Is Bitly AVG-compliant? Het eerlijke antwoord van een DPO

Ja. Bitly is AVG-compliant (GDPR) in de zin die telt voor een inkoopchecklist: het publiceert een verwerkersovereenkomst, draagt data door onder standaardcontractbepalingen, heeft een actieve certificering onder het EU-VS Data Privacy Framework, runt een EU-entiteit in Berlijn en beantwoordt verzoeken van betrokkenen onder de artikelen 15 tot en met 21. Staat er op je leveranciersformulier "GDPR compliant: ja/nee", dan is het eerlijke antwoord ja.

De lastigere vraag, die je DPO na de checklist stelt, is waar je klikdata werkelijk staan. De compliance van Bitly rust op het verplaatsen van persoonsgegevens van EU-burgers naar de Verenigde Staten en het afdekken van die doorgifte met een juridisch instrument. Dat is vandaag rechtmatig. Het is niet hetzelfde als dataopslag in de EU, en voor sommige kopers beslist het verschil tussen die twee het contract.

Dit is een artikel uit het compliancecluster, dus de artikelnummers worden genoemd en de bronnen zijn gelinkt, zodat je ze aan je eigen juridisch adviseur kunt voorleggen. Voor het kader erachter, wat de AVG van elke URL-verkorter vraagt en niet alleen van Bitly, loopt de hoeksteen over de AVG voor URL-verkorters de artikelen 3, 6, 28, 30, 32 en 35 één voor één door.

Het korte antwoord en het sterretje

Bitly heeft het compliancewerk gedaan dat van een serieuze leverancier wordt verwacht. Het privacybeleid (geraadpleegd op 2026-07-17) toont dat alle onderdelen er zijn:

• Een verwerkersovereenkomst, opgenomen in de gebruiksvoorwaarden.
• Standaardcontractbepalingen voor doorgifte buiten de EER.
• Een actieve certificering onder het EU-VS Data Privacy Framework, plus de UK Extension en het Zwitsers-Amerikaanse Framework.
• Een EU-vestiging: Bitly Europe GmbH in Berlijn, met een genoemde functionaris voor gegevensbescherming (DataCo GmbH).
• Een proces voor rechten van betrokkenen, verdeeld over [email protected] voor Amerikaanse zaken en [email protected] voor EU-zaken, voor inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar.
• Een genoemde bewaarregel: persoonsgegevens worden op verzoek verwijderd of geanonimiseerd, of drie jaar na het laatste contact met de betrokkene, wat het eerst komt.

Niets daarvan staat ter discussie. Een leverancier met een verwerkersovereenkomst, standaardcontractbepalingen, een Framework-certificering en een EU-DPO "negeert de AVG" niet, en elk artikel dat anders beweert, verkoopt iets. Het sterretje gaat niet over of Bitly compliant is. Het gaat over hoe het compliant is, en het mechanisme is transatlantische doorgifte.

Waar je Bitly-data werkelijk heen gaan

De eigen structuur van Bitly zegt het duidelijkst. Bitly Europe GmbH (Berlijn) en Bitly Inc. (New York) zijn gezamenlijke verwerkingsverantwoordelijken onder artikel 26, gebonden door een overeenkomst tussen gezamenlijke verantwoordelijken. Je accountdata en de klikdata die door je links stromen, vallen binnen die gezamenlijke regeling, en die regeling overspant de Atlantische Oceaan met opzet.

Het privacybeleid is expliciet: persoonsgegevens "may be transferred outside the European Union and the European Economic Area, including, but not limited to, the United States of America." Elke redirect legt een IP-adres en een user-agent vast; beide kunnen persoonsgegevens van identificeerbare personen zijn. De klikstroom die een URL-verkorter registreert, valt dus binnen de reikwijdte, en bij Bitly wordt die stroom geleid naar een op de VS gericht verwerkingsmodel.

Dit is rechtmatig. Het is ook een blijvende afhankelijkheid van juridische instrumenten voor doorgifte van de EU naar de VS die standhouden, en die instrumenten hebben een geschiedenis.

Waarom "Data Privacy Framework-gecertificeerd" niet het einde van het verhaal is

De doorgiftewaarborgen waarop Bitly vertrouwt, zijn twee keer herbouwd nadat het Hof van Justitie ze vernietigde. Safe Harbour viel in 2015. Privacy Shield viel in Schrems II (HvJ-EU C-311/18, 2020), dat ook de lat voor standaardcontractbepalingen hoger legde door voor elke doorgifte een Transfer Impact Assessment te eisen. Het EU-VS Data Privacy Framework, in 2023 aangenomen door de Europese Commissie, is de huidige opvolger, en degene waaronder Bitly is gecertificeerd.

Voor een koper volgen daaruit twee dingen.

Ten eerste is een certificering een momentopname, geen blijvende toestand. Certificeringen verlopen, worden ingetrokken of vallen buiten de naleving. Vertrouw je op de Framework-status van Bitly, controleer dan op de officiële deelnemerslijst van het Data Privacy Framework of die nog actief is, in plaats van de beleidspagina op haar woord te geloven.

Ten tweede staat het Framework zelf onder juridische druk. Privacyactivisten hebben aangekondigd het te willen aanvechten, en een derde Schrems-arrest is een scenario waarvoor verstandige kopers nu plannen. Hoofdstuk V van de AVG, de artikelen 44 tot en met 49 over internationale doorgifte, is het deel van de verordening met de minst vaste bodem. Een marketingattributiestack bouwen op het ene hoofdstuk dat het meest waarschijnlijk beweegt, is een risico dat sommige organisaties aanvaarden en andere niet.

