eines Anbieters geprüft.
Zehn Prüfpunkte vor Vertragsabschluss
Stellen Sie jeden davon dem Anbieter schriftlich. Jeder prüft einen bestimmten Artikel.
1. Wo werden Klickdaten gespeichert, und ist das eine Vertragsbedingung?
Fragen Sie nach der Region, nicht nach der Cloud-Marke. "AWS" ist keine Antwort. Fragen Sie dann, ob die Region im Vertrag steht oder nur der aktuellen Praxis entspricht, die der Anbieter ändern kann.
2. Deckt der AVV alle Punkte von Artikel 28 Absatz 3 ab?
Lesen Sie ihn gegen die acht Punkte. Schauen Sie genau auf die Hinzuziehung von Unterauftragsverarbeitern und die Prüfrechte; vage Formulierungen wie "branchenübliche Sicherheit" an deren Stelle sind ein Warnzeichen.
3. Sind Unterauftragsverarbeiter mit Regionen und einer Ankündigungsfrist benannt?
Jeder Unterauftragsverarbeiter verlängert die Übermittlungskette. Eine kurze, aktuelle Liste mit Regionen lässt sich in einer Sitzung prüfen. Fragen Sie, wie viel Vorlauf Sie bei einem neuen bekommen und ob Sie widersprechen können.
4. Was genau wird pro Klick gespeichert?
Lassen Sie sich die Feldliste geben. Wird die IP vollständig, gekürzt oder gehasht gespeichert? Wird Geolokalisierung auf Stadtebene aufbewahrt? Minimierung als Standard ist das richtige Design; Minimierung per Opt-in lässt das Risiko bei Ihnen.
5. Lädt die Weiterleitung ein Drittanbieter-Skript?
Pixel-Injektion zum Zeitpunkt der Weiterleitung braucht bei EU-Besuchern zuerst eine Einwilligung. Öffnen Sie den Network-Tab, klicken Sie in einem sauberen Browserprofil einen Testlink an und sehen Sie nach, was vor dem Ziel lädt.
6. Wie funktioniert die Löschung bei Klickdaten?
Artikel 17 sagt "unverzüglich". Klickzeilen tragen selten einen Namen, fragen Sie also, wie der Anbieter die Zeilen einer Person findet und löscht und wie lange das dauert.
7. Wie lang ist die Frist zur Meldung von Datenpannen?
Sie haben 72 Stunden, um Ihre Aufsichtsbehörde zu informieren, nachdem Sie davon erfahren haben. Ihr Auftragsverarbeiter braucht im AVV eine kürzere, numerische Zusage. "Unverzüglich" ist keine Zahl.
8. Setzt die Weiterleitung Cookies oder dauerhafte Kennungen?
Eine Weiterleitung, die Land und Gerät aus Request-Headern ableitet und nichts im Browser setzt, ist leicht zu verteidigen. Eine, die eine Kennung setzt, braucht eine Einwilligungsschranke. Prüfen Sie die Response-Header selbst.
9. Können die Empfänger von dem Tracking erfahren?
Die Transparenz nach Artikel 13 ist größtenteils Ihre Aufgabe als Verantwortlicher: Ihr Datenschutzhinweis muss die Kette des Link-Trackings abdecken. Eine aus Sicht des Anbieters geschriebene Anbieter-Richtlinie erledigt das nicht für Sie.
10. Können Sie ohne Ticket exportieren und löschen?
Klickereignisse exportieren, Links samt Verlauf löschen und das Konto mit dokumentierter Löschung schließen. Wenn eines davon eine Support-Anfrage braucht, lassen Sie sich die Bearbeitungsdauer im Vertrag zusichern.
Die Abwägungen
Minimierte Daten kosten Sie etwas Analytics. Ohne die vollständige IP und den rohen User-Agent verlieren Sie die Genauigkeit auf Stadtebene und die sitzungsübergreifende Identität. Für die Kampagnenzuordnung genügen Land, Gerät und Referrer. Für Retargeting auf Personenebene nutzen Sie serverseitige Conversion-Weiterleitung, die auf einer Kennung beruht, die der Nutzer Ihnen bereits gegeben hat, etwa einer Login-ID, statt bei der Weiterleitung zu tracken.
Außerdem verzichten Sie auf einige Funktionen. Pixel-Injektion und domainübergreifendes Tracking hängen von einer Erfassung ab, die sich schlecht mit Minimierung verträgt. Ein DSGVO-freundlicher Aufbau hält die Weiterleitung schlicht und verlegt die Messung auf das Conversion-Ereignis, wo Sie eine direkte Beziehung zum Nutzer haben. Die Beschaffung kostet weiterhin Aufwand: Rechnen Sie damit, AVV, Liste der Unterauftragsverarbeiter und Löschprozess zu lesen, egal für welchen Anbieter Sie sich entscheiden. Siehe auch Klick-Attribution nach Safari ITP und Schrems II und Tracking-Pixel.
Wo Elido heute steht
Ich habe das am 2026-11-12 am Code geprüft, und manches davon ist nicht schmeichelhaft.
- Klickdaten. Das Edge kürzt die IP des Besuchers (IPv4 auf /24, IPv6 auf /48), bevor der Klick gespeichert wird. Land, Region, Stadt und ungefähre Koordinaten werden zuerst abgeleitet und behalten, und der vollständige User-Agent wird gespeichert. Keine Einstellung behält die vollständige IP, und ein No-Personal-Data-Modus existiert nur über die API.
