Eine Bitly-Alternative aus der EU erkennen Sie nicht am Serverstandort allein. Europäisch ist ein Kurzlink-Dienst erst, wenn fünf Dinge zusammenpassen: wem das Unternehmen gehört, wo es verarbeitet, welche Dienstleister beteiligt sind, nach welchem Recht der Vertrag läuft und ob Sie Ihre Daten wieder herausbekommen. Dieser Beitrag zeigt, an welcher Stelle Sie die Antworten jeweils finden.
Bitly ist ein verbreiteter Kurzlink-Dienst des US-Unternehmens Bitly, Inc. Wer nach einer europäischen Alternative sucht, hat meist eine Vorgabe aus dem Datenschutz, aus dem Einkauf oder aus der IT bekommen. Über Bitly und andere Anbieter urteilen wir hier nicht. Sie erhalten Prüfpunkte, die sich an jeden Dienst anlegen lassen, auch an unseren. Wie ein Wechsel praktisch abläuft, beschreibt die Seite Bitly-Alternative aus Deutschland.
Fünf Prüfpunkte statt eines Etiketts
- „Server in der EU“ nennt einen Ort. Offen bleibt, welches Unternehmen das Rechenzentrum betreibt und wem der Anbieter gehört.
- Die Liste der Unterauftragnehmer im Vertrag zur Auftragsverarbeitung (AVV) verrät mehr als jede Startseite.
- Sprache, anwendbares Recht und Gerichtsstand stehen in den Geschäftsbedingungen, meist ganz am Ende. Lesen Sie die Stelle vor der Buchung.
- Export und eigene Domain entscheiden darüber, ob Sie den Anbieter später ohne Bruch verlassen können.
- Ein Dienst aus den USA ist nicht pauschal unzulässig. Die Prüfpunkte zeigen, wie viel Dokumentationsarbeit ein Anbieter Ihnen macht.
Warum „Server in der EU“ als Kriterium nicht ausreicht
Die Angabe steht auf fast jeder Anbieterseite, und sie ist selten falsch. Sie beantwortet aber nur eine von mehreren Fragen. Hinter einem Kurzlink-Dienst stehen das Unternehmen, das den Vertrag mit Ihnen schließt, ein Rechenzentrum, weitere Dienstleister für Datensicherung, E-Mail-Versand und Zahlung sowie Menschen mit Administratorzugang. Jeder dieser Beteiligten kann an einem anderen Ort sitzen als der Server.
Dazu kommt die Geografie. Europa, die EU und der Europäische Wirtschaftsraum (EWR) sind drei verschiedene Kreise. Norwegen gehört zum EWR, das Vereinigte Königreich seit seinem Austritt nicht mehr. Für Übermittlungen in Länder außerhalb des EWR gelten Art. 44 ff. DSGVO. Ein Anbieter, der sich „europäisch“ nennt, kann also in einem Drittland sitzen.
Als europäischen Anbieter bezeichnet dieser Beitrag einen Dienst, dessen Vertragspartner in der EU sitzt und keiner Gesellschaft außerhalb der EU gehört, der in der EU verarbeitet, dessen Unterauftragnehmer benannt sind und dessen Vertrag dem Recht eines EU-Staats unterliegt. Das ist ein Hilfsbegriff für die Auswahl, kein Rechtsbegriff.
Sitz und Konzernstruktur: Wem gehört der Anbieter?
Der erste Blick gilt dem Impressum. Dort stehen Firma, Rechtsform, Anschrift und bei eingetragenen Gesellschaften die Registernummer. Auf englischsprachigen Seiten heißt die Stelle „Legal Notice“ oder „Imprint“. Fehlt sie ganz, hilft der Kopf der Geschäftsbedingungen, in dem die Vertragspartei genannt wird.
Manche Geschäftsbedingungen nennen je nach Land des Kunden unterschiedliche Vertragspartner. Notieren Sie die Gesellschaft, die für Kunden aus Deutschland gilt, mit vollem Namen.
Danach geht es eine Ebene höher. Drei Fälle kommen vor:
- ein eigenständiges Unternehmen mit Sitz in der EU, das keiner anderen Gesellschaft gehört,
- eine Tochtergesellschaft in der EU, deren Mutter außerhalb der EU sitzt,
- ein Unternehmen außerhalb der EU, das eine Niederlassung oder nur Server in der EU unterhält.
Hinweise auf die Eigentümer liefern das Handelsregister, die Seite „Über uns“, Pressemitteilungen zu Übernahmen und bei größeren Gesellschaften der veröffentlichte Jahresabschluss. Welche rechtlichen Folgen eine Muttergesellschaft außerhalb der EU hat, bewertet Ihr Datenschutzbeauftragter. Ihre Aufgabe ist, ihm die Tatsachen zu liefern.
