Ein Kurzlink-Dienst aus den USA wie Bitly ist nach der DSGVO nicht pauschal unzulässig. Seit dem 10. Juli 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss. Er gilt allerdings nur für US-Unternehmen, die darunter zertifiziert sind, und ein Rechtsmittel gegen ihn ist beim Europäischen Gerichtshof anhängig. Bei der Anbieterwahl geht es deshalb weniger um erlaubt oder verboten als um die Frage, wie viel Prüfung und Wiedervorlage Sie auf Dauer übernehmen wollen.
Bitly ist ein verbreiteter Kurzlink-Dienst der Bitly, Inc., eines US-Unternehmens. Ob Bitly unter dem Framework zertifiziert ist und wie der Dienst Daten verarbeitet, sagen wir hier nicht. Beides steht in öffentlichen Quellen, und dieser Beitrag zeigt, wie Sie dort nachschlagen. Die allgemeinen Pflichten beim Einsatz von Kurzlinks, vom Vertrag bis zur Löschfrist, erklärt unser Ratgeber DSGVO und Kurzlinks.
Rechtslage im Oktober 2026
- 16. Juli 2020: Der Europäische Gerichtshof erklärt das Abkommen Privacy Shield für ungültig (C-311/18, „Schrems II“).
- 10. Juli 2023: Die EU-Kommission erlässt den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Er wirkt je Unternehmen, nicht für die USA als Ganzes.
- 3. September 2025: Das Gericht der EU weist die Klage gegen den Beschluss ab (T-553/23). Das Rechtsmittel beim EuGH ist offen.
- Die Zertifizierung eines Unternehmens schlagen Sie in der Liste des US-Handelsministeriums nach und halten das Ergebnis mit Datum fest.
- Verarbeitet ein Anbieter samt seinen Dienstleistern nur in der EU, entfällt dieser Prüfschritt. Vertrag, Verzeichnis und Datenschutzerklärung bleiben Ihre Aufgabe.
Warum der Sitz eines Kurzlink-Dienstes eine Rechtsfrage auslöst
Wer einen Kurzlink aufruft, schickt seine IP-Adresse an den Dienst, der die Weiterleitung ausführt. Der Europäische Gerichtshof hat IP-Adressen 2016 im Verfahren C-582/14 (Breyer) als personenbezogene Daten eingeordnet. Verarbeitet der Dienst diese Daten in einem Land außerhalb des Europäischen Wirtschaftsraums, gelten Art. 44 ff. DSGVO. Für die Übermittlung dorthin braucht es eine eigene Grundlage.
Eine solche Grundlage ist der Angemessenheitsbeschluss. Mit ihm stellt die EU-Kommission fest, dass in einem Land oder innerhalb eines bestimmten Rahmens ein angemessenes Schutzniveau besteht. Für die USA gab es einen solchen Beschluss, dann drei Jahre lang keinen, und jetzt gibt es wieder einen. Prüfen und dokumentieren muss das Unternehmen, das den Dienst einsetzt, also Sie.
Von Schrems II bis zum Data Privacy Framework
| Datum | Entscheidung | Bedeutung für den Einsatz eines US-Dienstes |
|---|---|---|
| 16.07.2020 | EuGH, C-311/18 („Schrems II“): Privacy Shield ungültig | Wer Übermittlungen auf das Privacy Shield gestützt hatte, verlor diese Grundlage. |
| 10.07.2023 | Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework | Für zertifizierte US-Unternehmen trägt der Beschluss die Übermittlung. Für nicht zertifizierte ändert er nichts. |
| 03.09.2025 | Gericht der EU, T-553/23 (Latombe): Klage abgewiesen | Der Beschluss gilt weiter. |
| offen | Rechtsmittel beim EuGH anhängig | Der Ausgang ist ungewiss. Eine Wiedervorlage ist nötig. |
Zwischen Juli 2020 und Juli 2023 gab es für die USA keinen Angemessenheitsbeschluss. Aus dieser Zeit stammt die Kurzformel, US-Dienste seien „seit Schrems II“ unzulässig. In dieser Pauschalität trifft sie nicht zu.
