Kontaktformular und DSGVO: Was Betreiber beachten sollten

Ein Kontaktformular macht es Besucherinnen und Besuchern leicht, Fragen zu stellen oder Angebote anzufordern. Gleichzeitig werden dabei personenbezogene Daten erhoben. Damit das Formular den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entspricht, sollten Unternehmen transparent erklären, welche Daten sie wofür benötigen, und diese sicher sowie nicht länger als erforderlich speichern.

Welche Daten dürfen abgefragt werden?

Es gilt der Grundsatz der Datenminimierung: Erheben Sie nur Angaben, die für die Bearbeitung der Anfrage tatsächlich nötig sind. Für eine einfache Nachricht reichen häufig ein Name, eine E-Mail-Adresse und der Nachrichtentext. Weitere Felder – etwa Telefonnummer, Unternehmen oder Anschrift – sollten nur dann verpflichtend sein, wenn sie für den jeweiligen Zweck gebraucht werden.

Markieren Sie Pflichtfelder eindeutig. Optionale Angaben sollten freiwillig bleiben. Vermeiden Sie außerdem, über ein allgemeines Kontaktformular unnötig sensible Informationen abzufragen, etwa Gesundheitsdaten oder Angaben zu politischen Überzeugungen.

Welche Rechtsgrundlage gilt?

Eine Einwilligung ist nicht automatisch erforderlich, nur weil ein Formular Daten erhebt. Die passende Rechtsgrundlage hängt vom Zweck der Anfrage ab. Geht es etwa um die Anbahnung eines Vertrags, kann die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen erforderlich sein (Art. 6 Abs. 1 lit. b DSGVO). Bei allgemeinen Anfragen kann – je nach konkreter Situation – ein berechtigtes Interesse an der Bearbeitung und Beantwortung der Nachricht (Art. 6 Abs. 1 lit. f DSGVO) in Betracht kommen.

Werden Daten für einen zusätzlichen Zweck genutzt, beispielsweise für den Versand eines Newsletters, ist dafür eine gesonderte Rechtsgrundlage nötig. Eine solche Nutzung sollte nicht einfach in die Bearbeitung der Kontaktanfrage hineingemischt werden. Für Werbung per E-Mail gelten außerdem weitere rechtliche Anforderungen.

Datenschutzhinweise direkt am Formular

Nach Art. 13 DSGVO müssen Betroffene bei der Datenerhebung über bestimmte Punkte informiert werden. Die vollständigen Informationen können in der Datenschutzerklärung stehen. Sinnvoll ist ein gut sichtbarer Hinweis direkt beim Kontaktformular, der auf den passenden Abschnitt verlinkt. Dazu gehören insbesondere:

• wer für die Datenverarbeitung verantwortlich ist und wie die verantwortliche Stelle erreichbar ist,
• zu welchen Zwecken und auf welcher Rechtsgrundlage die Daten verarbeitet werden,
• wer die Daten erhält, zum Beispiel technische Dienstleister,
• wie lange die Daten gespeichert werden beziehungsweise nach welchen Kriterien sich die Speicherdauer richtet,
• welche Datenschutzrechte bestehen und wie eine Beschwerde bei einer Aufsichtsbehörde möglich ist,
• ob Angaben gesetzlich oder vertraglich erforderlich sind und welche Folgen es hat, wenn sie nicht bereitgestellt werden.

Ein möglicher kurzer Formularhinweis lautet: „Wir verwenden Ihre Angaben, um Ihre Anfrage zu bearbeiten. Weitere Informationen zur Verarbeitung Ihrer Daten und zu Ihren Rechten finden Sie in unserer Datenschutzerklärung.“ Dieser Hinweis ersetzt nicht die vollständigen Datenschutzinformationen.

Muss es ein Einwilligungs-Kästchen geben?

