Wissen / Artikel

Kontaktformular DSGVO-konform einrichten: worauf du achten musst

Ein Kontaktformular gehört zu den häufigsten Datenerfassungen auf einer Webseite – und genau deshalb schauen Datenschützer hier besonders genau hin. Sobald ein Nutzer seinen Namen oder seine E-Mail-Adresse einträgt, verarbeitest du personenbezogene Daten, und die DSGVO greift. Die gute Nachricht: Ein rechtssicheres Formular ist keine Raketenwissenschaft. Du musst nur ein paar Grundprinzipien sauber umsetzen. Wir erklären dir, worauf es ankommt – ehrlich, ohne Panikmache und ohne dir Dinge zu verkaufen, die du nicht brauchst.

1. Datensparsamkeit: Frag nur ab, was du wirklich brauchst

Das wichtigste Prinzip der DSGVO heißt Datenminimierung. Du darfst nur Daten erheben, die für den Zweck – also die Kontaktaufnahme – tatsächlich notwendig sind. In der Praxis heißt das:

Eine E-Mail-Adresse oder Telefonnummer reicht meist aus, um zu antworten.
Pflichtfelder so knapp wie möglich halten. Markiere optionale Felder klar als freiwillig.
Verzichte auf Felder wie Geburtsdatum, vollständige Anschrift oder Firmengröße, wenn sie für eine erste Antwort nicht gebraucht werden.

Jedes überflüssige Feld ist ein potenzielles Risiko – und schreckt nebenbei auch Interessenten ab. Weniger ist hier rechtlich und aus Conversion-Sicht besser.

2. Rechtsgrundlage und Einwilligung

Du brauchst eine Rechtsgrundlage für die Verarbeitung. Bei einem reinen Kontaktformular ist das in der Regel dein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) oder die Anbahnung eines Vertrags (lit. b), wenn jemand ein Angebot anfragt. Eine separate Einwilligungs-Checkbox ist dafür nicht zwingend erforderlich – ein verpflichtendes Häkchen kann sogar problematisch sein.

Anders sieht es aus, wenn du die Daten über die Beantwortung hinaus nutzen willst, etwa für einen Newsletter. Dann brauchst du eine getrennte, freiwillige und nicht vorausgewählte Einwilligung. Vermische beides niemals. Pflicht ist hingegen ein klar sichtbarer Hinweis auf die Datenschutzerklärung direkt am Formular, zum Beispiel mit dem Satz, dass die Angaben zur Bearbeitung der Anfrage verarbeitet werden und in der Datenschutzerklärung Details stehen.

3. Transparenz: Die Datenschutzerklärung muss passen

Deine Datenschutzerklärung muss konkret beschreiben, was mit den Formulardaten passiert. Dazu gehören:

Zweck der Verarbeitung (Bearbeitung der Kontaktanfrage).
Rechtsgrundlage, auf die du dich stützt.
Speicherdauer oder die Kriterien dafür – Anfragen sollten gelöscht werden, sobald sie erledigt und keine gesetzlichen Aufbewahrungsfristen mehr relevant sind.
Hinweis auf die Betroffenenrechte (Auskunft, Löschung, Widerspruch).
Genannte Empfänger oder Auftragsverarbeiter, falls Dritte involviert sind.

Eine Textbaustein-Datenschutzerklärung, die das Formular gar nicht erwähnt, hilft dir nicht. Sie muss zur tatsächlichen Technik passen.

4. Technische Sicherheit: Verschlüsselung ist Pflicht

Die DSGVO verlangt geeignete technische Maßnahmen. Für ein Kontaktformular bedeutet das vor allem:

HTTPS/SSL ist nicht verhandelbar. Formulardaten dürfen niemals unverschlüsselt über das Netz gehen. Ein gültiges SSL-Zertifikat ist heute kostenlos verfügbar – es gibt keine Ausrede dafür, ohne zu arbeiten.
Die Daten sollten auf einem Server in der EU oder bei einem Anbieter mit DSGVO-konformem Vertrag verarbeitet werden.
Ein einfacher Spam-Schutz schützt vor Missbrauch. Bevorzuge dabei datensparsame Varianten wie ein Honeypot-Feld; bei externen Diensten wie Captchas prüfst du, ob sie selbst Daten in Drittländer übertragen.

5. Auftragsverarbeitung im Blick behalten

Sobald ein externer Dienstleister Formulardaten verarbeitet – etwa ein E-Mail-Versanddienst, ein Formular-Plugin eines Drittanbieters oder dein Hoster – brauchst du in der Regel einen Auftragsverarbeitungsvertrag (AVV). Das ist ein oft übersehener Punkt. Wenn dein Formular die Eingaben einfach per E-Mail an dein eigenes Postfach schickt und auf deinem eigenen Server läuft, hältst du die Datenkette schlank. Genau deshalb bauen wir Formulare bevorzugt so, dass möglichst wenige Dritte mitlesen.