Ebenso wenig stimmt das Gegenteil. Der Beschluss von 2023 ist kein Freibrief für jeden Dienst mit Sitz in den USA. Er hängt an einer Bedingung, und über seinen Bestand entscheidet in letzter Instanz der EuGH. Wer heute einen US-Dienst einsetzt, arbeitet mit einer geltenden Grundlage, deren Zukunft offen ist.
Was „zertifiziert unter dem Data Privacy Framework“ praktisch heißt
Die Bedingung lautet: Das empfangende US-Unternehmen muss unter dem Framework zertifiziert sein. Daraus ergeben sich vier Dinge für die Praxis.
Geprüft wird das Unternehmen, nicht das Produkt
Ein Markenname ist keine Gesellschaft. Maßgeblich ist der Vertragspartner, der in den Geschäftsbedingungen oder im Vertrag zur Auftragsverarbeitung (AVV) steht, mit vollem Namen und Rechtsform. Bei einem Konzern mit mehreren Gesellschaften kann das eine andere sein, als die Website vermuten lässt.
Ein Eintrag ist eine Momentaufnahme
Was Sie heute in der Liste lesen, belegt den Stand von heute. Schreiben Sie deshalb das Datum der Prüfung dazu und sehen Sie in festen Abständen wieder nach.
Der Umfang zählt
Prüfen Sie, ob der Eintrag die Art von Daten abdeckt, um die es bei Ihnen geht. Bei Kurzlinks sind das Daten von Besuchern und Kunden, keine Beschäftigtendaten des Anbieters.
Unterauftragnehmer stehen auf einem eigenen Blatt
Die Zertifizierung des Anbieters sagt nichts über die Dienstleister, die er seinerseits einsetzt. Deren Sitz und Aufgabe stehen in der Liste der Unterauftragnehmer im AVV.
Sie betrifft allein die Grundlage der Übermittlung. Welche Angaben ein Dienst je Klick speichert, wie lange er sie aufbewahrt und für welche eigenen Zwecke er sie verwendet, steht in seinem AVV und in seiner Datenschutzerklärung.
So schlagen Sie die Zertifizierung eines Anbieters nach
Das US-Handelsministerium führt die Liste der teilnehmenden Unternehmen unter dataprivacyframework.gov. Die Prüfung dauert wenige Minuten.
- Vertragspartner feststellen. Den vollen Firmennamen entnehmen Sie dem AVV oder den Geschäftsbedingungen. Bei Bitly wäre das die Bitly, Inc.
- In der Liste suchen. Geben Sie den Firmennamen ein, nicht den Produktnamen. Probieren Sie bei Fehlanzeige Schreibweisen mit und ohne Rechtsform.
- Eintrag lesen. Notieren Sie, was dort zum Status und zum Umfang der Zertifizierung steht.
- Nachweis ablegen. Ein Bildschirmfoto oder PDF des Eintrags mit Datum gehört zur Akte der Verarbeitung.
- Verzeichnis ergänzen. Im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO vermerken Sie Land, Grundlage und Prüfdatum.
- Wiedervorlage setzen. Zum Beispiel jährlich, außerdem sobald der EuGH über das Rechtsmittel entscheidet.
Was die Liste zu einem bestimmten Unternehmen ausweist, geben wir hier bewusst nicht wieder. Die Liste kann sich ändern, ein Blogbeitrag bleibt stehen.
Prüfvermerk für das Verarbeitungsverzeichnis
„Drittland: USA. Grundlage: Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 (EU-US Data Privacy Framework). Eintrag von [Firmenname] in der Liste des US-Handelsministeriums geprüft am [Datum], Status laut Liste: [Angabe]. Nachweis abgelegt unter [Ablageort]. Unterauftragnehmer laut AVV geprüft am [Datum]. Wiedervorlage am [Datum] sowie bei einer Entscheidung des EuGH.“
Der Vermerk ist ein Muster. Stimmen Sie ihn vor der Verwendung mit Ihrem Datenschutzbeauftragten ab.
