Datenschutzhinweis im Kontaktformular: DSGVO-Grundlagen und Formulierungen

Ein kurzer Hinweis neben dem Absenden-Button ist der mehrstufige Ansatz der DSGVO in der Praxis: die wesentlichen Punkte am Ort der Erhebung, die Details einen Klick entfernt. Beschränken Sie ihn auf ein oder zwei Sätze.

Drei kleine Beispiele zum Anpassen:

• Allgemeine Anfrage: „Wir verwenden Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht nur, um Ihnen zu antworten, und bewahren die Korrespondenz 12 Monate lang auf. Einzelheiten und Ihre Rechte finden Sie in unserer Datenschutzerklärung.“
• Angebotsanfrage: „Wir verwenden diese Angaben, um Ihr Angebot zu erstellen und dazu nachzufassen. Wenn Sie Kunde werden, bewahren wir sie als Teil Ihres Kontos auf. Siehe unsere Datenschutzerklärung.“
• Mit Newsletter-Option: „Wir verwenden Ihre Angaben, um Ihnen zu antworten. Kreuzen Sie das Kästchen an, wenn Sie außerdem unseren monatlichen Newsletter erhalten möchten; Sie können sich jederzeit abmelden.“

Machen Sie Datenschutzerklärung zu einem funktionierenden Link auf das vollständige Dokument. Halten Sie den Hinweis sichtbar, nicht in einem Tooltip versteckt, und stellen Sie sicher, dass er dem entspricht, was tatsächlich geschieht. Wenn Nachrichten an ein CRM weitergeleitet oder zwei Jahre lang aufbewahrt werden, sagen Sie das. Allgemeinere Regeln zur Platzierung finden Sie unter Wo gehört der Link zur Datenschutzerklärung hin?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare Person beziehen. Ein Kontaktformular erhebt solche Daten zwangsläufig: einen Namen, eine E-Mail-Adresse, manchmal eine Telefonnummer oder ein Unternehmen und eine Freitextnachricht, die fast alles enthalten kann. Im Hintergrund zeichnen das Formular-Tool oder der Server möglicherweise auch die IP-Adresse, Browserdetails und den Zeitpunkt der Übermittlung auf.

Das hat drei Folgen:

1. Sie müssen mitteilen, was mit den Daten geschieht. Nach Artikel 13 DSGVO müssen die Informationen zum Zeitpunkt der Erhebung gegeben werden.
2. Jeder Anbieter in der Kette zählt. Das Formular-Plugin oder der Formulardienst, Ihr E-Mail-Anbieter, Ihr CRM und jeder Spamfilter verarbeiten die Nachricht.
3. Auch US-Gesetze können gelten. CalOPPA erfasst kommerzielle Websites, die personenbezogene Daten wie Namen und E-Mail-Adressen von Einwohnern Kaliforniens erheben.

Wenn Sie noch überlegen, ob Ihre Website überhaupt eine Datenschutzerklärung braucht: Für nahezu jede Website mit Formular lautet die Antwort ja. Unser Ratgeber Brauche ich eine Datenschutzerklärung? erklärt die rechtlichen Auslöser ausführlicher.

Der Grundsatz der Datenminimierung in Artikel 5 DSGVO besagt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein müssen. Bei einem Kontaktformular besteht der Zweck darin, der Person zu antworten. Fragen Sie sich also, was Sie dafür wirklich brauchen.

Eine praktische Checkliste für die Felder:

• E-Mail-Adresse: Pflichtfeld, weil Sie sie zum Antworten brauchen.
• Name: oft nützlich, aber erwägen Sie, ihn optional zu machen oder als einzelnes Feld zu gestalten.
• Nachricht: Pflichtfeld, mit dem Hinweis, keine sensiblen Angaben einzutragen.
• Telefonnummer: optional, es sei denn, Sie rufen tatsächlich zurück.
• Unternehmen, Budget oder Projektart: nur wenn Sie diese Angaben nutzen, um die Anfrage weiterzuleiten oder zu beantworten.
• Geburtsdatum, Ausweisnummern, Gesundheitsangaben: in einem allgemeinen Kontaktformular fast nie angemessen.

Jedes Feld, das Sie streichen, ist ein Feld, das Sie nicht schützen, aufbewahren oder erklären müssen. Wenn Sie einen spezialisierten Dienst betreiben, etwa eine Praxis oder eine Kanzlei, ergänzen Sie einen Satz mit der Bitte, keine sensiblen Angaben über das Formular zu senden, und bieten Sie dafür einen sichereren Kanal an.