- Pixel. Eine einfache Weiterleitung lädt kein Drittanbieter-Skript. Ein Link kann sich für eine Splash-Seite entscheiden, die vor der Weiterleitung Pixel von Meta, Google, LinkedIn oder TikTok auslöst; wenn Sie das für EU-Besucher nutzen, brauchen Sie eine Einwilligungsgrundlage. Die Klick-Weiterleitung an GA4, Mixpanel, Klaviyo, Brevo oder Datadog sendet Klick-Events an diese Anbieter, führen Sie sie also in Ihren Verzeichnissen auf.
- Löschung. Der Admin-Workflow für Betroffenenrechte kann ein Konto exportieren und löschen (der Nutzerdatensatz wird anonymisiert; Abrechnungsdaten werden nach Artikel 17(3)(b) aufbewahrt). Dieselbe Anfrage kann die Klickdaten der Workspaces löschen, die die Person allein besitzt, und für einen Link-Besucher alle Klicks aus seinem gekürzten Netz, eingegrenzt auf einen Browser, wenn er den User-Agent nennt. Klick-Zeilen laufen außerdem nach einem planabhängigen Fenster ab: 90 Tage in Free, ein Jahr in Pro, zwei Jahre in Business.
- Vertrag und Unterauftragsverarbeiter. Ein AVV mit EU-SCCs ist auf jedem Plan auf Anfrage erhältlich, auch im Free-Tier; er wird nicht beim Checkout akzeptiert, und ein Download ist nicht veröffentlicht. Die Liste der Unterauftragsverarbeiter (13 Anbieter) und die Datenschutzerklärung sind veröffentlicht. Die Daten werden in der EU gespeichert, aber Redirect-Knoten außerhalb der EU verarbeiten weiterhin Besucheranfragen, und eine Regionswahl pro Workspace gibt es noch nicht. Lesen Sie sie selbst gegen die Prüfungen 1 bis 3, und Zertifizierungen finden Sie auf der Trust-Seite.
Wenn Sie von einem anderen Anbieter wechseln, behandelt das Bitly-Migrations-Playbook den Link-Import und die DNS-Übergabe. Senden Sie nach der Umstellung dem alten Anbieter einen Löschantrag für Ihren Workspace, aktualisieren Sie Ihren Datenschutzhinweis um den neuen Auftragsverarbeiter und prüfen Sie jedes Consent-Banner, das sich auf das Tracking des alten Tools bezog. Zu den Tarifen siehe Preise.
Was Sie prüfen sollten, bevor Sie einer Aussage "DSGVO-konform" trauen
Das Label ist nicht reguliert und hat kein rechtliches Gewicht. Die Unterlagen, die es haben: ein AVV, der auf Artikel 28 Absatz 3 abgebildet ist, eine Liste der Unterauftragsverarbeiter mit Regionen, eine feldgenaue Beschreibung dessen, was ein Klick speichert, ein Löschprozess, den Sie testen können, und eine numerische Meldefrist bei Datenpannen. Wenn ein Anbieter diese nicht innerhalb eines Werktags senden kann, betrachten Sie das Badge als Werbetext.
Verwandt im Blog
Häufig gestellte Fragen
Ist ein URL-Shortener nach der DSGVO ein Auftragsverarbeiter?
Ja, im üblichen Aufbau. Sie entscheiden, warum und wie Klicks gemessen werden, sind also der Verantwortliche, und der Shortener verarbeitet die Klickdaten auf Ihre Weisung. Dafür ist ein schriftlicher Vertrag nach Artikel 28 Absatz 3 nötig.
Ist eine IP-Adresse in einem Klick-Log ein personenbezogenes Datum?
Ja. Der EuGH hat in der Rechtssache Breyer (C-582/14) entschieden, dass eine dynamische IP-Adresse ein personenbezogenes Datum ist, wenn der Inhaber rechtliche Mittel hat, die dahinterstehende Person zu identifizieren. Ein Shortener, der die vollständige IP neben einem Zeitstempel protokolliert, befindet sich in dieser Lage.
Brauche ich eine Einwilligung, um Klicks auf Kurzlinks zu tracken?
Nicht immer. Serverseitiges Klickzählen mit minimalen Feldern stützt sich oft auf das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f, aber das Laden von Werbepixeln oder das Setzen von Kennungen bei EU-Besuchern erfordert meist eine Einwilligung, und für den Zugriff auf das Endgerät gelten die ePrivacy-Regeln.
Verstößt ein in den USA gehosteter Shortener gegen die DSGVO?
Nicht automatisch. Übermittlungen in die USA sind mit einem gültigen Mechanismus rechtmäßig, etwa Standardvertragsklauseln plus einer Bewertung der Übermittlung oder einer Zertifizierung nach dem Data Privacy Framework. Sie bringen Papierkram und rechtliches Risiko mit, die ein EU-gehostetes Tool nicht hat.
Was sollte der AVV eines Shortener enthalten?
Alles, was Artikel 28 Absatz 3 aufführt: dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Regeln für Unterauftragsverarbeiter, Unterstützung bei Anfragen betroffener Personen, Unterstützung bei Datenschutz-Folgenabschätzungen und Datenpannen, Löschung oder Rückgabe am Ende und Prüfrechte.
Wie lösche ich die Klickdaten einer einzelnen Person bei einem Shortener?
Fragen Sie den Anbieter, wie Klickzeilen identifiziert und gelöscht werden. Klick-Logs enthalten selten einen Namen, daher bedeutet Löschung meist, nach IP, Link oder Zeitraum zu löschen. Wenn der Anbieter das nur über ein Support-Ticket abwickeln kann, lassen Sie sich die Bearbeitungsdauer schriftlich geben.
Elido testen
URL einfügen, kurzer Link in Sekunden
Kein Konto nötig. Link bleibt 30 Tage aktiv. Konto erstellen, um ihn dauerhaft zu behalten.
Keine Anmeldung nötig. Kostenlos registrieren für 50 Links im Monat.