Der Ratgeber erklärt die Rechtslage allgemein. Er ist keine Rechtsberatung, die Bewertung Ihres Einsatzes trifft Ihr Datenschutzbeauftragter.
- Personenbezug
- IP-AdresseEuGH C-582/14 vom 19.10.2016
- Vertrag
- AVV nach Art. 28vor dem ersten produktiven Link
- Dokumentation
- Verzeichnis nach Art. 30Beispiel-Eintrag weiter unten
- USA
- Data Privacy Frameworkseit 10.07.2023, Rechtsmittel anhängig
Sind Kurzlinks nach der DSGVO zulässig?
Kurz gesagt
Ja, Kurzlinks sind nach der DSGVO zulässig. Weil der Kurzlink-Dienst bei jedem Aufruf die IP-Adresse des Besuchers erhält, verarbeitet er personenbezogene Daten, und zwar in Ihrem Auftrag. Sie brauchen deshalb einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, einen Eintrag im Verarbeitungsverzeichnis, einen Hinweis in der Datenschutzerklärung, eine geklärte Drittland-Frage und eine Löschfrist für die Klickdaten.
Dieser Ratgeber beschreibt, was das Recht von Unternehmen, Behörden und Vereinen verlangt, die Links kürzen und Klicks zählen. Wie wir die einzelnen Punkte bei 7pxl technisch umgesetzt haben, steht auf der Produktseite zum URL-Shortener aus Deutschland und kommt hier erst im letzten Abschnitt vor.
Die fünf Pflichten fallen einmal an, nämlich bei der Einführung des Dienstes. Danach genügen bei jedem neuen Link zwei Kontrollen: Steht in der Zieladresse oder in den Parametern etwas, das auf eine einzelne Person zeigt? Und liegt der Link in dem Konto, für das der Vertrag gilt?
Warum ein Kurzlink personenbezogene Daten berührt
Ein Kurzlink ist ein Umweg über einen fremden Server. Der Browser fragt zuerst den Kurzlink-Dienst, erhält von dort die eigentliche Adresse und ruft erst dann das Ziel auf.
An dieser Zwischenstation entstehen Daten, auch wenn der Dienst gar nichts auswerten will. Jede Anfrage im Internet enthält die IP-Adresse des Absenders, sonst wüsste der Server nicht, wohin er antworten soll. Dazu kommen Angaben, die der Browser von sich aus mitschickt.
Der Europäische Gerichtshof hat IP-Adressen am 19. Oktober 2016 im Verfahren C-582/14 (Breyer) als personenbezogene Daten eingeordnet. Sie fallen damit unter Art. 4 Nr. 1 DSGVO. Für Kurzlinks folgt daraus: Die Verordnung greift bereits im Moment der Weiterleitung. Selbst ein Dienst ohne jede Statistik verarbeitet die IP-Adresse für die Dauer der Antwort.
Was danach mit den Angaben geschieht, unterscheidet die Dienste voneinander. Die Tabelle nennt zu jeder Angabe die Frage an den Anbieter.
| Angabe | Woher sie stammt | Prüffrage |
|---|---|---|
| IP-Adresse | Teil jeder Anfrage | Wird sie gespeichert, gekürzt oder nach der Antwort verworfen? |
| Zeitpunkt | Uhr des Servers | Auf die Sekunde genau oder zusammengefasst je Tag? |
| Gerät, Betriebssystem, Browser | Kopfzeile User-Agent | Als grobe Kategorie oder als vollständige Zeichenkette mit Versionsnummern? |
| Verweisende Seite | Kopfzeile Referer, sofern der Browser sie sendet | Können darin interne Adressen stehen, etwa aus einem Intranet oder Webmail-Postfach? |
| Land und Stadt | aus der IP-Adresse abgeleitet | Leitet der Anbieter selbst ab, oder fragt er dafür einen weiteren Dienst, der dann ebenfalls die IP-Adresse erhält? |
| Parameter hinter dem Fragezeichen | vom Absender des Links angehängt | Stehen dort nur Kampagnennamen oder auch Kennungen einzelner Empfänger? |
| Zieladresse | vom Ersteller des Links hinterlegt | Enthält der Pfad Namen, Kundennummern oder E-Mail-Adressen? |
Die ersten fünf Zeilen entstehen beim Klick. Die letzten beiden haben Sie selbst in der Hand.
