Ein URL-Shortener fällt unter die DSGVO, sobald er personenbezogene Daten verarbeitet, zum Beispiel bei der Klickstatistik. Das betrifft zwei Seiten: den Anbieter des Dienstes und dich als Person, die Kurzlinks an Besucher weitergibt. Für beide gibt es im DACH-Raum klare Grundfragen, die du vor dem Einsatz klären solltest.
Die wichtigsten Punkte sind, welche Daten bei einem Klick entstehen, wer im rechtlichen Sinn verantwortlich ist und wo die Daten gespeichert werden. Dazu kommt die Frage, ob du einen Auftragsverarbeitungsvertrag (AVV) brauchst und was in deine eigene Datenschutzerklärung gehört. Die Antworten helfen dir bei der Auswahl eines Dienstes und bei der Frage, was du deinen Besuchern mitteilen musst, bevor du Kurzlinks in Newslettern, Anzeigen oder auf Plakaten einsetzt.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Wo es um jog690.link geht, steht das als Beispiel dabei. Für die Bewertung deines konkreten Falls, etwa bei Werbung, Pixeln oder besonderen Zielgruppen, solltest du eine Fachperson aus dem Datenschutzrecht hinzuziehen.
Gilt die DSGVO für einen URL-Shortener?
Ja, sobald der Dienst personenbezogene Daten von Besuchern in der EU verarbeitet. Beim reinen Weiterleiten ist das meist der Fall, weil Verbindungsdaten anfallen. Eine IP-Adresse kann je nach Zusammenhang ein personenbezogenes Datum sein.
Wie stark es dich betrifft, hängt davon ab, was du mit den Links machst. Ein Kurzlink in einem privaten Chat ist etwas anderes als ein Link in einer Kampagne mit Statistik und Werbepixeln. Die Grundlagen zum Dienst selbst erklärt der Beitrag URL-Shortener: Was ist das.
Welche Daten entstehen beim Klick auf einen Kurzlink?
Beim Klick wird der Besucher weitergeleitet, und je nach Dienst werden dabei Angaben für die Statistik erfasst. Bei jog690.link zeigt die Statistik keine IP-Adressen von Besuchern an. In der Statistik lassen sich diese Auswertungen aufrufen:
- Kontinent, Land, Region und Stadt
- Gerät, Betriebssystem, Browser und Sprache
- Zeitzone, Besuchszeit und Wochentag
- Verweisquelle und Akquisitionskanal
- UTM-Parameter
- Crawler, getrennt nach KI-Crawlern und Suchmaschinen
Wer ist verantwortlich: du oder der Anbieter?
Du bist als Nutzer meist für den Einsatz der Links gegenüber deinen Besuchern verantwortlich, der Anbieter verarbeitet die Daten in deinem Auftrag. Das gilt zum Beispiel, wenn du Kurzlinks in Newslettern, auf Flyern oder in Anzeigen einsetzt und die Klickzahlen auswertest.
Daraus folgt, dass du Besucher über die Verarbeitung informieren musst, etwa in deiner Datenschutzerklärung. Wie sich das bei Klickzahlen und Kampagnen auswirkt, zeigt der Beitrag URL Shortener für Affiliate-Links. Die genaue Rollenverteilung hängt vom Einzelfall ab, hier lohnt sich Beratung.
Brauchst du einen Auftragsverarbeitungsvertrag (AVV)?
Ein AVV ist nötig, wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Er regelt nach Artikel 28 der DSGVO, wie der Anbieter mit den Daten umgeht.
Bei jog690.link ist der AVV bei Vertragsabschluss Teil der AGB. Die Rechtsdokumente findest du gesammelt auf der Seite Rechtliches. Prüfe bei jedem Dienst, ob ein AVV vorgesehen ist und wo du ihn findest.
Wo werden die Daten gespeichert?
Der Speicherort entscheidet mit darüber, ob Daten die EU verlassen. Bei jog690.link läuft der Server bei Hetzner in Nürnberg (Deutschland), die Daten liegen im Speicher Cloudflare R2 (EU-Region).
Ein Speicherort in der EU kann Fragen zur Übermittlung in Drittländer vereinfachen. Er ersetzt aber weder einen AVV noch eine Information der Besucher. Bei jedem Dienst solltest du fragen, wo der Server steht und wo die gespeicherten Daten liegen.
Was gehört in deine Datenschutzerklärung?
In die Datenschutzerklärung gehört, dass du Kurzlinks und gegebenenfalls eine Klickstatistik einsetzt, welchen Dienst du dafür nutzt und zu welchem Zweck. Genaue Formulierungen hängen von deiner Seite und deiner Nutzung ab, einen allgemeinen Mustertext gibt es nicht.
Lass die Erklärung im Zweifel von einer Fachperson prüfen. Sie sollte zu dem passen, was du tatsächlich einsetzt, also auch zu Pixeln und Analyse-Tools.
Was gilt bei Pixeln und UTM-Parametern?
UTM-Parameter sind Zusätze an der Ziel-URL, die nur Herkunft und Kampagne benennen. Pixel von Werbeplattformen sind dagegen meist einwilligungspflichtig, weil sie Daten an Dritte übertragen. Das ist eine allgemeine Einordnung, im Einzelfall entscheidet die rechtliche Prüfung.
Setze Pixel erst ein, wenn geklärt ist, wie die Einwilligung der Besucher eingeholt wird. Aktuelle Regeln und Auslegungen ändern sich, deshalb lohnt der Blick in die Hinweise der Aufsichtsbehörden oder eine Beratung.
Welche Fragen stellst du vor dem Start an einen Anbieter?
Frage vor dem Start, ob es einen AVV gibt, wo Server und Daten liegen und welche Daten die Statistik erfasst. Die Kurzlinks selbst richtest du über Short Links ein, die Rechtsdokumente prüfst du vorab.
- Gibt es einen AVV, und wo finde ich ihn?
- Wo steht der Server, wo liegen die gespeicherten Daten?
- Welche Angaben erfasst die Statistik?
- Welche Datenschutzdokumente gibt es für Kontoinhaber und Besucher?
- Kann ich Links und Daten wieder löschen?
Häufige Fragen
Das hängt vom Anbieter und von deiner Nutzung ab. Prüfe, ob es einen AVV gibt, wo Server und Daten liegen und welche Daten die Statistik erfasst. Die Bewertung im Einzelfall gehört in die Hand einer Fachperson.
Ein AVV ist nötig, wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Bei jog690.link ist er bei Vertragsabschluss Teil der AGB, die Dokumente stehen auf der Seite Rechtliches.
Das hängt vom Dienst ab. In jog690.link gibt es Auswertungen nach Standort, Gerät, Betriebssystem, Browser, Sprache, Besuchszeit, Verweisquelle und UTM-Parametern. IP-Adressen der Besucher zeigt die Statistik nicht an.
Nein, die Statistik zeigt keine IP-Adressen an. Welche Auswertungen es gibt, zum Beispiel nach Land, Gerät oder Browser, steht in der Statistik des jeweiligen Links. Mehr zur Verarbeitung steht in der Datenschutzerklärung für Besucher.
Der Server läuft bei Hetzner in Nürnberg (Deutschland), die Daten liegen im Speicher R2 (EU).
Wenn du Kurzlinks mit Statistik einsetzt, solltest du das in deiner Datenschutzerklärung beschreiben, einschließlich des Dienstes und des Zwecks. Die genaue Formulierung ist von deinem Einzelfall abhängig und gehört im Zweifel in die Prüfung einer Fachperson.