Bitly ist der bekannteste Kurzlink-Dienst der Welt — mehr als 70 % aller getrackten Kurzlinks weltweit laufen darüber. Auch in deutschen Marketing-Teams ist das Tool weit verbreitet. Aber spätestens seit dem Schrems-II-Urteil 2020 stellt sich die Frage: Ist Bitly überhaupt DSGVO-konform nutzbar?
Die kurze Antwort: Es ist kompliziert — und für die meisten deutschen Unternehmen rechtlich heikel. Dieser Artikel erklärt warum, was du dagegen tun kannst, und welche Alternativen es gibt.
1. Wo das Problem liegt: Bitly ist ein US-Unternehmen
Bitly Inc. hat seinen Sitz in New York City und unterliegt damit dem US-Recht — insbesondere dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act). Dieser erlaubt US-Behörden, von US-Unternehmen die Herausgabe von Daten zu fordern, auch wenn diese Daten auf Servern außerhalb der USA liegen.
Aus DSGVO-Sicht heißt das: Selbst wenn Bitly Daten technisch in Europa speichern würde — die Übermittlungspflicht an US-Behörden bliebe bestehen. Genau dieser Konflikt war Kern des Schrems-II-Urteils des EuGH vom 16. Juli 2020.
Schrems II hat den Privacy Shield für ungültig erklärt und festgestellt: Standardvertragsklauseln allein reichen nicht — Unternehmen müssen zusätzlich prüfen ob im Empfängerland ein DSGVO-vergleichbares Schutzniveau besteht. Bei den USA ist die Antwort laut EuGH: nein.
2. Welche Daten Bitly überhaupt sammelt
Bei jedem Bitly-Kurzlink-Klick werden mindestens diese Daten verarbeitet:
- IP-Adresse des Klickenden (personenbezogenes Datum nach DSGVO Art. 4)
- User-Agent (Browser, Betriebssystem, ggf. Gerät)
- Referrer (von welcher Seite kam der Klick)
- Geo-Daten (per IP-Lookup: Stadt, Land)
- Zeitstempel
- Tracking-Cookies in höheren Plänen für Cross-Device-Attribution
Die IP-Adresse allein ist nach EuGH-Rechtsprechung (Breyer-Urteil 2016) ein personenbezogenes Datum — auch in „pseudonymisierter“ Form. Damit greift die volle DSGVO.
3. Was Bitly als „DSGVO-Compliance“ anbietet
Bitly hat einen DPA (Data Processing Agreement / Auftragsverarbeitungsvertrag) und nutzt Standardvertragsklauseln für den Datentransfer in die USA. In der Praxis bedeutet das:
- Du musst den AVV aktiv anfordern und unterschreiben (nicht jeder weiß das)
- Du musst eine Transfer Impact Assessment (TIA) durchführen — eine dokumentierte Risikoanalyse für den Drittlandtransfer
- Du musst zusätzliche technische Maßnahmen ergreifen, z. B. Pseudonymisierung, Zugriffsbeschränkungen, Audit-Logs
- Du musst deinen Datenschutz-Beauftragten und ggf. die Aufsichtsbehörde informieren
Realistisch gesehen: kaum ein deutsches mittelständisches Unternehmen macht das vollständig. Die meisten setzen Bitly „einfach so“ ein — und riskieren damit Bußgelder bis zu 4 % vom Jahresumsatz.
4. Was die deutschen Aufsichtsbehörden sagen
Die Datenschutz-Konferenz (DSK) der Länder hat in mehreren Beschlüssen klargestellt: US-basierte Tracking-Dienste sind ohne explizite Einwilligung und vollständige Risiko-Analyse nicht zulässig. Insbesondere Google Analytics wurde mehrfach abgemahnt — die gleichen Argumente gelten 1:1 für Bitly.
2024 hat die österreichische Datenschutzbehörde eine erste konkrete Entscheidung gegen einen Kurzlink-Dienst mit US-Hosting getroffen. Es ist nur eine Frage der Zeit bis solche Verfahren auch in Deutschland verbreitet sind.
5. Was die Alternative ist
Wer DSGVO-konform Kurzlinks und QR-Codes tracken will, hat im Wesentlichen zwei Optionen:
Option A: Selbst hosten
Open-Source-Tools wie YOURLS oder Polr selbst auf EU-Servern betreiben. Funktioniert, kostet aber Server-Setup, Wartung, SSL-Renewal, DB-Backup-Strategie — typischerweise 5-10 h Setup + monatlich 1-2 h Wartung.
Option B: EU-basierter SaaS
Deutsche oder europäische Anbieter mit Hosting in der EU. Spurig ist einer davon: Server in Frankfurt, IP-Anonymisierung ab Tag 1, keine Tracking-Cookies, kein Cookie-Banner nötig. Vollständige Datenschutz-Compliance ohne dass dein Datenschutz-Team eine Risiko-Analyse machen muss.
Vergleich der beiden Lösungen findest du auf /bitly-alternative mit kompletter Feature-Tabelle und Preis-Übersicht.
Fazit
Bitly funktioniert technisch hervorragend — aber für deutsche Unternehmen ist die rechtliche Compliance ein erheblicher Aufwand, der in der Realität kaum vollständig umgesetzt wird. Wer auf der sicheren Seite sein will, wechselt auf einen EU-basierten Anbieter mit transparenter Datenschutz-Architektur.
Spurig kostet 8,99 € netto/Mo im Jahresabo — etwa 95 % weniger als Bitlys Growth-Plan (199 $/Mo), und braucht keine TIA. Du kannst es 14 Tage kostenlos testen, ohne Karte.