Viele Websites setzen reflexartig ein Einwilligungskästchen unter jedes Formular. Die Leitlinien der britischen Aufsichtsbehörde deuten darauf hin, dass das oft das falsche Instrument ist. Zwei andere Rechtsgrundlagen aus Artikel 6 passen meist besser:

• Vertrag, Artikel 6 Abs. 1 lit. b: Das ICO erklärt, dass diese Rechtsgrundlage Verarbeitungen abdeckt, die erforderlich sind, um auf Anfrage einer Person bestimmte Schritte vor Abschluss eines Vertrags zu unternehmen. Eine Angebotsanfrage oder eine Frage zum Kauf Ihrer Leistung ist ein typisches Beispiel.
• Berechtigte Interessen, Artikel 6 Abs. 1 lit. f: Bei allgemeinen Anfragen, Feedback oder Presseanfragen ist das Antworten ein berechtigtes Interesse, das Menschen erwarten. Das ICO beschreibt eine dreistufige Prüfung: ein berechtigter Zweck, die Erforderlichkeit und eine Abwägung gegen die Interessen der Person.

Die Leitlinien des ICO zur Einwilligung warnen, dass die Bitte um Einwilligung irreführend ist, wenn Sie die Daten ohnehin verarbeiten würden, weil es keine echte Wahl gibt. Wer Ihnen eine Frage schickt, erwartet offensichtlich eine Antwort.

Marketing ist etwas anderes. Die Beantwortung einer Anfrage deckt nicht ab, die Person in einen Newsletter aufzunehmen. Wenn die ePrivacy-Regeln für die Marketingnachricht eine Einwilligung verlangen, ist die Einwilligung meist auch die richtige Rechtsgrundlage dafür.

Für die Beantwortung der Nachricht meist nicht. Ein verpflichtendes Kästchen „Ich stimme der Datenschutzerklärung zu“ kann die Lage sogar verunklaren, weil es nahelegt, dass die Einwilligung Ihre Rechtsgrundlage ist, obwohl sie es nicht ist, und weil eine Datenschutzerklärung eine Information ist und kein Vertrag, dem Menschen zustimmen müssen.

Wo ein Kästchen sinnvoll ist:

• Newsletter- oder Marketing-Einwilligung: Verwenden Sie ein separates, nicht vorangekreuztes Kästchen und machen Sie es nicht zur Bedingung für das Absenden der Nachricht.
• Optionale Extras: zum Beispiel die Erlaubnis, ein Kundenzitat zu veröffentlichen oder die Anfrage an einen Partner weiterzugeben.
• Besondere Kategorien personenbezogener Daten: Wenn Sie tatsächlich sensible Informationen benötigen, kann eine ausdrückliche Einwilligung eine der Bedingungen sein, auf die Sie sich stützen.

Denken Sie daran, dass vorangekreuzte Kästchen nach der DSGVO keine wirksame Einwilligung begründen. Wenn Sie eine Kenntnisnahme des Datenschutzhinweises wünschen, erfüllt ein einfacher Satz mit Link neben dem Absenden-Button diesen Zweck, ohne vorzutäuschen, eine Einwilligung einzuholen. Wenn Sie bei einem bestimmten Formular unsicher sind, erklärt die Seite Generator für DSGVO-Datenschutzerklärungen, wie Rechtsgrundlagen in einer generierten Datenschutzerklärung abgebildet werden.

In die vollständige Datenschutzerklärung gehören die Details. Ergänzen Sie einen Abschnitt oder eine Zeile in Ihrer Datentabelle, die Folgendes abdeckt:

1. Was Sie erheben: die Felder des Formulars sowie alles, was automatisch erfasst wird, etwa IP-Adresse und Zeitpunkt der Übermittlung.
2. Warum: um die Anfrage zu beantworten, und etwaige Folgezwecke wie die Erstellung eines Angebots.
3. Rechtsgrundlage: typischerweise vorvertragliche Maßnahmen oder berechtigte Interessen, und eine Einwilligung nur für optionales Marketing.
4. Wer die Daten erhält: der Formularanbieter, der E-Mail-Hoster, das CRM, der Helpdesk und der Spamschutzdienst.
5. Übermittlungen: ob einer dieser Anbieter Daten außerhalb des Vereinigten Königreichs oder der EU verarbeitet, und welche Garantie verwendet wird.
6. Speicherdauer: wie lange Nachrichten aufbewahrt werden.
7. Rechte: Auskunft, Berichtigung, Löschung und Widerspruch, und wie man sie geltend macht.

Wenn Sie außerdem einen Newsletter, ein Chat-Widget oder ein Buchungsformular betreiben, geben Sie jedem einen eigenen kurzen Eintrag, statt alles unter Kontakt zusammenzufassen. Die Leitlinien des ICO dazu, welche Datenschutzinformationen bereitzustellen sind, eignen sich gut zum Abgleich der Pflichtangaben.

