Die kurze Antwort: wann es konform sein kann
Teams stellen dieselbe Frage immer wieder anders: Ist Link-Klick-Tracking DSGVO-konform? Die ehrliche Antwort lautet: ja, manchmal, aber nicht automatisch. Ein Setup kann im Sinne von DSGVO-konformes Link-Tracking konform sein, wenn die erhobenen Daten auf das Nötigste begrenzt bleiben, der Zweck klar ist und das Team erklären kann, warum jeder Klick erfasst wird. Wenn das Tool nur Klicks zählt und keine Personen identifiziert, ist das Risiko oft geringer. Trotzdem muss man genau hinschauen.
DSGVO-Konformität ist kein Aufkleber für ein Dashboard. Es ist eine Entscheidung über ein konkretes Setup, einen konkreten Zweck und einen konkreten Datenfluss. Ein Marketing-Team, das Newsletter-Klicks trackt, kann anderen Bedingungen unterliegen als ein Produkt-Team, das Klicks innerhalb eines eingeloggten Kontobereichs misst. Gleiches Wort, anderes Risiko.
Der schnellste Test ist einfach: Kannst du das Klick-Tracking in einem Satz beschreiben, die erhobenen Daten benennen und die Rechtsgrundlage für genau diesen Einsatz nennen? Genau die Frage wann ist Klicktracking erlaubt sollte sich jedes Team vor dem Start stellen. Wenn die Antwort vage ist, ist das Setup noch nicht bereit. Wenn sie klar ist, hast du eine brauchbare Grundlage.
Häufige „sichere“ Anwendungsfälle, die meist kein tiefes Tracking brauchen
Manches Klick-Tracking bleibt risikoarm, weil es nie in die Nähe einer Person kommt. Das Zählen aggregierter Klicks auf einer öffentlichen Seite ist ein Beispiel. Ein Team möchte vielleicht wissen, dass 312 Besucher auf einen Button auf der Startseite geklickt haben, aber nicht, wer diese Besucher waren. Das ist eine andere Frage als der Aufbau eines Profils.
Interne Kampagnenlinks können ebenfalls recht einfach bleiben. Wenn ein Team einen Link per E-Mail verschickt, um zu messen, ob die Nachricht funktioniert hat, und die Auswertung auf Gesamtsummen beschränkt bleibt, lässt sich die Verarbeitung oft leichter rechtfertigen. Das Setup ist wichtiger als die Bezeichnung. Ein „Marketing“-Link ist nicht automatisch hochriskant.
Einfaches Link-Performance-Tracking reicht für viele Teams aus. Eine Seite, eine Kampagne, ein Zähler. Wenn du keine Identifikatoren speicherst, ist der Compliance-Aufwand meist geringer. Das macht die Arbeit trotzdem nicht automatisch erledigt.
Manchmal ist das sauberste Design langweilig. Eine Klickzahl, ein Zeitfenster und ein Seitenlabel können alles sein, was das Team braucht. Kein Nutzerprofil. Keine geräteübergreifende Geschichte. Kein Drama.
Wenn du bereits ein A/B-Testing-Links-Setup verwendest, halte den Test eng und dokumentiere die Aufteilung. Eine CTA gegen eine andere zu testen ist nicht dasselbe wie das Erstellen eines Verhaltensprofils, kann aber schnell dahin abgleiten, wenn Identifikatoren denselben Nutzer über mehrere Besuche hinweg begleiten.
Wann aus einer Klickspur ein höheres Identifikationsrisiko wird
Eine Klickspur wird sensibler, wenn sie auf eine Person statt auf eine Seite verweist. Eingeloggte Konten sind der klarste Fall. Wenn das System Klickdaten mit einer E-Mail-Adresse, einer Kunden-ID oder einem Support-Ticket verknüpft, lässt sich die Klickhistorie viel leichter einer identifizierbaren Person zuordnen.
Verhalten über mehrere Sitzungen hinweg erhöht das Risiko ebenfalls. Ein Klick ist ein Moment; sechs Klicks über zwei Monate sind ein Muster. Muster sind relevant, weil sie Vorlieben, Zeitpunkte, Standorte oder die berufliche Rolle offenlegen können. Auch wenn im Bericht kein Name erscheint, können die Kombinationen dennoch personenbezogene Daten sein.
Produktteams übersehen manchmal das stille Risiko: Interne Tools können aufschlussreicher sein als öffentliche. Ein Link, auf den ein Kunde in einem Kundenportal klickt, kann je nach Produkt die Nutzung von Services, Interesse an Rechnungen oder gesundheitsbezogene Anfragen offenbaren. Das ist keine Theorie. So etwas passiert in ganz normalen Dashboards.
Wenn das Tracking-System IP-Adressen, Gerätekennungen, Login-Status oder Referrer-Ketten speichert, wird die Klickspur schärfer. Ein einziges Feld reicht oft schon, um das Bild zu verändern. Zwei Felder machen es noch problematischer. Drei Felder können ausreichen, um eine Prüfung mit höherem Risiko zu rechtfertigen.