Welche Dokumente Sie bei Ihrem Anbieter prüfen
Die Liste gilt für jeden Kurzlink-Dienst, gleich in welchem Land er sitzt. Nur die vierte Zeile betrifft allein US-Unternehmen.
| Dokument | Worauf Sie achten |
|---|---|
| AVV nach Art. 28 DSGVO | Datenarten, Bindung an Ihre Weisungen, Regel zum Vertragsende. Liegt er vor der Buchung vor? |
| Liste der Unterauftragnehmer | Unternehmen, Sitz und Aufgabe je Eintrag. Welche davon erhalten Klickdaten, welche sitzen außerhalb des EWR? |
| Datenschutzerklärung des Anbieters | Abschnitt zu Drittländern. Nutzt der Anbieter Klickdaten auch für eigene Zwecke? |
| Eintrag in der Liste zum Data Privacy Framework | Firmenname, Status, Umfang, Prüfdatum |
| Beschreibung der Sicherheitsmaßnahmen nach Art. 32 DSGVO | Verschlüsselung der Übertragung, Zugriffsschutz, Datensicherung |
| Angabe zur Speicherdauer | Eine feste Frist für Klickdaten, nach der gelöscht wird |
Fehlt eines dieser Dokumente, fragen Sie nach. Ein Anbieter, der im geschäftlichen Tarif keinen AVV anbietet, scheidet aus, unabhängig von jeder Zertifizierung.
Bitly, DSGVO und Anbieterwahl: drei Konstellationen
Aus der Rechtslage folgt kein Verbot und keine Empfehlung für einen bestimmten Dienst. Sie führt zu drei Konstellationen, die sich im Aufwand unterscheiden.
| Konstellation | Einmaliger Aufwand | Laufender Aufwand |
|---|---|---|
| US-Unternehmen, unter dem Framework zertifiziert | Listeneintrag prüfen, Nachweis ablegen, Vermerk im Verzeichnis | Wiedervorlage, Verfahren beim EuGH verfolgen, bei einer Änderung neu bewerten |
| Anbieter in der EU mit Unterauftragnehmern in Drittländern | Jeden Unterauftragnehmer außerhalb des EWR einzeln prüfen | Änderungen an der Liste der Unterauftragnehmer verfolgen |
| Anbieter und Unterauftragnehmer verarbeiten nur in der EU | Im Verzeichnis steht beim Drittland „nein“ | Liste der Unterauftragnehmer gelegentlich gegenlesen |
Welche Konstellation zu Ihnen passt, hängt an zwei Größen. Die erste ist die Kapazität Ihres Datenschutzbeauftragten. Ein Konzern mit eigener Rechtsabteilung führt solche Wiedervorlagen ohnehin. Ein Betrieb mit einem externen Beauftragten, der zwei Tage im Quartal kommt, hat dafür weniger Luft.
Die zweite Größe ist die Lebensdauer Ihrer Links. Ein Kurzlink in einer Anzeige ist nach sechs Wochen erledigt. Ein QR-Code auf einem Typenschild, einer Verpackung oder einem Fahrzeug wird über Jahre gescannt, und die Grundlage der Übermittlung muss so lange tragen. Je länger Ihre Links leben, desto schwerer wiegt eine offene Rechtsfrage.
Nach welchen Merkmalen sich ein europäischer Anbieter jenseits des Serverstandorts prüfen lässt, beschreibt der Beitrag Bitly-Alternative aus der EU.
Wie Sie sich auf eine Entscheidung des EuGH vorbereiten
Wie der Gerichtshof entscheidet und wann, lässt sich nicht vorhersagen. Vorbereiten können Sie sich trotzdem, und zwar bei jedem Anbieter.
- Führen Sie Kurzlinks unter einer eigenen Domain. Über den DNS-Eintrag bestimmen Sie, welcher Dienst antwortet, und können den Anbieter wechseln, ohne dass sich eine gedruckte Adresse ändert.
- Halten Sie eine Bestandsliste mit Kurzname, Ziel und Fundstelle bereit. Bei gedruckten Links gehört dazu, wo das Druckstück hängt oder ausliegt.
- Vermerken Sie im Verzeichnis bei jeder Verarbeitung, auf welche Grundlage sich eine Übermittlung stützt. Nach einem Urteil sehen Sie dann sofort, was betroffen ist.
- Legen Sie fest, wer das Verfahren verfolgt. Eine Wiedervorlage ohne zuständige Person bleibt liegen.
Welche Links bei einem Anbieterwechsel mitziehen und welche nicht, steht auf der Seite Bitly-Alternative aus Deutschland.