Schreiben Sie das Prüfdatum dazu. Eine Übernahme ändert die Antwort von einem Tag auf den anderen.
Ort der Verarbeitung: mehr als der Standort der Datenbank
Ein Klick auf einen Kurzlink durchläuft mehrere Stationen. Zuerst wird der Domainname aufgelöst. Dann nimmt ein Server die Anfrage an, bei manchen Diensten ein vorgeschaltetes Verteilnetz mit Standorten in vielen Ländern. Die Anwendung schlägt das Ziel nach und schreibt einen Eintrag in die Statistik. Später wandern die Daten in eine Sicherung. Fragen Sie für jede dieser Stationen nach dem Ort.
Ebenso wichtig ist der Betreiber. „Rechenzentrum in Frankfurt“ nennt eine Stadt. Dort stehen Rechenzentren europäischer Unternehmen neben den europäischen Regionen weltweit tätiger Cloud-Konzerne. Für Ihre Dokumentation sind das zwei verschiedene Sachverhalte. Lassen Sie sich deshalb den Betreiber nennen.
Was Sie selbst nachsehen können
Die Vordertür eines Dienstes lässt sich ohne Zugang prüfen. Der Befehl nslookup mit der Kurz-Domain des Anbieters liefert eine IP-Adresse. Eine Whois-Abfrage zu dieser Adresse zeigt, in wessen Netz sie liegt. Steht dort ein weltweites Verteilnetz, ist die erste Station kein einzelner Server in einem EU-Land.
Die Grenze dieser Probe: Sie sehen nur die Station, die die Anfrage annimmt. Wo Datenbank und Sicherungen liegen, erfahren Sie auf diesem Weg nicht. Dafür brauchen Sie die Angaben des Anbieters.
Zugriff aus der Ferne
Fragen Sie auch, ob Mitarbeitende oder Dienstleister von außerhalb der EU auf die Systeme zugreifen, etwa für Wartung oder Support. Wie ein solcher Zugriff einzuordnen ist, entscheidet Ihr Datenschutzbeauftragter.
Unterauftragnehmer: die Liste im AVV lesen
Art. 28 DSGVO regelt die Auftragsverarbeitung. Der Vertrag dazu, kurz AVV, enthält eine Liste der Unterauftragnehmer, als Anlage oder als verlinkte Seite. Das sind die Unternehmen, die der Anbieter seinerseits einsetzt. Sie wird nicht für Werbezwecke geschrieben und ist deshalb oft das aufschlussreichste Dokument eines Dienstes.
Typische Rollen in der Liste eines Kurzlink-Dienstes:
- Hosting und Rechenzentrum,
- Datensicherung,
- Ortsbestimmung aus der IP-Adresse, falls der Anbieter dafür einen externen Dienst befragt,
- E-Mail-Versand für Berichte und Benachrichtigungen,
- Zahlungsabwicklung,
- Fehlerüberwachung und Support-Software.
Lesen Sie die Liste mit einer Unterscheidung im Kopf. Manche Dienstleister erhalten Daten der Menschen, die auf Ihre Links klicken. Andere erhalten nur Ihre eigenen Kundendaten, zum Beispiel für die Rechnung. Für Ihr Verarbeitungsverzeichnis zählt vor allem die erste Gruppe.
Zwei Nachfragen lohnen sich. Zu jedem Eintrag sollten Unternehmen, Sitz und Aufgabe genannt sein. Und der Vertrag sollte regeln, wie Sie von einem neuen Unterauftragnehmer erfahren. Gibt ein Anbieter die Liste vor Vertragsschluss nicht heraus, ist das für die Auswahl bereits ein Befund.
Vertragssprache, anwendbares Recht und Gerichtsstand
Diese drei Angaben stehen in den Geschäftsbedingungen, fast immer in den letzten Abschnitten. In englischen Texten heißen sie „Governing Law“ und „Jurisdiction“. Sie sagen, nach welchem Recht der Vertrag ausgelegt wird und vor welchem Gericht ein Streit landen würde.
Bei der Sprache geht es um mehr als Bequemlichkeit. Ihr Datenschutzbeauftragter muss den AVV lesen und Ihr Einkauf die Bedingungen. Liegt eine deutsche Fassung vor, klären Sie, ob sie verbindlich ist oder nur eine Lesehilfe neben dem maßgeblichen Original.