Für Teams, die gebrandete Kurzlinks nutzen, mag die öffentliche URL harmlos aussehen, während das Backend immer noch genug Details protokolliert, um den Nutzer zu identifizieren. Eine eigene Kurzlink-Domain kann Vertrauen und Wiedererkennung fördern, reduziert aber die DSGVO-Fragen rund um die Tracking-Daten hinter dem Link nicht automatisch.
Einwilligungssensible Link-Tracking-Funktionen, die man vermeiden oder isolieren sollte
Einige Funktionen schieben Link-Tracking fast immer in eine strengere Prüfung. Persistente Identifikatoren sind eine davon. Cross-Site-Tracking ist eine andere. Wenn derselbe Identifikator eine Person von einer Website zur nächsten begleitet, kann das Setup eher Behavioral Tracking als einfache Analyse darstellen.
Retargeting ist das offensichtlichste Beispiel. Wenn Klickdaten in Anzeigenzielgruppen, Remarketing-Listen oder ähnliche Nachverfolgungssysteme einfließen, beschränkt sich der Zweck nicht mehr auf die Messung eines Links. Dann entsteht ein Marketingprofil, und das ändert oft die Einwilligungsprüfung. Ein Kurzlink kann die Tür zu einem größeren System sein.
Auch klickbezogene Profiling-Funktionen müssen sauber getrennt werden. Angenommen, ein Produktteam nutzt die Klickhistorie, um Interesse, Abwanderungsrisiko oder Kaufabsicht abzuleiten. Das ist keine einfache Berichterstattung. Das Ergebnis beeinflusst, wie eine Person behandelt wird, und das erhöht die Anforderungen.
Wenn ein Tool Retargeting-Pixel auf Kurzlinks anbietet, sollte es als separate Funktion mit eigenem Entscheidungsnachweis behandelt werden. Standardmäßig ausschalten, wenn das Team nur Klickzahlen braucht. Ein Tool zur Einzelklickmessung sollte nicht heimlich zur Werbemaschine werden.
Persistente Cookies, Fingerprinting und versteckte geräteübergreifende Zuordnung sind die Funktionen, die Teams zuerst isolieren sollten. Wenn der Anbieter nicht genau erklären kann, wie diese Funktionen arbeiten, ist das ein Warnsignal. Ein Warnsignal reicht aus, um den Rollout zu stoppen.
So prüfst du das Klick-Tracking eines Anbieters
Beginne mit der Rolle des Anbieters. Frage, ob er als Verantwortlicher, Auftragsverarbeiter oder beides auftritt. Diese Antwort entscheidet darüber, wer den Zweck des Klick-Trackings festlegt und wer die Hauptpflichten nach DSGVO trägt. Das ist kein bloßes Formaldetail.
Dann frage in einfacher Sprache nach dem Datenfluss. Was verlässt den Browser? Was kommt auf dem Server an? Welche Felder werden gespeichert, und wie lange? Ein Anbieter, der mit „Analysedaten“ antwortet, hat eigentlich nichts beantwortet, was hilft.
Auch Unterauftragsverarbeiter sind wichtig. Wenn der Anbieter Klickdaten an Hosting-Dienste, Analyseplattformen, E-Mail-Systeme oder Support-Tools weitergibt, muss jeder dieser Schritte geprüft werden. Bitte um die Namen, die Standorte und den Übermittlungsmechanismus. Wenn Daten außerhalb des Vereinigten Königreichs oder des EWR bewegt werden, sollte das Team das vor dem Start wissen, nicht erst nach der ersten Beschwerde.
Vertragsbedingungen sind nur nützlich, wenn sie zum Produkt passen. Ein guter AV-Vertrag bringt wenig, wenn die Plattform trotzdem zusätzliche Identifikatoren in Protokolle schreibt. Lies die Einstellungen, nicht nur die Verkaufsseite. Verkaufsseiten sind von Natur aus optimistisch.
Wenn dich auch interessiert, wie sich das Ziel nach dem Klick verhält, ist die Redirect-Schicht relevant. Die Wahl zwischen 301- und 302-Weiterleitungen kann Caching und Tracking-Verhalten beeinflussen, daher sollte der Anbieter erklären, warum er sich für die eine oder andere Variante entschieden hat.
Ein schneller Compliance-Test für Marketing- und Produktteams
Nutze vor dem Start einen Drei-Schritte-Test. Schritt 1: Identifiziert das Klick-Tracking eine Person direkt oder indirekt? Schritt 2: Verfolgt es dieselbe Person über Sitzungen, Websites oder Geräte hinweg? Schritt 3: Fließt es in Marketing, Profiling oder Ad-Targeting ein? Wenn du eine dieser Fragen mit Ja beantwortest, steigt das Risiko schnell.
Geringes Risiko bedeutet meist: eine Seite, aggregierte Auswertung, keine persistente ID, keine Werbenutzung und kein verstecktes Cross-Site-Verhalten. Mittleres Risiko bedeutet meist: Klicks von eingeloggten Nutzern, eine gewisse eindeutige Kennung und begrenzte Aufbewahrung. Hohes Risiko bedeutet meist: Retargeting, Profiling oder Übermittlungen, die das Team nicht in einem Absatz erklären kann.