Ein Pflicht-Kästchen mit dem Text „Ich stimme der Datenschutzerklärung zu“ ist für eine gewöhnliche Kontaktanfrage in der Regel nicht die passende Lösung. Die Datenschutzerklärung dient der Information; sie ist kein Vertrag, dem Nutzerinnen und Nutzer zustimmen müssen. Wird die Anfrage auf einer anderen Rechtsgrundlage bearbeitet, sollte das Formular transparent darüber informieren, statt eine unnötige Einwilligung einzuholen.

Eine separate, freiwillige Einwilligung kann erforderlich sein, wenn Daten für einen zusätzlichen Zweck verarbeitet werden sollen, der nicht von der ursprünglichen Anfrage umfasst ist. Sie muss verständlich, eindeutig und widerrufbar sein. Das Absenden des Kontaktformulars darf nicht davon abhängig gemacht werden, dass einer optionalen Nutzung zugestimmt wird.

Speicherdauer und Zugriffsschutz

Kontaktanfragen sollten nur so lange aufbewahrt werden, wie es für ihre Bearbeitung und mögliche Anschlussfragen erforderlich ist. Danach sind sie zu löschen oder – sofern eine weitere Aufbewahrung rechtlich erforderlich ist – entsprechend zu beschränken. Eine pauschale, unbegrenzte Speicherung ist zu vermeiden.

Schützen Sie die übermittelten Daten durch angemessene technische und organisatorische Maßnahmen. Dazu gehören beispielsweise eine verschlüsselte Verbindung zur Website, beschränkte Zugriffsrechte und sichere Abläufe für den Umgang mit Nachrichten. Prüfen Sie außerdem, ob Formulardaten zusätzlich in Datenbanken, CRM-Systemen oder E-Mail-Postfächern gespeichert werden und ob die dortigen Zugriffe und Löschfristen geregelt sind.

Dienstleister, Spam-Schutz und Drittanbieter

Wird das Formular durch einen externen Anbieter betrieben oder werden Nachrichten über einen Dienstleister versendet, muss geprüft werden, welche Daten dieser erhält und in welcher Rolle er tätig ist. Bei einer Auftragsverarbeitung ist grundsätzlich ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Werden Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt, sind zusätzlich die hierfür geltenden Anforderungen zu beachten.

Auch Spam-Schutz und CAPTCHA-Dienste können personenbezogene Daten verarbeiten. Informieren Sie sich über die Datenflüsse, prüfen Sie die rechtliche Grundlage und beschreiben Sie den Einsatz in der Datenschutzerklärung. Wählen Sie möglichst eine datensparsame Lösung.

Checkliste für ein DSGVO-konformes Kontaktformular

• Nur erforderliche Daten abfragen und Pflichtfelder klar kennzeichnen.
• Den Zweck und die passende Rechtsgrundlage für die Bearbeitung festlegen.
• Direkt am Formular auf die vollständigen Datenschutzhinweise verweisen.
• Keine pauschale Einwilligung als Voraussetzung für das Absenden verlangen.
• Speicherfristen festlegen und Anfragen nach Wegfall des Zwecks löschen.
• Formulardaten angemessen sichern und Zugriffe begrenzen.
• Externe Formulardienste, Mailanbieter und Spam-Schutz-Lösungen prüfen.

Die konkrete Ausgestaltung hängt davon ab, welche Daten das Formular erhebt, wie die Anfragen verarbeitet werden und welche Dienste eingebunden sind. Eine sorgfältige Prüfung des gesamten Datenflusses hilft, Datenschutzinformationen verständlich zu halten und die Verarbeitung auf das notwendige Maß zu beschränken.

 

9 Vorteile eines DSGVO-konformen Kontaktformulars

1. Schafft Transparenz bei der Datenerhebung.
2. Stärkt das Vertrauen der Nutzer.
3. Erhebt nur erforderliche Angaben.
4. Verweist klar auf Datenschutzhinweise.
5. Vermeidet unnötige Pflicht-Einwilligungen.
6. Legt nachvollziehbare Speicherfristen fest.
7. Schützt übermittelte Kontaktdaten.
8. Macht den Einsatz externer Dienste sichtbar.
9. Unterstützt eine DSGVO-konforme Anfragebearbeitung.