Wer ist Verantwortlicher, wer Auftragsverarbeiter?
Die DSGVO kennt zwei Rollen. Verantwortlicher ist, wer über Zweck und Mittel einer Verarbeitung entscheidet. Auftragsverarbeiter ist, wer Daten für den Verantwortlichen und nach dessen Weisung verarbeitet. Bei Kurzlinks verteilen sich die Rollen so:
- Ihr Unternehmen
- Verantwortlicher. Sie entscheiden, dass ein Link gekürzt wird, wo er erscheint und ob Aufrufe gezählt werden. Auskunfts- und Löschanfragen Betroffener gehen an Sie, nicht an den Dienst.
- Der Kurzlink-Dienst
- Auftragsverarbeiter, solange er die Klickdaten ausschließlich für Sie verarbeitet. Nutzt ein Dienst die Daten zusätzlich für eigene Zwecke, etwa für Werbeprofile, passt das nicht mehr zur reinen Auftragsverarbeitung. Lesen Sie deshalb im Vertrag nach, für welche Zwecke der Anbieter die Daten verwenden darf.
- Eine Agentur dazwischen
- Legt eine Agentur die Links in ihrem eigenen Konto für Sie an, ist die Agentur Ihr Auftragsverarbeiter und der Kurzlink-Dienst deren Unterauftragnehmer. Sie brauchen dann einen Vertrag mit der Agentur, und die Agentur braucht einen mit dem Dienst. Die Kette beschreibt die Seite Kurzlinks für Agenturen.
- Der Betreiber der Zielseite
- Nach der Weiterleitung beginnt auf dem Zielserver eine neue Verarbeitung. Bei Ihrer eigenen Website sind Sie auch dort verantwortlich, bei einem Videoportal oder Marktplatz ist es dessen Betreiber.
Die fünf Pflichten in der Reihenfolge, in der sie anfallen
Vorab: die Rechtsgrundlage
Jede Verarbeitung braucht eine Grundlage aus Art. 6 DSGVO. Welche bei Ihnen trägt, hängt davon ab, ob Sie Aufrufe nur zählen oder einzelnen Personen zuordnen. Diese Festlegung trifft Ihr Datenschutzbeauftragter. Sie taucht im Verzeichnis und in der Datenschutzerklärung wieder auf.
-
Vertrag zur Auftragsverarbeitung schließen
Art. 28 DSGVO verlangt einen Vertrag, bevor der Dienst für Sie Daten verarbeitet. Er regelt Gegenstand und Dauer, die Art der Daten, die Bindung an Ihre Weisungen, die Unterauftragnehmer, die Sicherheitsmaßnahmen und die Löschung am Vertragsende. Lesen Sie zuerst die Liste der Unterauftragnehmer. Dort zeigt sich, wo die Daten tatsächlich landen.
-
Verarbeitung ins Verzeichnis eintragen
Das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO bekommt einen Eintrag für Kurzlinks und QR-Codes. Die meisten Angaben können Sie aus dem AVV übernehmen. Ein ausgefülltes Beispiel steht im nächsten Abschnitt.
-
Datenschutzerklärung ergänzen
Art. 13 DSGVO verpflichtet Sie, Betroffene über die Verarbeitung zu informieren. Üblich ist ein eigener Absatz in der Datenschutzerklärung Ihrer Website. Die nötigen Angaben stehen weiter unten als Liste.