Compliant is niet hetzelfde als alleen EU

Hier zit het onderscheid dat de inkoop echt beslist. "AVG-compliant" en "data blijven in de EU" zijn verschillende beweringen, en Bitly voldoet aan de eerste zonder de tweede te doen.

Voor veel teams is dat prima. Een marketingteam dat links verkort voor een openbare campagne en klikanalytics op gerechtvaardigd belang baseert, is goed bediend met een compliant leverancier die op doorgifte steunt. De juridische instrumenten dekken hen.

Het is niet meer prima wanneer je sector dataopslag in de eis vastlegt. Duitse data van de publieke sector en de zorg onder de regels voor sociale gegevensbescherming, Franse gezondheidsdata onder HDS-certificering, data van financiële dienstverlening onder EBA-richtlijnen: die duwen richting verwerking uitsluitend in de EU. In die gevallen is een aanpak op basis van doorgifte geen vinkje maar een doorlopende verplichting: je draagt de Transfer Impact Assessment, je voert hem opnieuw uit wanneer de juridische grond verschuift en je documenteert waarom een doorgifte naar de VS verdedigbaar is voor persoonsgegevens die je in de EU had kunnen houden. Een URL-verkorter die in de EU host neemt het meeste van dat werk weg, omdat de opgeslagen data niet wordt doorgegeven.

Is je eis dat EU-klikdata in de EU worden opgeslagen, dan slaat Elido ze op in de EU-regio. Wees precies over de rest: redirect-nodes in de VS en Singapore verwerken nog steeds bezoekersverzoeken, en er is nog geen contractuele clausule voor uitsluitend EU-verwerking. Dat is het verschil tussen "zijn we compliant?" beantwoorden en "kunnen we laten zien waar de data zijn opgeslagen?" beantwoorden met een veel kleinere doorgifteanalyse erbij.

Wat je controleert voordat je op Bitly vertrouwt

De compliancestatus is echt, dus het nuttige werk is nagaan of die past bij jouw verplichtingen. Vijf dingen om schriftelijk te bevestigen:

1. Is je eis compliance, of is het dataopslag? Heeft een stakeholder "alleen EU" gezegd, dan voldoet een Framework-certificering daar niet aan. Je hebt dan een verbintenis voor dataopslag nodig, en dat zijn andere bepalingen.
2. Controleer de standaardbewaartermijn. De genoemde regel van Bitly bewaart data tot drie jaar na het laatste contact, dus als je eigen beleid als verwerkingsverantwoordelijke korter is, moet dat worden geconfigureerd en niet worden aangenomen.
3. Vraag om de lijst met subverwerkers. Een structuur met gezamenlijke verantwoordelijken over twee continenten betekent meestal dat meer partijen de data aanraken, en je wilt weten welke daarvan op het pad van klikgebeurtenissen zitten.
4. Bevestig dat de Framework-certificering vandaag actief is op de lijst van de overheid, en niet alleen wordt genoemd op de beleidspagina. Certificeringen verlopen.
5. Lees de verwerkersovereenkomst. Die zit in de gebruiksvoorwaarden gebundeld, dus het autorisatiemodel voor subverwerkers en de SLA voor verwijdering staan daarin en niet in een apart ondertekend document. Een verwerkersovereenkomst die aan artikel 28 voldoet, is de ondergrens, niet het plafond: de hoeksteen werkt uit wat elke bepaling van artikel 28, lid 3 moet zeggen.

Voor het bredere marktbeeld van wie zich aan verwerking in de EU verbindt en wie doorgeeft, behandelen het overzicht van de beste EU-URL-verkorters en het diepere stuk over dataopslag in de EU voor marketing de alternatieven. Weeg je specifiek het model van Bitly, dan zet Elido versus Bitly de lijnen voor dataopslag en prijs naast elkaar, en zijn de advertentietussenschermen op gratis Bitly-links een aparte reden waarom EU-teams heroverwegen.

De conclusie

Is Bitly AVG-compliant? Ja. Het heeft de verwerkersovereenkomst, de standaardcontractbepalingen, de Data Privacy Framework-certificering, de EU-entiteit en de machinerie voor rechten van betrokkenen. Wie beweert dat Bitly glashard niet compliant is, heeft ongelijk.

Maar "compliant" was nooit de hele vraag. De compliance van Bitly is gebouwd op het doorgeven van persoonsgegevens van EU-burgers aan de Verenigde Staten en het afdekken van die doorgifte met instrumenten die hoofdstuk V van de AVG blijft onrustig maken. Draai je als marketeer openbare campagnes, dan is dat een redelijke afweging. Zit je op een gereguleerde of soevereiniteitsbewuste stoel waar EU-klikdata de EU niet mogen verlaten, dan haalt "compliant via doorgifte" je lat niet, en is de oplossing geen betere verwerkersovereenkomst maar een URL-verkorter die de data om te beginnen in de EU opslaat. Bepaal op welke stoel je zit voordat je het gereedschap kiest.

Lees de hoeksteenreeks

Dit hoort bij het compliancecluster. De hoeksteen is AVG voor URL-verkorters: wat je DPO echt wil zien; begin daar voor het kader per artikel. Voor de samenvatting voor inkoop zijn de trustpagina en solutions/compliance de twee artefacten om te bookmarken.

Verwant op de blog

• AVG voor URL-verkorters: wat je DPO echt wil zien
• De beste EU-URL-verkorters, gerangschikt naar houding rond dataopslag
• Dataopslag in de EU voor marketingtools: wat je DPO echt vraagt
• Elido versus Bitly: prijzen, functies en dataopslag in de EU
• Dub versus Bitly: prijzen, gratis abonnementen en functies
• Bitly Assist AI: wat het met je klikdata doet