 

Herausforderungen bei der Erstellung eines DSGVO-konformen Kontaktformulars: Wichtige Aspekte und Fallstricke

1. Ein DSGVO-konformes Kontaktformular erfordert klare Datenschutzhinweise.
2. Zu viele Pflichtfelder verletzen den Grundsatz der Datenminimierung.
3. Unnötige Einwilligungs-Checkboxen können Nutzer verwirren.
4. Externe Formular- und CAPTCHA-Dienste können zusätzliche Datenschutzrisiken schaffen.

Schafft Transparenz bei der Datenerhebung.

Ein DSGVO-konformes Kontaktformular schafft Transparenz bei der Datenerhebung: Nutzerinnen und Nutzer erfahren direkt beim Ausfüllen, welche Angaben benötigt werden, zu welchem Zweck sie verarbeitet werden und wo sie weitere Informationen zum Datenschutz finden. So können sie bewusster entscheiden, welche Daten sie mitteilen, und besser nachvollziehen, was nach dem Absenden ihrer Anfrage geschieht.

Stärkt das Vertrauen der Nutzer.

Ein DSGVO-konformes Kontaktformular stärkt das Vertrauen der Nutzer, weil es transparent macht, welche Daten abgefragt werden und wie diese verwendet und geschützt werden. Wenn Besucher erkennen, dass nur notwendige Angaben verlangt und ihre Datenschutzrechte ernst genommen werden, fällt es ihnen leichter, eine Anfrage zu senden.

Erhebt nur erforderliche Angaben.

Ein DSGVO-konformes Kontaktformular fragt nur die Angaben ab, die zur Bearbeitung der Anfrage tatsächlich erforderlich sind. So müssen Nutzerinnen und Nutzer keine unnötigen persönlichen Informationen preisgeben, und das Unternehmen reduziert zugleich die Menge der gespeicherten Daten. Pflichtfelder sollten deshalb auf das Wesentliche beschränkt und zusätzliche Angaben als freiwillig gekennzeichnet werden.

Verweist klar auf Datenschutzhinweise.

Ein DSGVO-konformes Kontaktformular verweist klar und gut sichtbar auf die Datenschutzhinweise. So erfahren Nutzerinnen und Nutzer, welche personenbezogenen Daten für die Bearbeitung ihrer Anfrage erhoben werden, zu welchem Zweck sie verwendet werden und welche Rechte ihnen zustehen. Diese Transparenz schafft Vertrauen und hilft Websitebetreibern, ihre Informationspflichten verständlich zu erfüllen.

Vermeidet unnötige Pflicht-Einwilligungen.

Ein datenschutzgerecht gestaltetes Kontaktformular vermeidet unnötige Pflicht-Einwilligungen: Für die Bearbeitung einer Anfrage ist meist keine pauschale Zustimmung zur Datenschutzerklärung nötig. Stattdessen werden Besucher transparent darüber informiert, welche Daten zu welchem Zweck verarbeitet werden und auf welcher Rechtsgrundlage dies geschieht. Das macht den Kontakt einfacher und sorgt dafür, dass Einwilligungen nur dort eingeholt werden, wo sie tatsächlich erforderlich sind.

Legt nachvollziehbare Speicherfristen fest.

Ein DSGVO-konformes Kontaktformular hilft dabei, nachvollziehbare Speicherfristen festzulegen. So ist klar geregelt, wie lange Anfragen und die dazugehörigen personenbezogenen Daten aufbewahrt werden und wann sie gelöscht oder – falls erforderlich – gesperrt werden. Das schafft Transparenz für die Nutzerinnen und Nutzer und unterstützt den Betreiber dabei, Daten nicht länger als nötig zu speichern.

Schützt übermittelte Kontaktdaten.

Ein DSGVO-konformes Kontaktformular hilft, übermittelte Kontaktdaten zu schützen. Es fragt nur die notwendigen Angaben ab, überträgt diese über eine verschlüsselte Verbindung und beschränkt den Zugriff auf befugte Personen. Klare Speicher- und Löschfristen tragen zusätzlich dazu bei, dass persönliche Daten nicht länger als nötig aufbewahrt werden.

