Kurzlinks sind praktisch, aber datenschutzrechtlich heikel: Wer einen Kurzlink teilt, ist für die Datenverarbeitung dahinter mitverantwortlich – auch bei einem Drittanbieter. Diese Checkliste prüft in sieben Punkten, ob Ihr URL-Shortener DSGVO-konform ist, bevor der erste Klick zum Problem wird.
Wann ist ein URL-Shortener DSGVO-konform?
Ein URL-Shortener ist DSGVO-konform, wenn er beim Weiterleiten keine personenbezogenen Daten ohne Rechtsgrundlage erhebt, innerhalb der EU gehostet wird und kein Tracking ohne Einwilligung durchführt.
Der Grund liegt in der Verantwortlichkeit: Teilt ein Unternehmen einen Kurzlink in einem Newsletter, auf einem Flyer oder in Social Media, ist es für die dahinterliegende Datenverarbeitung mitverantwortlich. Erfasst der Dienst beim Klick personenbezogene Daten, muss dafür eine Rechtsgrundlage nach Artikel 6 DSGVO vorliegen – und der Nutzer hat beim Klick auf einen Kurzlink praktisch keine Möglichkeit, vorher einzuwilligen.
Faustregel: Verlässt beim Klick ein personenbezogenes Datum die EU oder wird ohne Einwilligung getrackt, ist der Shortener nicht DSGVO-konform.
Die 7-Punkte-Checkliste für einen DSGVO-konformen URL-Shortener
Prüfen Sie Ihren aktuellen oder geplanten Dienst anhand dieser sieben Kriterien. Je mehr Punkte erfüllt sind, desto geringer das Abmahn- und Bußgeldrisiko.
- Serverstandort in der EU: Werden Daten ausschließlich auf Servern innerhalb der EU verarbeitet? US-Dienste wie Bitly übertragen Daten in die USA – seit dem Schrems-II-Urteil ohne verlässliche Rechtsgrundlage.
- Kein Tracking beim Redirect: Setzt der Dienst beim Weiterleiten Cookies oder lädt er Analyse-Tools? Ein DSGVO-freundlicher Shortener leitet weiter, ohne den Klickenden zu profilieren.
- Datensparsame Logs: Werden IP-Adressen in Server-Logs gespeichert – und wenn ja, wie lange? Ideal sind anonymisierte oder gekürzte IPs und kurze Löschfristen.
- AV-Vertrag verfügbar: Bietet der Anbieter einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO an? Ohne AVV ist der Einsatz eines Drittanbieters in der Regel unzulässig.
- Transparente Datenschutzerklärung: Legt der Dienst offen, welche Daten er beim Erstellen und beim Aufrufen eines Kurzlinks erhebt? Fehlende Transparenz ist ein Warnsignal.
- Aggregierte statt personenbezogene Statistiken: Falls Sie Klickzahlen brauchen – werden diese anonym und aggregiert erhoben, ohne Einzelpersonen nachzuverfolgen?
- Kontrolle und Löschbarkeit: Können Sie Links widerrufen und Daten löschen? Bei selbst gehosteten Lösungen bleibt die volle Kontrolle bei Ihnen.
Welche Daten erfasst ein URL-Shortener beim Klick?
Beim Klick auf einen Kurzlink können IP-Adresse, Standort per GeoIP, Referrer, User-Agent, Betriebssystem und Zeitstempel erfasst werden. Sobald sich damit eine Person identifizieren lässt, sind diese Daten personenbezogen im Sinne der DSGVO.
Besonders kritisch ist die dynamische IP-Adresse in Kombination mit Standort, Uhrzeit und Geräteinformationen wie Browsertyp und Sprache. Diese Kombination erlaubt eine Identifizierung und ist damit DSGVO-relevant. Werden solche Daten erhoben, muss dies offengelegt und auf eine Rechtsgrundlage gestützt werden.
Ist ein selbst gehosteter URL-Shortener automatisch DSGVO-konform?
Nein, ein selbst gehosteter URL-Shortener ist nicht automatisch DSGVO-konform. Selbst-Hosting gibt Ihnen die Kontrolle, aber die Konfiguration entscheidet über die Konformität.
Auch bei einer selbst betriebenen Lösung müssen Sie Server-Logs, GeoIP-Datenbanken und Statistik-Funktionen so einstellen, dass keine personenbezogenen Daten ohne Rechtsgrundlage gespeichert werden. Der Vorteil: Bei Self-Hosting verlassen keine Daten Ihre Infrastruktur, und Sie schließen keinen AV-Vertrag mit einem Drittanbieter ab. Welche self-hosted Lösungen sich dafür eignen und wie sie sich unterscheiden, zeigt unser Vergleich YOURLS vs. Shlink vs. Kutt.
Was kostet ein DSGVO-Verstoß bei Kurzlinks?
Bußgelder nach DSGVO können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen. Für kleine und mittlere Unternehmen liegen sie in der Praxis häufig zwischen 5.000 und 50.000 Euro, hinzu kommen Abmahnkosten von typischerweise 1.000 bis 5.000 Euro pro Fall.
Gegenüber diesen Risiken sind die Kosten einer datenschutzkonformen Lösung gering. Welche fünf Alternativen zu Bitly sich für deutsche Unternehmen eignen, lesen Sie im Beitrag Bitly-Alternative: 5 DSGVO-konforme URL-Shortener.
DSGVO-konform verlinken mit ShortLink
ShortLink erfüllt die Punkte dieser Checkliste out of the box: Hosting in Deutschland, kein Tracking beim Redirect, anonyme Statistiken und volle Kontrolle über Ihre Daten.
ShortLink kennenlernen