DSGVO-konformes Kontaktformular: Checkliste, Hinweistext & Muster

Ein Kontaktformular ist Verarbeitung personenbezogener Daten in Reinform: Jemand gibt Ihnen Name, E-Mail-Adresse und eine Freitextnachricht. Die DSGVO greift in dem Moment, in dem ein EU-Besucher auf Senden klickt. Die gute Nachricht: Ein konformes Kontaktformular ist meist eine Handvoll Entscheidungen, die man einmal trifft.

Praktische Hinweise von Entwicklern, die das täglich umsetzen - keine Rechtsberatung. Fragen Sie für konkrete Situationen eine Fachperson.

1. Erheben Sie nur, was der Zweck erfordert

Datenminimierung ist der Grundsatz, der am leichtesten einzuhalten und am häufigsten verletzt wird. Ein Kontaktformular braucht eine E-Mail-Adresse und eine Nachricht. Telefonnummer, Unternehmensgröße, Budget-Dropdown - jedes zusätzliche Feld braucht einen Grund. Weniger Felder konvertieren zudem besser, sodass Compliance und Conversion für einmal in dieselbe Richtung zeigen.

2. Kennen Sie Ihre Rechtsgrundlage (wahrscheinlich ist es nicht die Einwilligung)

Bei einem Kontaktformular ist die Rechtsgrundlage meist das berechtigte Interesse oder vorvertragliche Maßnahmen - jemand hat Ihnen geschrieben, und genau darum geht es beim Antworten. Eine Einwilligungs-Checkbox brauchen Sie in der Regel nicht nur, um eine Nachricht zu empfangen und zu beantworten. Eine separate, standardmäßig nicht angehakte Einwilligung brauchen Sie für alles, was über das Antworten hinausgeht: Newsletter, Marketing-Follow-ups. Vermengen Sie das niemals mit dem Senden-Button.

3. Wissen Sie, wo die Daten physisch liegen

Ihr Formular-Dienstleister speichert die Einsendung irgendwo, und wo genau bestimmt einen Großteil Ihres Papierkrams. Speichert der Dienstleister Daten in den USA, braucht der Transfer einen Mechanismus nach Kapitel V - derzeit das EU-US Data Privacy Framework und/oder Standardvertragsklauseln (SCCs) - und Ihre Datenschutzerklärung muss das beschreiben. Das ist machbar, aber es ist Hausaufgabe, die sich bei jeder Verschiebung der Rechtslage erneuert (Safe Harbor und Privacy Shield wurden beide gekippt; das DPF wird angefochten).

Die strukturell einfachere Option ist ein Dienstleister, der Einsendungen in der EU speichert und nie überträgt - dann gibt es keinen Transfer zu dokumentieren. Formhook speichert Einsendungen in Deutschland, Punkt. So oder so bleibt der Punkt auf der Checkliste derselbe: Finden Sie den Speicherort in der Dokumentation Ihres Dienstleisters und stellen Sie sicher, dass Ihre Datenschutzerklärung der Realität entspricht.

4. Schließen Sie einen AVV mit Ihrem Dienstleister

Artikel 28 DSGVO: Verarbeitet ein Dienst personenbezogene Daten in Ihrem Auftrag, muss ein Auftragsverarbeitungsvertrag (AVV) bestehen. Jeder seriöse Formular-Backend-Anbieter bietet einen an - hier ist der von Formhook. Kann ein Anbieter Ihnen keinen AVV vorlegen, disqualifiziert das ihn allein schon.

5. Legen Sie die Aufbewahrung fest - und seien Sie handlungsfähig

Speicherbegrenzung heißt: wissen, wie lange Sie Einsendungen aufbewahren und warum. „Für die Dauer der Kundenbeziehung" ist eine völlig gültige Antwort - aber Ihr Tooling muss zwei Fähigkeiten bieten: einzelne Einsendungen löschen (Löschanfragen) und alles exportieren (Auskunfts-/Übertragbarkeitsanfragen). Prüfen Sie beides, bevor Sie es brauchen; bei Formhook erfolgt die Löschung pro Einsendung, und der Export ist auf jeder Stufe ein vollständiges JSON-ZIP.

6. Formulieren Sie den Datenschutz-Absatz ehrlich

Der Absatz zum Formular braucht: was erhoben wird, warum, die Rechtsgrundlage, wer es verarbeitet (nennen Sie den Anbieter), wo es gespeichert wird, wie lange es aufbewahrt wird und wie eine Löschung beantragt werden kann. Bleiben die Daten in der EU, sind das zwei Sätze. Überqueren sie den Atlantik, wird er länger - aber die Todsünde ist eine Erklärung, die nicht zum tatsächlichen Datenfluss passt.