-
Drittland-Frage klären
Verarbeitet der Anbieter oder einer seiner Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums, greifen Art. 44 ff. DSGVO. Dann brauchen Sie für die Übermittlung eine eigene Grundlage und einen Vermerk, wann Sie sie geprüft haben.
-
Löschfrist festlegen und einhalten
Art. 5 DSGVO verlangt, Daten nur so lange zu speichern, wie der Zweck es erfordert. Für Klickstatistiken heißt das: eine feste Frist, nach der Einträge verschwinden. Sie gilt auch für exportierte Dateien auf Ihren Laufwerken.
Beispiel-Eintrag für das Verarbeitungsverzeichnis
Ein Beispiel für den Regelfall: Kurzlinks und QR-Codes in der Außenkommunikation, Aufrufe werden gezählt, aber keiner Person zugeordnet. Angaben in eckigen Klammern ersetzen Sie durch Ihre eigenen.
| Feld | Beispiel-Inhalt |
|---|---|
| Bezeichnung | Kurzlinks und QR-Codes in Marketing und Kundenkommunikation |
| Zuständiger Bereich | Marketing, [Name der zuständigen Person] |
| Zweck | Weiterleitung auf Zielseiten. Zählung der Aufrufe je Link, um Kampagnen und Druckstücke auszuwerten. |
| Rechtsgrundlage | [Festlegung des Datenschutzbeauftragten mit kurzer Begründung] |
| Betroffene Personen | Personen, die einen Kurzlink aufrufen oder einen QR-Code scannen: Kundschaft, Interessierte, Bewerbende |
| Datenkategorien | IP-Adresse (zur Weiterleitung), Zeitpunkt, Land, Stadt, Gerätetyp, Betriebssystem, Browser, Sprache, verweisende Seite, Kampagnenparameter. [Gespeicherte Felder laut AVV] |
| Empfänger | [Anbieter, Sitz] als Auftragsverarbeiter, AVV vom [Datum]. Unterauftragnehmer laut Anlage zum AVV. |
| Drittland | [Nein] oder [Ja: Land, Grundlage der Übermittlung, geprüft am Datum] |
| Löschfrist | Klickdaten: automatisch nach [6 oder 12] Monaten beim Anbieter. Exporte: [3] Monate nach Kampagnenende. |
| Sicherheitsmaßnahmen | Verweis auf die Anlage zum AVV. Intern: Zugänge je Person, Anmeldung mit zweitem Faktor, kein gemeinsam genutztes Passwort. |
Links, die einzelne Empfänger kennzeichnen, gehören in einen eigenen Eintrag oder in den des Newsletter-Versands. Zweck, Rechtsgrundlage und Datenkategorien sind dort andere.
Welche Angaben in die Datenschutzerklärung gehören
Die Information nach Art. 13 DSGVO muss verständlich sein und die Verarbeitung so beschreiben, wie sie stattfindet. Für Kurzlinks sind das sieben Angaben, zusätzlich zu den Betroffenenrechten und Kontaktdaten, die ohnehin in Ihrer Datenschutzerklärung stehen:
- dass Sie Kurzlinks und QR-Codes einsetzen und an welchen Stellen, zum Beispiel in Newslettern, auf Druckstücken und in sozialen Netzwerken
- den Zweck: Weiterleitung und Messung der Reichweite
- den Anbieter mit Sitz und den Hinweis, dass er als Auftragsverarbeiter tätig ist
- welche Daten beim Aufruf verarbeitet und welche davon gespeichert werden
- die Rechtsgrundlage
- die Speicherdauer als konkrete Frist
- ob Daten in ein Drittland gehen, und wenn ja, auf welcher Grundlage
Formulierungsbeispiel, vor der Verwendung anpassen und prüfen lassen