Ein Gerichtsstand außerhalb Deutschlands ist kein Ausschlussgrund. Ein Streit würde dann aber dort geführt, in fremder Sprache und mit einer Kanzlei vor Ort. Bei einem Dienst für wenige Euro im Monat wird das selten praktisch. Anders sieht es aus, wenn Tausende gedruckter Codes an einem Vertrag hängen.
Für die Buchhaltung zählt daneben die Rechnung: Währung, ausgewiesene Mehrwertsteuer, Zahlungsarten.
Datenexport: Kommen Sie beim Anbieter wieder heraus?
Der letzte Prüfpunkt betrifft den Tag, an dem Sie gehen. Drei Dinge wollen Sie dann mitnehmen.
- Die Linkliste. Kurzname und Zieladresse je Link, in einem Format, das eine Tabellenkalkulation öffnet.
- Die Statistik. CSV oder JSON lassen sich weiterverarbeiten. Ein PDF taugt für die Ablage, aber nicht für einen Jahresvergleich im neuen Werkzeug.
- Die Adressen selbst. Das gelingt nur mit einer eigenen Domain. Über deren DNS-Eintrag bestimmen Sie, welcher Dienst antwortet. Links unter der Domain des Anbieters bleiben bei ihm.
Lesen Sie außerdem im AVV nach, was am Vertragsende mit den gespeicherten Daten geschieht und innerhalb welcher Zeit. Probieren Sie den Export aus, solange Sie ihn nicht brauchen. Ein Testkonto mit drei Links reicht dafür.
Die fünf Prüfpunkte für eine Bitly-Alternative aus der EU als Tabelle
| Prüfpunkt | Fundstelle | Belastbare Antwort | Nachfragen, wenn |
|---|---|---|---|
| Sitz und Konzern | Impressum, Kopf der Geschäftsbedingungen, Handelsregister | Gesellschaft mit Rechtsform, Anschrift und Eigentümern | nur ein Markenname oder ein Postfach genannt ist |
| Ort der Verarbeitung | AVV, Datenschutzerklärung des Anbieters | Land und Betreiber des Rechenzentrums, auch für Sicherungen | nur „EU“ oder „Europa“ ohne Betreiber dasteht |
| Unterauftragnehmer | Anlage zum AVV | Liste mit Unternehmen, Sitz und Aufgabe | die Liste erst nach der Buchung zugänglich ist |
| Vertrag | letzte Abschnitte der Geschäftsbedingungen | verbindliche Sprachfassung, Recht eines EU-Staats, benannter Gerichtsstand | die deutsche Fassung nur als Übersetzung gilt |
| Datenexport | Funktionsübersicht, Tarifvergleich, AVV | Export in offenen Formaten, eigene Domain, Regel zum Vertragsende | der Export an den teuersten Tarif gebunden ist |
Drei erfundene Anbieter, dreimal „Server in der EU“
Angenommen, eine Agentur vergleicht drei Dienste. Alle drei werben wahrheitsgemäß mit Servern in der EU.
Anbieter A ist eine eigenständige Gesellschaft in einem EU-Staat mit Servern bei einem europäischen Rechenzentrumsbetreiber. Sämtliche Unterauftragnehmer sitzen in der EU.
Anbieter B ist die europäische Tochter eines Konzerns von außerhalb der EU. Die Anwendung läuft in der europäischen Region einer weltweiten Cloud, die Support-Software steht mit einem Sitz in Übersee in der Liste.
Anbieter C sitzt außerhalb der EU und bietet einen europäischen Serverstandort als Option in den größeren Tarifen.
Keiner der drei ist damit von vornherein unzulässig. Der Aufwand für Prüfung und Dokumentation unterscheidet sich jedoch deutlich, und die Startseiten hätten das nicht gezeigt.
Wie 7pxl die fünf Prüfpunkte beantwortet
Wer Prüfpunkte aufstellt, muss sich selbst daran messen lassen. Die Angaben stammen aus unserem Impressum und der Seite Datenschutz und Sicherheit.
