Was Bitly wirklich speichert: die Datenschutzerklärung im Detail

Dass Bitly Daten sammelt, wird oft behauptet - hier ist der Beleg. Dieser Beitrag zeigt anhand der Original-Datenschutzerklärung von Bitly und eines curl-Tests genau, welche personenbezogenen Daten bei jedem Klick erfasst werden, noch bevor die Weiterleitung stattfindet. So können Sie selbst beurteilen, ob der Einsatz für Ihr Unternehmen DSGVO-konform ist.

Wofür werden Kurzlinks überhaupt genutzt?

Kurzlinks vereinfachen die Handhabung langer URLs: Ein Dienst ersetzt eine lange Adresse durch eine kurze und leitet beim Aufruf auf das Original weiter. Das ist praktisch in E-Mails, Social-Media-Beiträgen, Chats und sogar auf gedruckten Flyern.

Der Komfort hat aber eine Kehrseite. Bekannte Dienste wie bit.ly oder tinyurl.com sind kostenlos und oft ohne Registrierung nutzbar, erheben aber Statistiken über Häufigkeit und Herkunft der Aufrufe. Die Empfänger eines Kurzlinks werden darüber meist nicht aufgeklärt und verbringen zu wenig Zeit auf der Seite, um eine Datenschutzerklärung zu lesen.

Wie hängen URLs und Datenschutz zusammen?

Eine URL selbst ist kein personenbezogenes Datum. Problematisch wird es, sobald bei ihrer Nutzung Daten wie die IP-Adresse erhoben werden, mit denen sich eine Person identifizieren lässt.

Eine dynamische IP-Adresse bietet zusammen mit Standort, Uhrzeit, Datum und Geräteinformationen wie Browsertyp, Betriebssystem und Sprache eindeutig die Möglichkeit, eine Person zu identifizieren - und ist damit DSGVO-relevant. Werden solche Daten erhoben, verarbeitet oder weitergegeben, muss dies offengelegt werden. Unternehmen sind auch dann in der Pflicht, wenn sie „nur" die Dienste eines Drittanbieters nutzen. Zur Verantwortung gehört die Ermittlung der Rechtmäßigkeit der Verarbeitung nach Artikel 6 DSGVO.

Welche Analyse-Tools bindet Bitly ein?

Ein Blick auf die Bitly-Website zeigt eine Reihe externer Analyse-Tools, etwa Google Analytics, Oribi oder Optimizely. Ein Besuch der Seite bietet keine Möglichkeit, diese Einbindung zu unterbinden.

Welche Daten speichert Bitly beim Erstellen eines Links?

Beim Erstellen eines Kurzlinks speichert Bitly nach eigenen Angaben die ursprüngliche und die verkürzte URL, die IP-Adresse, den daraus abgeleiteten Standort, Datum und Uhrzeit sowie - beim Teilen - die Plattform und den Benutzernamen. Das steht wörtlich in der Datenschutzerklärung:

When You Create a Bitly Link
One feature of the Services is the ability to create shortened uniform resource locators (URLs) of websites (“Bitly Links” or “Bitlinks”). Users can create Bitly Links without registering for an account. When you create a Bitly Link, Bitly collects and stores both the original URL and the shortened URL and, if you are logged in to your Account, we will associate that information with your Account. Bitly also collects and stores your IP address, your geolocation data (which we derive from your IP address), the time and date on which you shortened the original URL, and if you share a Bitly Link on a social networking platform, the name of the platform and your username on that platform.

Welche Daten erfasst Bitly beim Klick auf einen Link?

Auch beim reinen Aufrufen eines Kurzlinks erfasst Bitly personenbezogene Daten - IP-Adresse, Standort, Referrer, Zeitpunkt, Geräteeinstellungen, Cookies und Mobile Advertising Identifier. Betroffen sind damit nicht nur die Ersteller, sondern auch die Empfänger, die oft gar nicht merken, dass diese Erfassung stattfindet:

When You Interact With a Bitly Link
Bitly automatically collects personal information about the interaction (such as clicks or views) with every Bitly Link created through the Services (either our bit.ly links or one of our branded domains) on a third-party website. This information includes, but is not limited to: (i) the IP address and location derived from the IP address; (ii) internet or other electronic network activity information like the referring websites or services; (iii) the time and date of each access; (iv) device settings, such as browser type, operating system, and language; (v) cookies, as described below, and mobile advertising identifiers and (v) information about sharing of the Bitly Link on Third Party Services (collectively, “Bitly Link Metrics”).

Der Beweis: ein Cookie noch vor der Weiterleitung

Ein curl-Aufruf auf einen Bitly-Kurzlink zeigt, dass Bitly mindestens ein Cookie setzt, bevor der Nutzer überhaupt zum Ziel weitergeleitet wird. Ein GET auf eine mit Bitly verkürzte URL gibt ein HTTP 301 („permanently moved") zusammen mit dem location-Header und dem Cookie-Header _bit zurück.

Welche datenschutzkonformen Alternativen gibt es?

Datenschutzkonforme Alternativen erheben beim Weiterleiten keine personenbezogenen Daten und laufen auf Servern innerhalb der EU. Eine davon ist ShortLink aus unserem Haus: Der Dienst setzt auf Datensparsamkeit, verarbeitet Daten in Deutschland und bindet keine externen Tracking-Tools ein.

Welche fünf Alternativen sich für deutsche Unternehmen eignen, vergleichen wir im Beitrag Bitly-Alternative: 5 DSGVO-konforme URL-Shortener. Ob ein Dienst wirklich konform ist, prüfen Sie mit unserer DSGVO-Checkliste für URL-Shortener.