Macht den Einsatz externer Dienste sichtbar.

Ein DSGVO-konformes Kontaktformular macht transparent, ob externe Dienste an der Verarbeitung beteiligt sind – etwa Anbieter für Hosting, Spam-Schutz oder den Versand von Nachrichten. So wird deutlich, welche Daten möglicherweise an diese Dienstleister übermittelt werden und zu welchem Zweck. Diese Offenheit erleichtert es Website-Betreibern, ihre Datenverarbeitung nachvollziehbar zu dokumentieren, und hilft Nutzerinnen und Nutzern, besser zu verstehen, was mit ihren Angaben geschieht.

Unterstützt eine DSGVO-konforme Anfragebearbeitung.

Ein DSGVO-gerecht gestaltetes Kontaktformular unterstützt eine datenschutzkonforme Bearbeitung von Anfragen: Es erhebt nur die erforderlichen Angaben, informiert transparent über Zweck und Verarbeitung der Daten und ermöglicht klare Abläufe für Zugriff und Löschung. So können Unternehmen Anfragen strukturiert beantworten und zugleich die Datenschutzrechte der Nutzerinnen und Nutzer berücksichtigen.

Ein DSGVO-konformes Kontaktformular erfordert klare Datenschutzhinweise.

Ein DSGVO-konformes Kontaktformular erfordert klare und vollständige Datenschutzhinweise. Betreiber müssen verständlich erklären, welche personenbezogenen Daten zu welchem Zweck verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht und wie lange die Angaben gespeichert bleiben. Diese Informationen aktuell zu halten und direkt mit dem Formular zu verknüpfen, kann zusätzlichen Aufwand verursachen – insbesondere, wenn sich Abläufe, eingesetzte Dienstleister oder Speicherfristen ändern.

Zu viele Pflichtfelder verletzen den Grundsatz der Datenminimierung.

Zu viele Pflichtfelder in einem Kontaktformular können dem Grundsatz der Datenminimierung aus der DSGVO widersprechen. Unternehmen sollten nur jene personenbezogenen Angaben verpflichtend abfragen, die für die Bearbeitung der Anfrage tatsächlich erforderlich sind. Zusätzliche Informationen sollten freiwillig bleiben – so wird die Datenerhebung auf das notwendige Maß beschränkt und das Formular zugleich einfacher und nutzerfreundlicher.

Unnötige Einwilligungs-Checkboxen können Nutzer verwirren.

Unnötige Einwilligungs-Checkboxen können Nutzerinnen und Nutzer verwirren und den Eindruck erwecken, dass sie der Datenschutzerklärung aktiv zustimmen müssen, um das Kontaktformular absenden zu können. Dabei dient die Datenschutzerklärung in erster Linie der Information; eine Einwilligung ist nicht für jede Verarbeitung erforderlich. Zu viele oder unklar formulierte Kästchen erschweren den Vorgang und können dazu führen, dass Anfragen abgebrochen werden. Deshalb sollten Checkboxen nur eingesetzt werden, wenn tatsächlich eine freiwillige Einwilligung für einen klar benannten Zweck benötigt wird.

Externe Formular- und CAPTCHA-Dienste können zusätzliche Datenschutzrisiken schaffen.

Externe Formular- und CAPTCHA-Dienste können zusätzliche Datenschutzrisiken mit sich bringen, weil dabei personenbezogene Daten wie IP-Adressen oder Formulareingaben an Drittanbieter übermittelt werden können. Je nach Anbieter, Serverstandort und eingesetzten Technologien ist möglicherweise auch eine Übermittlung in Länder außerhalb des Europäischen Wirtschaftsraums zu berücksichtigen. Betreiber sollten daher prüfen, welche Daten verarbeitet werden, geeignete Verträge und Rechtsgrundlagen sicherstellen und den Einsatz der Dienste transparent in der Datenschutzerklärung erläutern.