„Für Links in Newslettern, auf Druckstücken und in sozialen Netzwerken nutzen wir den Kurzlink-Dienst [Name, Sitz]. Wenn Sie einen solchen Link aufrufen oder einen unserer QR-Codes scannen, verarbeitet der Dienst in unserem Auftrag Ihre IP-Adresse, um Sie zur Zielseite weiterzuleiten. Um die Reichweite zu messen, speichert er [Zeitpunkt, Land, Stadt, Gerätetyp, Browser, Sprache und die verweisende Seite]. Diese Angaben werden nach [Frist] gelöscht. Rechtsgrundlage ist [Angabe]. Mit dem Anbieter besteht ein Vertrag nach Art. 28 DSGVO.“
Anbieter außerhalb der EU: Stand beim Data Privacy Framework
Sitzt der Kurzlink-Dienst in den USA, brauchen Sie für die Übermittlung dorthin eine Grundlage nach Art. 44 ff. DSGVO. Welche es gibt, hat sich seit 2020 zweimal geändert. Der Stand im Oktober 2026:
| Datum | Ereignis | Folge |
|---|---|---|
| 16.07.2020 | EuGH, C-311/18 („Schrems II“) | Das Abkommen Privacy Shield ist ungültig. |
| 10.07.2023 | Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework | Übermittlungen an US-Unternehmen, die sich unter dem Framework zertifiziert haben, sind auf dieser Grundlage möglich. |
| 03.09.2025 | Gericht der EU, T-553/23 (Latombe) | Die Klage gegen den Beschluss wird abgewiesen. Er bleibt in Kraft. |
| offen | Rechtsmittel beim EuGH | Das Verfahren ist anhängig, der Ausgang steht nicht fest. |
Ein US-Dienst ist damit nicht von vornherein unzulässig. Wer einen einsetzt, hat aber drei Aufgaben. Prüfen Sie, ob das Unternehmen unter dem Framework zertifiziert ist. Halten Sie Datum und Ergebnis im Verzeichnis fest. Legen Sie sich eine Wiedervorlage an, weil ein Urteil des EuGH die Grundlage erneut verändern kann.
Bei einem Anbieter mit Sitz in der EU ist die Frage nicht automatisch erledigt. Auch ein europäischer Dienst kann Unterauftragnehmer in Drittländern einsetzen, etwa für die Ortsbestimmung. Maßgeblich ist die Liste im AVV, nicht die Adresse im Impressum.
Sechs Fehler, die in der Praxis vorkommen
Empfänger-Kennung im Newsletter-Link
Newsletter-Werkzeuge können an jeden Link eine Kennung des Empfängers hängen, damit sich Klicks einzelnen Adressen zuordnen lassen. Läuft so ein Link über einen Kurzlink-Dienst, kommt die Kennung auch dort an. Aus „ein Aufruf aus Köln“ wird „Empfänger 48213 hat geklickt“. Mit ?utm_campaign=herbst zählen Sie eine Kampagne, mit ?uid=48213 beobachten Sie eine Person. Das zweite ist eine andere Verarbeitung mit eigener Rechtsgrundlage.
Privates Gratis-Konto im Firmeneinsatz
Angenommen, ein Kollege kürzt Links seit Jahren über ein Konto, das er mit seiner privaten E-Mail-Adresse angelegt hat. Einen AVV gibt es dafür nicht, das Unternehmen hat keinen Zugriff, und nach seinem Ausscheiden lässt sich kein Ziel mehr ändern. Abhilfe schafft ein Firmenkonto mit Vertrag und Zugängen je Person.
Kein Vertrag zur Auftragsverarbeitung
Eine Abteilung hat den Dienst eingeführt, einen AVV hat niemand angefordert. Holen Sie ihn nach und vermerken Sie das Datum. Bietet der Anbieter in Ihrem Tarif keinen an, bleibt der Wechsel des Tarifs oder des Anbieters.
Personendaten in der Zieladresse
Eine Adresse wie portal.beispiel.de/rechnung/anna-mueller/2026-0417 liegt beim Kurzlink-Dienst im Klartext. Sie erscheint in Übersichten, Exporten und E-Mail-Berichten. Verwenden Sie neutrale Kennungen und lassen Sie die Person sich am Ziel anmelden.
