Ist Linktree DSGVO-konform?

Die Frage taucht fast immer im gleichen Moment auf: Du nutzt deinen Bio-Link geschäftlich, jemand weist dich auf das Thema Datenschutz hin, und plötzlich ist unklar, ob der Link in deiner Instagram-Biografie ein Problem ist.

Dieser Artikel erklärt die vier Punkte, an denen es konkret hakt, zeigt dir einen Selbsttest, mit dem du jedes Tool in zwei Minuten prüfen kannst, und sagt ehrlich, was eine Alternative leisten muss.

Punkt 1 — Cookies und Skripte laden vor der Einwilligung

Die DSGVO und das TDDDG verlangen für nicht zwingend erforderliche Cookies und für Tracking eine vorherige Einwilligung. Auf einer Linktree-Seite laufen Analyse- und Tracking-Funktionen jedoch schon beim ersten Aufruf mit — und zwar unter der Kontrolle der Plattform.

Der entscheidende Unterschied zu deiner eigenen Website: Dort könntest du ein Consent-Banner einbauen. Auf einer Linktree-Seite hast du keinen Zugriff auf den Quelltext und kannst nicht bestimmen, was vor der Einwilligung geladen wird. Die Lücke lässt sich also nicht nachträglich schließen.

Punkt 2 — Die IP-Adresse deiner Besucher ist ein personenbezogenes Datum

Das wird oft unterschätzt. Sobald eine Seite geladen wird, überträgt der Browser die IP-Adresse an jeden Server, der an der Auslieferung beteiligt ist. Nach ständiger Rechtsprechung gilt die IP-Adresse als personenbezogenes Datum — die Übermittlung ist also eine Verarbeitung und braucht eine Rechtsgrundlage.

Je mehr Drittanbieter eine Seite einbindet — Analyse-Dienste, Schriftarten, Pixel —, desto mehr Empfänger bekommen diese IP-Adresse, ohne dass der Besucher davon erfährt.

Punkt 3 — Datenübermittlung in Drittländer

Linktree ist ein australisches Unternehmen mit überwiegend US-amerikanischer Infrastruktur. Eine Übermittlung in Drittländer ist nicht automatisch unzulässig, aber sie braucht eine gültige Grundlage und gehört transparent in deine Datenschutzerklärung.

Praktisch heißt das: Du musst wissen und dokumentieren können, wohin die Daten deiner Besucher fließen. Bei einem fremdgehosteten Bio-Link, dessen Technik du nicht einsehen kannst, ist genau das schwierig.

Punkt 4 — AV-Vertrag und Impressum

Zwei formale Punkte, die in der Praxis am häufigsten fehlen:

• Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Wer personenbezogene Daten in deinem Auftrag verarbeitet, braucht einen AV-Vertrag mit dir. Prüfe, ob dein Anbieter einen anbietet und ob du ihn tatsächlich abgeschlossen hast.
• Impressumspflicht. Nutzt du die Seite geschäftlich, gilt sie auch für deinen Bio-Link. In der Praxis wird dafür meist gut sichtbar auf das Impressum der Hauptwebsite verlinkt — es muss leicht erkennbar und unmittelbar erreichbar sein.

Was eine Alternative können muss

Ein Tool ist nicht automatisch unbedenklich, nur weil es „DSGVO“ auf der Startseite stehen hat. Diese vier Punkte solltest du nachprüfbar bekommen:

• Keine Cookies und keine Drittanbieter-Skripte ohne Einwilligung
• Nachvollziehbar, wo die Daten verarbeitet werden
• Ein AV-Vertrag nach Art. 28 DSGVO, den du bekommst, wenn du fragst
• Eine Datenschutzerklärung, die beschreibt, was wirklich passiert

Wie SimpleLink damit umgeht

Wir bauen SimpleLink als Link-in-Bio-Seite, die serverseitig gerendert wird und für Suchmaschinen lesbar ist. Nebeneffekt dieser Bauweise: Es gibt auf einer öffentlichen Profilseite schlicht nichts zu tracken.

• Keine Cookies auf öffentlichen Profilseiten — Schritt 3 des Selbsttests ergibt eine leere Liste.
• Keine Drittanbieter-Skripte — kein Google Analytics, kein Meta-Pixel, keine extern geladenen Schriftarten.
• Klick-Statistiken ohne Profilbildung — wir zählen Klicks pro Link und speichern Gerätetyp, Referrer- Kategorie und Land. Keine IP-Adressen, keine Wiedererkennung einzelner Besucher über Seitenaufrufe hinweg.

Ehrlich dazugesagt: Unser Ursprungsserver steht bei Hetzner, einem deutschen Anbieter, aber die Auslieferung läuft über das CDN von Cloudflare — dessen Server sehen also die IP-Adresse deiner Besucher. Das gehört in deine Datenschutzerklärung. Für einen vollständigen Nachweis brauchst du außerdem einen AV-Vertrag von uns. Schreib uns, dann bekommst du beides.

Häufige Fragen

Ist Linktree DSGVO-konform?

Nicht ohne Weiteres. Eine öffentliche Linktree-Seite lädt Skripte und setzt Cookies, bevor Besucher einwilligen können, und überträgt dabei die IP-Adresse an Server außerhalb der EU. Wer die Seite geschäftlich nutzt, ist dafür als Verantwortlicher selbst zuständig — nicht Linktree.

Reicht ein Cookie-Banner auf meiner Linktree-Seite?

Du kannst auf einer Linktree-Seite kein eigenes Einwilligungs-Banner einbauen. Du hast keinen Zugriff auf den Quelltext der Seite und kannst nicht steuern, welche Skripte vor der Einwilligung geladen werden.

Brauche ich ein Impressum auf meiner Link-in-Bio-Seite?

Wenn du die Seite geschäftlich nutzt, gilt die Impressumspflicht auch dort. Ein Link zum Impressum deiner Hauptwebsite wird in der Praxis häufig verwendet; er muss leicht erkennbar und unmittelbar erreichbar sein.

Was muss ein DSGVO-konformes Link-in-Bio-Tool erfüllen?

Keine Cookies und keine Drittanbieter-Skripte ohne Einwilligung, Datenverarbeitung innerhalb der EU oder mit gültiger Transfergrundlage, ein Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO, und eine Datenschutzerklärung, die beschreibt, was tatsächlich passiert.

Ist SimpleLink DSGVO-konform?

SimpleLink setzt auf den öffentlichen Profilseiten keine Cookies und lädt keine Drittanbieter-Skripte — das kannst du selbst in den Entwicklertools prüfen. Für den vollständigen Nachweis brauchst du zusätzlich einen AV-Vertrag und eine eigene Datenschutzerklärung. Schreib uns an, wenn du beides benötigst.

Hinweis: Dieser Artikel ist eine technische Einordnung und keine Rechtsberatung. Ob dein konkreter Einsatz zulässig ist, hängt von deinem Einzelfall ab. Im Zweifel wende dich an eine Anwältin oder einen Anwalt für IT-Recht.