Lege eine kurze Freigabeschranke fest. Wenn die Funktion eine Einwilligung braucht, halte das fest. Wenn sie auf einer anderen Rechtsgrundlage laufen kann, halte auch das fest. Wenn niemand die Grundlage erklären kann, stoppe den Rollout. Genau dafür ist eine Freigabeschranke da.
Einige Teams müssen neben der DSGVO auch die Linksicherheit bedenken. Wenn dasselbe Tool für öffentliche Kampagnen und private Inhalte genutzt wird, trenne die Anwendungsfälle. Ein passwortgeschütztes Ziel ist nicht dasselbe wie eine öffentliche Landingpage, und das Logging-Modell sollte das widerspiegeln. Siehe passwortgeschützte Links, wenn dein Team den Zugriff ebenso steuert wie die Klicks.
Welche Nachweise du für ein Audit aufbewahren solltest
Bewahre die Anbieterdokumentation auf, aber bleib nicht dabei stehen. Speichere Screenshots der Einstellungen, die zum Start aktiv waren. Dokumentiere, ob persistente Identifikatoren deaktiviert waren, ob Retargeting ausgeschaltet war und ob Cross-Site-Tracking blockiert wurde. Eine Einstellungsseite aus 2026 hilft nicht, wenn niemand die Version von 2025 gespeichert hat.
Auch interne Freigaben sind wichtig. Wenn Recht, Datenschutz oder Security die Funktion geprüft haben, bewahre die Freigabe auf. Eine einzelne E-Mail kann genügen, wenn sie die Entscheidung, das Datum und den Umfang klar nennt. Eine vage Chatnachricht ist besser als nichts, aber nicht viel.
Schreibe den Zweck in einem Satz auf. Nicht in drei. In einem. „Newsletter-Klickrate im monatlichen UK-Update messen“ ist besser als „Engagement verbessern“. Der erste Satz ist prüfbar. Der zweite kann alles bedeuten.
Aufbewahrungsnachweise helfen, wenn jemand fragt, warum Klickprotokolle noch gespeichert werden. Wenn das Team Daten 30 Tage lang aufbewahrt, sollte das so festgehalten werden. Wenn der Anbieter nach 14 Tagen löscht, ebenfalls. Wenn es eine Ausnahme für Betrugsprüfungen gibt, auch das. Prüfer mögen Grenzen, weil Grenzen sichtbar sind.
Wenn dein Programm Link-Shortener in großem Umfang einsetzt, bewahre eine Kopie der Leistungsbeschreibung von urlik.xyz auf und notiere, welche Funktionen aktiviert waren. Ein einfacher Zähler ist etwas anderes als ein funktionsreiches Tracking-Setup. Die Audit-Spur sollte den Unterschied zeigen.
Wenn du unsicher bist: die engste sichere Ausweichlösung
Wenn das Team nur Einblick in die Link-Performance braucht, wähle das engste Setup, das du vertreten kannst. Aggregierte Zählungen sind eine starke Ausweichlösung. Kurze Aufbewahrung hilft. Keine personenbezogenen Identifikatoren helfen noch mehr. Jedes entfernte Feld macht die Erklärung einfacher.
Nutze die kleinstmögliche Zahl an Ereignissen. Ein Klickereignis kann genügen. Zwei sind oft schon zu viel, wenn das zweite Ereignis beginnt, eine Nutzerhistorie aufzubauen. Vermeide es, rohe IP-Adressen zu speichern, es sei denn, du kannst den genauen Bedarf und das Aufbewahrungsfenster erklären.
Ein weiterer sinnvoller Schritt ist, Marketing-Funktionen von Messfunktionen zu trennen. Bündle Retargeting nicht einfach im selben Tool, nur weil der Anbieter es anbietet. Ein sauberes Setup lässt sich leichter erklären als ein Funktionspaket, das niemand in einem Meeting beschreiben kann.
Wenn dein Team nur Standort- oder Kampagnenzusammenfassungen braucht, überlege, ob das Klick-Tracking auf grober Ebene bleiben kann. Berichte auf Länderebene sind etwas anderes als Berichte auf Nutzerebene. Dasselbe gilt für ein einzelnes Kampagnenlabel versus eine vollständige Verhaltenszeitleiste.
Manche Teams kombinieren minimales Tracking auch mit strengeren Zugriffskontrollen für das Ziel selbst. Wenn ein Link auf sensibles Material verweist, sollte das Ziel nicht mehr offenlegen als nötig. Genau hier wird Sind Kurzlinks sicher? Wie zu einer praktischen Frage und nicht zu einer theoretischen.
Frag vor dem ersten Live-Versand noch einmal: Wenn ein Aufsichtsbehörde oder ein Kunde fragen würde, warum dieser Klick erfasst wurde, könnte das Team in 60 Sekunden antworten, ohne die Marketingbroschüre des Anbieters herauszusuchen? Wenn nicht, braucht das Setup noch einen weiteren Durchgang.