| Prüfpunkt | Stand bei 7pxl |
|---|---|
| Sitz und Konzern | 7pxl.de ist eine Marke von SecondMay Design, Mühlbachstraße 18, 74842 Billigheim. Ein deutsches Unternehmen ohne US-Mutter und ohne US-Tochter. |
| Ort der Verarbeitung | Rechenzentren der IONOS SE in Deutschland, verteilt auf mehrere getrennte Standorte. Land und Stadt eines Klicks ermitteln wir über eine Datenbank auf dem eigenen Server. Eine Übermittlung von Klick- und Scandaten in Länder außerhalb der EU findet nicht statt. |
| Unterauftragnehmer | IONOS SE für das Hosting. Acronis, ein Schweizer Hersteller, für verschlüsselte Datensicherungen. Stripe für Zahlungen, ohne Zugang zu Klick- und Scandaten. Die Nelpx GmbH in Weissach im Tal für technische Absicherung und Sicherheitsüberwachung. |
| Vertrag | Deutsches Recht. Den AVV nach Art. 28 DSGVO erhalten Sie auf Anfrage, auch vor Vertragsschluss. Oberfläche auf Deutsch, Englisch und Französisch, Preise einschließlich Mehrwertsteuer. |
| Datenexport | Statistik als CSV, JSON oder PDF ab dem Tarif Starter. Eigene Domain und API-Zugang ab Pro. |
Wo wir die Prüfpunkte nur teilweise erfüllen
Die eigene Domain gibt es erst ab Pro für 29 € im Monat. Im kostenlosen Tarif und in Starter laufen Ihre Links unter unserer Domain und ziehen bei einem späteren Wechsel nicht mit um. Der kostenlose Tarif hat keinen Export. Den AVV müssen Sie über das Kontaktformular anfordern. Ein eigenes Zertifikat hat 7pxl nicht. Die Zertifizierung nach ISO 27001 gehört dem Rechenzentrumsbetreiber IONOS.
Den Prüfbogen an 7pxl ausprobieren
Fordern Sie den AVV mit der Liste der Unterauftragnehmer an und testen Sie den Dienst mit zwei Kurzlinks im kostenlosen Tarif.
Wann Sie keinen europäischen Anbieter brauchen
Die fünf Prüfpunkte sind ein Werkzeug für die Auswahl. Eine gesetzliche Pflicht zu einem europäischen Anbieter ergibt sich daraus nicht. Seit dem 10. Juli 2023 gibt es für US-Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind, einen Angemessenheitsbeschluss der EU-Kommission. Den Stand der Verfahren und die Folgen für die Auswahl behandelt unser Beitrag Bitly und DSGVO: Stand der Rechtslage.
Hat Ihr Datenschutzbeauftragter den bisherigen Dienst geprüft und das Ergebnis dokumentiert, und verlangt keine interne Richtlinie etwas anderes, dann können Sie bleiben. Ein Wechsel kostet Arbeitszeit, und Links unter der Domain des alten Anbieters lassen sich nicht mitnehmen.
Wer die Suche auf Deutschland eingrenzt, findet im Beitrag URL-Shortener aus Deutschland einen Bewertungsbogen mit Punkten.
Häufige Fragen
Ist ein Kurzlink-Dienst mit Servern in der EU automatisch ein europäischer Anbieter?
Nein. Der Serverstandort ist einer von fünf Prüfpunkten. Der Vertragspartner kann außerhalb der EU sitzen oder einem Konzern von dort gehören, und einzelne Unterauftragnehmer können in Drittländern arbeiten.
Wie finde ich heraus, wem ein Kurzlink-Dienst gehört?
Beginnen Sie mit dem Impressum und dem Kopf der Geschäftsbedingungen. Dort steht die Gesellschaft, mit der Sie den Vertrag schließen. Über das Handelsregister, die Seite „Über uns“ und Pressemitteilungen zu Übernahmen klären Sie, ob sie zu einem Konzern gehört. Notieren Sie das Datum der Prüfung.
Kann ich den Serverstandort eines Anbieters selbst überprüfen?
Teilweise. Mit nslookup und einer Whois-Abfrage sehen Sie, in wessen Netz die Kurz-Domain des Anbieters liegt. Das zeigt nur die Station, die Anfragen annimmt. Wo Datenbank und Sicherungen liegen, erfahren Sie aus dem AVV.
Ist ein Kurzlink-Dienst aus den USA für europäische Unternehmen unzulässig?
Nicht pauschal. Für US-Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind, besteht seit dem 10. Juli 2023 ein Angemessenheitsbeschluss. Ein Rechtsmittel dagegen ist beim Europäischen Gerichtshof anhängig. Ob Ihr Einsatz eines bestimmten Dienstes passt, prüft Ihr Datenschutzbeauftragter.
Erfüllt 7pxl die fünf Prüfpunkte?
Betreiber ist SecondMay Design in Billigheim, verarbeitet wird in Rechenzentren der IONOS SE in Deutschland, und den AVV gibt es auf Anfrage vor Vertragsschluss. Eingeschränkt gilt das für den Ausstieg: Eine eigene Domain gibt es erst ab dem Tarif Pro, in den kleineren Tarifen laufen Links unter unserer Domain.
Stand: Oktober 2026. Dieser Beitrag ist keine Rechtsberatung. Bitly ist eine Marke der Bitly, Inc. 7pxl steht in keiner Verbindung zu Bitly.