Der Grundsatz der Speicherbegrenzung der DSGVO besagt, dass personenbezogene Daten nicht länger aufbewahrt werden sollten, als es für den Zweck erforderlich ist. Kein Gesetz legt eine einheitliche Frist für Nachrichten aus Kontaktformularen fest. Sie bestimmen also einen Zeitraum, den Sie begründen können, und halten sich dann daran.

Übliche Ansätze:

• Allgemeine Anfragen ohne weiteren Verlauf: Löschen Sie sie nach einer festen Frist, etwa 6 bis 12 Monate nach der letzten Antwort, lange genug, um Rückfragen zu bearbeiten.
• Anfragen, aus denen Kunden werden: Bewahren Sie sie als Teil des Kundendatensatzes so lange auf, wie die Geschäftsbeziehung und Ihre gesetzlichen Aufbewahrungspflichten es erfordern.
• Spam und missbräuchliche Nachrichten: Löschen Sie sie umgehend, es sei denn, Sie benötigen sie aus Sicherheitsgründen.
• In der Website-Datenbank gespeicherte Formulareinträge: Viele Formular-Plugins speichern zusätzlich zur E-Mail eine Kopie jeder Einsendung. Stellen Sie das Plugin so ein, dass es Einträge automatisch löscht, oder bereinigen Sie sie regelmäßig.

Tragen Sie die Frist in Ihre Datenschutzerklärung ein und richten Sie Erinnerungen oder automatische Löschungen ein, damit die Datenschutzerklärung zutreffend bleibt. Denken Sie an Backups und E-Mail-Archive, die Kopien oft länger aufbewahren als das Postfach.

Ja. Spamschutz-Tools verarbeiten Daten über die Menschen, die Ihr Formular nutzen, und gehören daher in Ihre Datenschutzerklärung.

reCAPTCHA: Die reCAPTCHA-FAQ von Google besagt, dass ab dem 2. April 2026 die Kunden alleinige Verantwortliche für die verarbeiteten Daten sind, dass Verweise auf Googles Datenschutzerklärung und Nutzungsbedingungen aus dem reCAPTCHA-Badge entfernt wurden und dass Kunden ihre eigenen Datenschutzhinweise für Endnutzer prüfen sollten, um sicherzustellen, dass diese den Zweck der Sicherheit sowie der Betrugs- und Missbrauchsprävention abdecken. Die FAQ erlaubt weiterhin, das Badge auszublenden, wenn Sie Nutzern sichtbar mitteilen, dass die Website durch reCAPTCHA geschützt ist. Sie weist außerdem darauf hin, dass reCAPTCHA für seine Risikoanalyse ein notwendiges Cookie setzt.

Andere Dienste: hCaptcha, Cloudflare Turnstile und Anti-Spam-Plugins verarbeiten jeweils Formulardaten oder Gerätesignale. Nennen Sie den Dienst, den Sie nutzen, und beschreiben Sie seinen Zweck.

Honeypot-Felder und Ratenbegrenzungen sind schlankere Alternativen, die auf Ihrem eigenen Server laufen und keine Dritten einbeziehen, auch wenn sie gegen hartnäckige Bots weniger wirksam sein können. Was auch immer Sie wählen: Beschreiben Sie es in einfachen Worten, also was geprüft wird, von wem und warum.

Ihr Kontaktformular ist selten ein einzelnes Tool. Eine typische Einrichtung verkettet mehrere Anbieter, und jeder davon gehört in Ihre Datenschutzerklärung.

• Formular-Plugin oder Formulardienst: speichert Einsendungen, manchmal auf eigenen Servern.
• E-Mail-Zustellung: sendet Benachrichtigungen über Ihren Hoster oder einen Transaktions-E-Mail-Dienst an Ihr Postfach.
• Postfach und CRM: wo Nachrichten langfristig liegen, etwa in einem gemeinsamen Postfach, einem Helpdesk oder einem Vertriebs-CRM.
• Automatisierungen: Tools, die Einträge in Tabellen oder Chat-Kanäle kopieren.

Wo ein Anbieter Daten in Ihrem Auftrag verarbeitet, verlangt Artikel 28 DSGVO einen Vertrag mit Auftragsverarbeitungsklauseln, meist den Auftragsverarbeitungsvertrag des Anbieters. Nennen Sie diese Anbieter in Ihrer Datenschutzerklärung namentlich oder nach Kategorie, und halten Sie die Liste aktuell, wenn Sie Tools wechseln.

Im Fragebogen von Legal Policy Generator können Sie Drittanbieterdienste wie Mailchimp, HubSpot, Zendesk, Intercom, SendGrid, reCAPTCHA und hCaptcha auswählen, und er wählt anhand Ihrer Antworten passende Klauseln aus. Fragebogen, Vorschau und der einfache HTML-Download sind kostenlos. Unser Ratgeber zum Erstellen einer Datenschutzerklärung für eine Website behandelt den Rest des Dokuments.