Kontaktformular DSGVO-konform: Checkbox, Text, Pflichtfelder

Ein Kontaktformular ist für viele Betriebe der wichtigste Weg zu neuen Aufträgen. Weil dabei personenbezogene Daten verarbeitet werden, gilt die DSGVO. Das klingt komplizierter, als es ist. Hier sind die Grundlagen für ein DSGVO-konformes Kontaktformular. Das ist keine Rechtsberatung.

Was die DSGVO beim Kontaktformular verlangt

• Information: Besucher müssen erfahren, was mit ihren Daten passiert. Das steht in der Datenschutzerklärung, ein kurzer Hinweis am Formular verlinkt dorthin (Art. 13 DSGVO).
• Rechtsgrundlage: Bei Anfragen zu einem möglichen Auftrag ist das meist Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Fragen das berechtigte Interesse nach lit. f.
• Datensparsamkeit: Nur Felder abfragen, die du wirklich brauchst (Art. 5 Abs. 1 lit. c DSGVO).
• Sicherheit: Die Übertragung muss verschlüsselt sein, also über HTTPS (Art. 32 DSGVO).
• Speicherdauer: Anfragen löschen, wenn sie nicht mehr gebraucht werden.

Ist eine Checkbox beim Kontaktformular Pflicht?

Wenn du die Anfrage auf Grundlage von Art. 6 Abs. 1 lit. b oder lit. f DSGVO bearbeitest, brauchst du in der Regel keine Einwilligung und damit auch keine Einwilligungs-Checkbox. Viele Websites nutzen trotzdem ein Kästchen wie „Ich habe die Datenschutzerklärung gelesen“. Das ist rechtlich keine Einwilligung, macht den Hinweis aber sichtbar. Wichtig: Ein Kästchen darf nie schon angehakt sein. Eine echte Einwilligung brauchst du, wenn du die Daten für etwas anderes nutzen willst, etwa für einen Newsletter.

Der Hinweis am Formular

Ein kurzer, verständlicher Satz direkt über dem Absende-Knopf reicht, zum Beispiel: „Deine Angaben nutze ich nur, um deine Anfrage zu beantworten. Mehr dazu in der Datenschutzerklärung.“ Der Link muss direkt zur Datenschutzerklärung führen.

Pflichtfelder im Kontaktformular

Name, eine Kontaktmöglichkeit und die Nachricht reichen meist. Telefonnummer, Adresse oder Firmenname kannst du als freiwillige Felder anbieten. Jedes zusätzliche Pflichtfeld kostet außerdem Anfragen, weil Besucher eher abbrechen.

Spamschutz ohne Tracking

Bekannte Captcha-Dienste großer Anbieter übertragen Daten der Besucher an diesen Anbieter und brauchen deshalb nach verbreiteter Auffassung eine Einwilligung. Es geht auch ohne:

• Ein unsichtbares Feld, das nur Bots ausfüllen.
• Eine Zeitprüfung: Wer ein Formular in einer Sekunde abschickt, ist kein Mensch.
• Eine Begrenzung, wie oft von einer Adresse in kurzer Zeit gesendet werden kann.
• Eine Prüfung aller Eingaben auf dem Server.

Wohin gehen die Daten?

Die Anfrage wird meist per E-Mail an dich geschickt und oft auch auf dem Server gespeichert. Beides gehört in die Datenschutzerklärung, mit den beteiligten Dienstleistern wie Hoster und E-Mail-Anbieter. Mit ihnen brauchst du einen Vertrag zur Auftragsverarbeitung. Externe Formular-Dienste, die Daten in Drittländer übertragen, machen das deutlich komplizierter.

Checkliste DSGVO-konformes Kontaktformular

• Seite läuft über HTTPS.
• Nur nötige Pflichtfelder.
• Hinweis mit Link zur Datenschutzerklärung am Formular.
• Kein vorangekreuztes Kästchen.
• Spamschutz ohne Datenübertragung an Dritte.
• Abschnitt zum Kontaktformular in der Datenschutzerklärung, mit Rechtsgrundlage und Speicherdauer.
• Anfragen regelmäßig löschen.

Häufige Fragen

Darf ich Anfragen später für Werbung nutzen?

Werbung per E-Mail braucht in der Regel eine ausdrückliche Einwilligung (§ 7 UWG). Eine Anfrage über das Kontaktformular ist keine solche Einwilligung.

Reicht nicht einfach die E-Mail-Adresse statt Formular?

Das geht auch. Ein Formular senkt aber die Hürde, weil Besucher kein Mailprogramm öffnen müssen. Datenschutzrechtlich gelten für beide Wege ähnliche Regeln.