Wo 7pxl in diesem Bild steht
7pxl gehört zur dritten Konstellation. Betreiber ist SecondMay Design in Billigheim, ein deutsches Unternehmen ohne US-Mutter und ohne US-Tochter. Die Server stehen in Rechenzentren der IONOS SE in Deutschland. Klick- und Scandaten geben wir nicht an Dritte weiter und übermitteln sie nicht in Länder außerhalb der EU. Für Zahlungen setzen wir Stripe ein, dorthin gehen keine Klick- und Scandaten.
Den AVV nach Art. 28 DSGVO erhalten Sie auf Anfrage über das Kontaktformular, auch bevor Sie einen Tarif buchen. In der Statistik speichern wir keine IP-Adresse, und nach 6 Monaten (Starter) oder 1 Jahr (ab Pro) löschen wir die Einträge automatisch.
Was das nicht bedeutet
Ein Wechsel zu uns ist aus rechtlichen Gründen nicht zwingend. Wer einen zertifizierten US-Dienst einsetzt und die Prüfung dokumentiert hat, stützt sich nach heutigem Stand auf einen geltenden Beschluss. Umgekehrt nimmt Ihnen ein deutscher Anbieter die übrigen Pflichten nicht ab. Rechtsgrundlage, Eintrag im Verzeichnis und Hinweis in der Datenschutzerklärung bleiben bei Ihnen. Was ein Umstieg an Tarif und Arbeitszeit kostet, rechnet der Beitrag 7pxl als Bitly-Alternative vor.
AVV und Unterauftragnehmer vorab lesen
Fordern Sie den Vertrag zur Auftragsverarbeitung an, bevor Sie sich festlegen. Zum Ausprobieren reicht der kostenlose Tarif mit zwei Kurzlinks.
Häufige Fragen
Ist Bitly DSGVO-konform?
Das beurteilen wir nicht. Die Bitly, Inc. ist ein US-Unternehmen, deshalb gehört die Frage der Drittlandübermittlung zu Ihrer Prüfung. Ob das Unternehmen unter dem Data Privacy Framework zertifiziert ist, schlagen Sie in der Liste des US-Handelsministeriums nach. Die Bewertung Ihres Einsatzes trifft Ihr Datenschutzbeauftragter anhand der Unterlagen des Dienstes.
Sind Kurzlink-Dienste aus den USA seit Schrems II verboten?
Nein. Das Urteil vom 16. Juli 2020 hat das Abkommen Privacy Shield für ungültig erklärt. Seit dem 10. Juli 2023 besteht mit dem EU-US Data Privacy Framework ein neuer Angemessenheitsbeschluss für zertifizierte US-Unternehmen. Ein US-Dienst ist damit nicht pauschal unzulässig.
Was hat das Gericht der EU am 3. September 2025 entschieden?
Es hat im Verfahren T-553/23 (Latombe) die Klage gegen den Angemessenheitsbeschluss abgewiesen. Der Beschluss gilt damit weiter. Gegen das Urteil ist ein Rechtsmittel beim Europäischen Gerichtshof anhängig, dessen Ausgang offen ist.
Wo finde ich die Liste der unter dem Data Privacy Framework zertifizierten Unternehmen?
Das US-Handelsministerium führt sie unter dataprivacyframework.gov. Suchen Sie nach dem Firmennamen des Vertragspartners, nicht nach dem Produktnamen, und legen Sie das Ergebnis mit Datum zu Ihren Unterlagen.
Genügt die Zertifizierung, damit der Einsatz eines US-Dienstes in Ordnung ist?
Nein. Sie betrifft nur die Grundlage der Übermittlung nach Art. 44 ff. DSGVO. Einen Vertrag zur Auftragsverarbeitung, den Eintrag im Verarbeitungsverzeichnis und den Hinweis in der Datenschutzerklärung brauchen Sie zusätzlich. Auch die Unterauftragnehmer des Dienstes sind getrennt zu prüfen.
Muss ich bei einem Anbieter aus Deutschland nichts mehr prüfen?
Doch. Der Prüfschritt zur Drittlandübermittlung entfällt nur, wenn auch die Unterauftragnehmer in der EU verarbeiten. Das zeigt die Liste im AVV. Alle übrigen Pflichten gelten unabhängig vom Sitz des Anbieters.
Stand: Oktober 2026. Dieser Beitrag ist keine Rechtsberatung. Bitly ist eine Marke der Bitly, Inc. 7pxl steht in keiner Verbindung zu Bitly.
