DSGVO am Kontaktformular: worauf es in der Praxis ankommt

Jedes Kontaktformular verarbeitet personenbezogene Daten: einen Namen, eine E-Mail-Adresse, oft eine Telefonnummer und eine Freitextnachricht, in der fast alles stehen kann. Die DSGVO verbietet nichts davon, stellt aber einige Anforderungen – an das Formular selbst, an das, was drumherum geladen wird, und an das, was nach dem Absenden mit der Nachricht passiert.

Am Formular: informieren und wenig abfragen

Nach Art. 13 DSGVO müssen Sie Menschen in dem Moment informieren, in dem Sie ihre Daten erheben. Beim Kontaktformular heißt das: am Formular – nicht nur über einen Link ganz unten im Footer. Üblich ist ein gestuftes Vorgehen: ein kurzer Satz direkt beim Absende-Button, etwa „Wir verwenden Ihre Angaben nur zur Beantwortung Ihrer Anfrage – mehr in unserer Datenschutzerklärung“, mit Link auf die Erklärung. Dort stehen dann alle Einzelheiten.

Der zweite Grundsatz ist die Datenminimierung (Art. 5 Abs. 1 lit. c). Für eine Antwort brauchen Sie meist nur einen Rückkanal und die Nachricht selbst. Ein Name hilft, eine Telefonnummer ist manchmal nützlich, eine Postanschrift selten. Lassen Sie weg, was Sie nicht brauchen, und kennzeichnen Sie Felder, die nur praktisch sind, als optional. Stellen Sie sich eine Zahnarztpraxis vor, deren Formular die Telefonnummer zur Pflicht macht: Wer lieber per E-Mail Kontakt hätte, muss mehr preisgeben, als der Zweck erfordert.

Für die Antwort braucht es meist keine Einwilligungs-Checkbox

Viele Formulare tragen ein Pflichtkästchen à la „Ich willige in die Verarbeitung meiner Daten ein“. Das wirkt gewissenhaft, ist aber meist das falsche Werkzeug. Stellt jemand eine Frage oder fragt ein Angebot an, ist die Rechtsgrundlage in der Regel Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen auf Anfrage der Person – oder lit. f, Ihr berechtigtes Interesse an einer Antwort. Eine Einwilligung bringt eigene Pflichten mit: Sie muss freiwillig erteilt werden und kann jederzeit widerrufen werden. Anders bei besonderen Kategorien von Daten: Fragt ein Formular etwa in einer Arzt- oder Zahnarztpraxis Gesundheitsdaten ab, gilt Art. 9 DSGVO, und die Rechtsgrundlage muss gesondert geprüft werden.
Anders beim Marketing. Ein Newsletter braucht eine echte Einwilligung: ein eigenes Kästchen, nicht vorab angekreuzt – Erwägungsgrund 32 stellt klar, dass vorausgefüllte Kästchen nicht zählen –, und das Formular muss auch ohne Haken funktionieren.

Was sonst noch auf der Formularseite lädt

Die Felder stehen selten allein auf der Seite. Ein CAPTCHA eines externen Anbieters, ein Werbe- oder Analyse-Pixel oder ein Session-Replay-Tool laufen womöglich mit, während jemand tippt. Jedes davon kann Daten an Dritte übertragen – mindestens die IP-Adresse –, und das Speichern oder Auslesen von Informationen auf dem Gerät erfordert nach den ePrivacy-Regeln in ihrer nationalen Umsetzung (in Deutschland und Polen wie anderswo) grundsätzlich eine Einwilligung, sofern es nicht unbedingt erforderlich ist. Am heikelsten ist Session Replay: Ohne Maskierung zeichnet es womöglich auf, was Menschen eintippen, bevor sie überhaupt auf „Senden“ klicken.
Hier muss das Cookie-Banner halten, was es verspricht: Nach „Ablehnen“ bleiben Pixel stumm. Ob ein CAPTCHA eines Drittanbieters unbedingt erforderlich ist, ist umstritten. Lädt es erst nach der Einwilligung, brauchen Menschen, die abgelehnt haben, einen anderen Weg zu Ihnen, etwa eine einfache E-Mail-Adresse. Schutz ohne Drittanbieter – ein Honeypot-Feld, eine Zeitprüfung, eine Proof-of-Work-Aufgabe – umgeht die Frage ganz.

• Öffnen Sie die Formularseite in einem privaten Fenster, lehnen Sie das Banner ab und beobachten Sie in den Entwicklertools den Netzwerk-Tab: Welche externen Anfragen gehen trotzdem raus?
• Prüfen Sie, ob Werbe- und Analyse-Pixel auf der Formularseite oder auf der Danke-Seite nach dem Absenden feuern.
• Wenn Sie Session Replay nutzen: Stellen Sie sicher, dass Formularfelder maskiert oder Formularseiten ausgenommen sind.
• Halten Sie fest, welcher CAPTCHA-Anbieter lädt und wann – vor oder nach der Einwilligung.
• Nennen Sie jeden verbleibenden Drittanbieter mit seinem Zweck in Ihrer Datenschutzerklärung.

Wohin die Nachrichten gehen – und wie lange sie bleiben

Jeder Dienst, der die Nachrichten in Ihrem Auftrag verarbeitet – Hosting, Mail-Provider, ein Formular-SaaS, an das das Formular sendet, ein Helpdesk oder CRM –, ist Auftragsverarbeiter nach Art. 28 DSGVO. Mit jedem davon brauchen Sie einen Auftragsverarbeitungsvertrag (AVV); die meisten Anbieter stellen einen Standardvertrag bereit. Werden Daten außerhalb von EU/EWR verarbeitet, braucht die Übermittlung zusätzlich eine Grundlage nach Kapitel V, etwa einen Angemessenheitsbeschluss – zum Beispiel das EU-US Data Privacy Framework für zertifizierte Unternehmen – oder Standardvertragsklauseln.

Anfragen sollten nicht ewig liegen bleiben. Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e) legen Sie eine Frist fest und löschen dann tatsächlich – auch die Kopien in Postfächern, Plugin-Datenbanken und im CRM. Wird aus einer Anfrage eine Geschäftsbeziehung, können handels- und steuerrechtliche Vorschriften – Deutschland und Polen kennen beide solche – verlangen, bestimmte Korrespondenz jahrelang aufzubewahren; dann bestimmt diese Pflicht die Frist. Bleibt die Sicherheit: Art. 32 nennt Verschlüsselung als Beispiel für eine geeignete Maßnahme. Ein Formular ohne HTTPS oder mit abgelaufenem Zertifikat überträgt personenbezogene Daten ungeschützt.

Der formexposed-Scanner prüft mehrere dieser Punkte von außen: einen Link zur Datenschutzerklärung am Formular, ob das Ablehnen des Cookie-Banners das Tracking wirklich stoppt, Pixel und Session-Replay-Tools auf Formularseiten und ob die Empfängeradresse im Seitenquelltext sichtbar ist. Dabei wird nichts abgeschickt. Ein kostenloser Check ohne Konto zeigt die Gesamtstufe und die zentralen Schutzbefunde; die DSGVO-Details enthält der vollständige Bericht.