Kurzlink als Zugriffsschutz
Ein Kurzname aus wenigen Zeichen lässt sich erraten oder durchprobieren. Ein vertrauliches Dokument ist nicht geschützt, nur weil „niemand den Link kennt“. Der Zugriffsschutz gehört an das Ziel. Ein Passwort auf dem Kurzlink kann ihn ergänzen, aber nicht ersetzen.
Exporte ohne Löschfrist
Der Dienst löscht Klickdaten nach der vereinbarten Zeit. Die CSV-Datei, die jemand vor zwei Jahren für eine Präsentation gezogen hat, liegt noch auf dem Laufwerk.
Grenzfall: sehr kleine Empfängerkreise
Geht ein Link nur an fünf Personen, etwa in einer internen Rundmail, kann schon die Kombination aus Uhrzeit, Stadt und Gerät verraten, wer geklickt hat. Stimmen Sie Auswertungen interner Links mit dem Datenschutzbeauftragten und, wo vorhanden, mit dem Betriebsrat ab, oder werten Sie solche Links gar nicht aus.
Sonderfall: QR-Code auf Papier
Bei einem QR-Code auf Flyer, Plakat oder Etikett hängt alles davon ab, was im Code steht. Ein statischer Code enthält das Ziel selbst. Ein dynamischer Code enthält einen Kurzlink, und für den gelten sämtliche Punkte dieses Ratgebers.
| Merkmal | Statischer Code | Dynamischer Code |
|---|---|---|
| Inhalt des Codes | die Zieladresse selbst oder Daten wie WLAN-Zugang, Kontakt, Kalendereintrag | die Adresse eines Kurzlinks |
| Wer vom Scan erfährt | bei einer Internetadresse der Zielserver, bei WLAN-, Kontakt- und Kalender-Codes niemand | erst der Kurzlink-Dienst, dann der Zielserver |
| Scans zählen, Ziel nach dem Druck ändern | nicht möglich | möglich |
| Kurzlink-Dienst beteiligt | nein, es bleibt die Verarbeitung auf der Zielseite | ja, mit AVV, Verzeichnis-Eintrag und Löschfrist |
Für Papier kommen zwei Besonderheiten hinzu. Ein gedruckter dynamischer Code funktioniert nur, solange der Kurzlink besteht. Vertrag und Verzeichnis-Eintrag müssen deshalb so lange gelten, wie das Druckstück im Umlauf ist. Bei einem Schild sind das Jahre. Außerdem sieht man einem Code nicht an, wohin er führt. Drucken Sie die Kurzadresse lesbar daneben, dann weiß jeder vor dem Scan, welche Domain er aufruft.
Wenn Sie weder das Ziel ändern noch Scans zählen wollen, nehmen Sie einen statischen Code. Unser QR-Generator erzeugt solche Codes ohne Anmeldung, mehr dazu unter QR-Codes kostenlos erstellen.
Wie wir die Anforderungen bei 7pxl umsetzen
Bis hierher ging es um Pflichten, die für jeden Dienst gelten. Die Tabelle zeigt, was 7pxl dazu liefert. Die Unterauftragnehmer und technischen Einzelheiten stehen in der Prüfunterlage Datenschutz und Sicherheit.