Muster zum Kopieren: Hinweistext, optionale Checkbox und HTML-Beispiel

Nach Art. 13 DSGVO müssen Sie Besucher in dem Moment, in dem sie das Formular absenden, informieren: wer Sie sind, wofür Sie die Daten nutzen, auf welcher Rechtsgrundlage, wie lange Sie sie speichern und welche Rechte bestehen. Am schlanksten geht das mit einem kurzen Hinweis neben dem Absenden-Button, der auf die vollständige Datenschutzerklärung verlinkt. Das Beispiel unten enthält diesen Hinweis, das Honeypot-Feld aus unserem Leitfaden zum Spamschutz und eine optionale Checkbox. Pflichtfelder sind mit * gekennzeichnet.

Zur Checkbox. Wie in Punkt 2 beschrieben, braucht man für die Beantwortung einer Anfrage keine Einwilligung. Eine verpflichtende Einwilligungs-Checkbox („Ich willige ein …“) ist deshalb das falsche Muster: Eine Einwilligung muss freiwillig und widerruflich sein, und ein Häkchen, das man nicht verweigern kann, ist weder das eine noch das andere. Wenn Sie überhaupt eine Checkbox wollen, formulieren Sie sie als Bestätigung („Ich habe die Datenschutzerklärung zur Kenntnis genommen“). Sie dokumentiert, dass der Hinweis angezeigt wurde, ist aber keine Einwilligung. Eine echte Einwilligungs-Checkbox - nicht vorangekreuzt, konkret formuliert und getrennt vom Absenden-Button - brauchen Sie nur für Zusätze wie einen Newsletter.

<form action="https://formhook.app/f/fh_your-key" method="POST">
  <label for="name">Name *</label>
  <input id="name" name="name" type="text" autocomplete="name" required />

  <label for="email">E-Mail *</label>
  <input id="email" name="email" type="email" autocomplete="email" required />

  <label for="message">Nachricht *</label>
  <textarea id="message" name="message" rows="5" required></textarea>

  <!-- Honeypot: Bots füllen das aus, Menschen sehen es nicht -->
  <input type="text" name="_gotcha" tabindex="-1" autocomplete="off" hidden />

  <!-- Optional: Bestätigung der Kenntnisnahme (keine Einwilligung) -->
  <label>
    <input type="checkbox" name="datenschutz_zur_kenntnis_genommen" required />
    Ich habe die <a href="/datenschutz">Datenschutzerklärung</a> zur Kenntnis genommen.
  </label>

  <p>
    Wir verwenden Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht
    ausschließlich, um Ihre Anfrage zu beantworten. Weitere Informationen
    und Ihre Rechte finden Sie in unserer
    <a href="/datenschutz">Datenschutzerklärung</a>.
  </p>

  <button type="submit">Nachricht senden</button>
</form>

Absatz für die Datenschutzerklärung zum Anpassen

Das ist eine Ausgangsbasis für den Abschnitt „Kontaktformular“ Ihrer Datenschutzerklärung. Ersetzen Sie alles in eckigen Klammern und ergänzen Sie jeden weiteren Empfänger, den Sie aktivieren:

Wenn Sie unser Kontaktformular nutzen, verarbeiten wir den eingegebenen Namen, die E-Mail-Adresse und die Nachricht, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. f DSGVO bzw. Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft). Das Formular wird von Formhook (formhook.app) betrieben, das die Einsendung in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) verarbeitet. Die Einsendungen werden auf Servern in Deutschland gespeichert. Wir löschen Anfragen [nach X Monaten / nach Abschluss des Vorgangs], sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Kontakt: [Ihre E-Mail-Adresse].

Gleichen Sie den Absatz mit Ihrem tatsächlichen Setup ab. Wenn Sie Push-Benachrichtigungen mit Nachrichtenvorschau oder eine Integration aktivieren, die Einsendungen an einen weiteren Dienst weitergibt, ist dieser Dienst ein zusätzlicher Empfänger und gehört in den Text. „In Deutschland gespeichert“ beschreibt, wo Formhook die Einsendungen ablegt - nicht, was für andere Tools gilt, die Sie anbinden.

Dies ist ein Muster und keine Rechtsberatung. Lassen Sie den Text vor der Veröffentlichung von Ihrem Anwalt oder Datenschutzbeauftragten prüfen - besonders in Bezug auf Impressum und Datenschutzerklärung nach deutschem Recht.

Die Checkliste

• Formular erhebt nur notwendige Felder
• Keine vorangehakte Einwilligung; Marketing-Einwilligung (falls vorhanden) getrennt vom Senden
• Kurzer Datenschutzhinweis neben dem Absenden-Button, verlinkt auf die Datenschutzerklärung
• Speicherort des Dienstleisters bekannt und dokumentiert
• Transfermechanismus identifiziert (oder durch EU-Residenz unnötig gemacht)
• AVV mit dem Dienstleister vorhanden
• Aufbewahrung festgelegt; Löschung pro Einsendung und vollständiger Export beide möglich
• Datenschutz-Absatz entspricht dem tatsächlichen Datenfluss

Machen Sie das einmal pro Website, und aus dem Compliance-Fragezeichen beim Kontaktformular wird ein gelöstes Problem. Mehr dazu, wie Formhook mit Daten umgeht, in der FAQ und der Datenschutzerklärung.