| Anforderung | Stand bei 7pxl |
|---|---|
| AVV nach Art. 28 | auf Anfrage über das Kontaktformular, auch vor Vertragsschluss |
| Ort der Verarbeitung | Rechenzentren der IONOS SE in Deutschland. Betreiber ist SecondMay Design in Billigheim, ein deutsches Unternehmen ohne US-Mutter oder US-Tochter. |
| Gespeicherte Angaben je Aufruf | Zeitpunkt, Kontinent, Land, Stadt, Gerätetyp, Betriebssystem, Browser, Browsersprache, verweisende Website, drei UTM-Parameter und ein Kennzeichen für den ersten Aufruf. Die IP-Adresse steht nicht in der Statistik. |
| Ortsbestimmung | über eine Datenbank, die auf dem Server selbst liegt. Ein externer Dienst wird nicht gefragt. |
| Löschfrist | Starter 6 Monate, Pro, Premium und Unlimited 1 Jahr. Danach werden die Einträge automatisch gelöscht. |
| Weitergabe und Drittland | Klick- und Scandaten werden nicht verkauft, nicht an Dritte weitergegeben und nicht in Länder außerhalb der EU übermittelt. |
| Weiterleitung | ohne eingebundene Skripte von Werbenetzwerken oder Analysediensten |
Was wir Ihnen nicht abnehmen können
Rechtsgrundlage, Verzeichnis-Eintrag und Datenschutzerklärung bleiben Ihre Aufgabe. Auch für den Inhalt Ihrer Links sind Sie zuständig: Die Felder utm_source, utm_medium und utm_campaign landen in der Statistik. Tragen Sie dort eine Empfänger-Kennung ein, speichern wir sie wie jeden anderen Kampagnennamen. Ob Ihr Einsatz insgesamt den Anforderungen genügt, können wir deshalb nicht zusagen.
Häufige Fragen zu DSGVO und Kurzlinks
Brauche ich für Kurzlinks einen Vertrag zur Auftragsverarbeitung?
Im geschäftlichen Einsatz ja. Der Dienst verarbeitet bei jedem Aufruf die IP-Adresse des Besuchers für Sie. Dafür verlangt Art. 28 DSGVO einen Vertrag, auch wenn keine Statistik geführt wird.
Muss ich Kurzlinks in der Datenschutzerklärung erwähnen?
Ja. Nach Art. 13 DSGVO müssen Betroffene erfahren, wer ihre Daten zu welchem Zweck verarbeitet. Üblich ist ein eigener Absatz mit Anbieter, Zweck, gespeicherten Daten, Rechtsgrundlage und Frist.
Darf ich einen Kurzlink-Dienst aus den USA einsetzen?
Das ist nicht von vornherein ausgeschlossen. Seit dem 10. Juli 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss für zertifizierte US-Unternehmen. Prüfen Sie die Zertifizierung, dokumentieren Sie das Ergebnis und behalten Sie das anhängige Rechtsmittel beim EuGH im Blick.
Ist eine Klickstatistik ohne IP-Adresse noch personenbezogen?
Das hängt vom Einzelfall ab. Ein Eintrag wie „Smartphone, Köln, 14:02 Uhr“ lässt sich bei einem öffentlich verteilten Link keiner Person zuordnen, bei fünf Empfängern oder einer Empfänger-Kennung im Parameter schon eher. Die IP-Adresse wird während der Weiterleitung ohnehin verarbeitet, die DSGVO gilt also in jedem Fall.
Gelten die Pflichten auch für QR-Codes auf Flyern und Plakaten?
Für dynamische QR-Codes ja, denn sie enthalten einen Kurzlink. Ein statischer Code enthält das Ziel selbst, ein Kurzlink-Dienst ist am Scan nicht beteiligt. Es bleibt dann bei der Verarbeitung auf der Zielseite.
Was mache ich mit Kurzlinks, die seit Jahren ohne Vertrag im Umlauf sind?
Stellen Sie fest, in welchen Konten die Links liegen, fordern Sie den AVV an und tragen Sie die Verarbeitung im Verzeichnis nach. Links aus privaten Konten ersetzen Sie nach und nach durch Links aus einem Firmenkonto.
Weiterlesen
Den AVV zuerst lesen
Den Vertrag zur Auftragsverarbeitung erhalten Sie auf Anfrage, auch bevor Sie einen Tarif buchen. So kann Ihr Datenschutzbeauftragter Schritt 1 vorab erledigen.