6. Häufige Fehler, die wir immer wieder sehen

Pflicht-Checkbox „Ich stimme der Datenschutzerklärung zu" – rechtlich fragwürdig, weil eine Einwilligung freiwillig sein muss.
Kein SSL oder abgelaufenes Zertifikat.
Formulardaten landen ungefiltert in einem Cloud-Tool ohne AVV.
Datenschutzerklärung, die das Formular nicht erwähnt.
Anfragen, die nie gelöscht werden und sich jahrelang im Postfach stapeln.

Unsere Erfahrung aus der Praxis

Wir betreiben sieben eigene Marken in Produktion – von einem Barrierefreiheits-Scanner über ein Produktportal bis zu mehreren SaaS-Anwendungen. Jede dieser Seiten hat Kontakt- oder Anfrageformulare, und wir haben gelernt, dass die datensparsamste und technisch einfachste Lösung fast immer auch die rechtlich sicherste ist. Ein DSGVO-konformes Formular ist kein Kostenfaktor, sondern schlicht solide Webentwicklung. Wichtig bleibt: Diese Hinweise sind eine fundierte Orientierung, ersetzen aber im Zweifel keine individuelle Rechtsberatung – gerade bei sensiblen Daten oder komplexen Verarbeitungsketten lohnt der Blick eines Datenschutzbeauftragten.

Brauchst du selbst eine Website, ein Tool oder eine SaaS?

Wir bauen sie zum Festpreis - vom Team, das sieben eigene Marken live betreibt. Klarer Scope, klarer Preis, klarer Zeitrahmen.

Projekt starten Leistungen & Preise

Aufbewahrungsdauer und Freitextfelder richtig begrenzen

Ein Punkt, der beim Thema Kontaktformular oft untergeht, ist die Aufbewahrungsdauer der eingehenden Anfragen. Die DSGVO verlangt, dass du personenbezogene Daten nur so lange speicherst, wie es fuer den Zweck noetig ist. Eine unverbindliche Anfrage, die laengst beantwortet und abgeschlossen ist, muss nicht auf unbestimmte Zeit im Postfach oder in einer Datenbank liegen bleiben. Sinnvoll ist eine grobe interne Regel, etwa eine regelmaessige Durchsicht des Anfrage-Postfachs mit Loeschung erledigter, laengst abgeschlossener Vorgaenge. Eine feste Frist in Monaten kannst du selbst festlegen und in der Datenschutzerklaerung nennen – wichtig ist, dass die Frist zum tatsaechlichen Umgang mit den Daten passt und nicht nur auf dem Papier steht.

Ein zweiter, oft uebersehener Punkt betrifft Anhaenge und Freitextfelder. Ein Nachrichtenfeld ohne Zeichenbegrenzung verleitet Nutzer dazu, mehr preiszugeben als noetig – etwa Gesundheitsdaten bei einer Anfrage im medizinischen Umfeld oder Finanzdetails bei einer Beratungsanfrage. Solche besonderen Kategorien personenbezogener Daten unterliegen strengeren Regeln als ein einfacher Name oder eine E-Mail-Adresse. Ein kurzer Hinweistext ueber dem Freitextfeld, der Nutzer bittet, nur die fuer die Anfrage noetigen Angaben zu machen, reduziert dieses Risiko spuerbar und ist mit wenig Aufwand umgesetzt. Ergaenzend lohnt sich ein Blick auf Datei-Uploads im Formular: Wird ein Lebenslauf oder ein Dokument hochgeladen, gilt fuer diese Datei derselbe Schutzstandard wie fuer den Rest des Formulars.

Bestaetigungsmails und der Praxis-Check aus Nutzersicht

Auch die Bestaetigung nach dem Absenden verdient einen zweiten Blick. Manche Formulare zeigen nach dem Klick nur eine schlichte Erfolgsmeldung, andere schicken zusaetzlich eine automatische Bestaetigungs-E-Mail an den Absender. Beides ist erlaubt, solange die Bestaetigungsmail sich strikt auf die Bestaetigung des Eingangs beschraenkt und nicht nebenbei zu Werbezwecken genutzt wird. Eine automatische Bestaetigung, die ploetzlich Produktangebote oder einen Newsletter-Hinweis enthaelt, ueberschreitet den urspruenglichen Zweck der Datenerhebung und braucht eine eigene Grundlage.

Zum Schluss lohnt sich ein praktischer Test aus Nutzersicht: Fuell dein eigenes Formular einmal komplett aus und verfolge, wo die Daten wirklich landen. Kommt die Anfrage tatsaechlich nur bei dir an, oder haengt im Hintergrund ein Marketing-Werkzeug, ein Analyse-Skript oder ein externer Formular-Dienst mit dran, von dem in der Datenschutzerklaerung gar nicht die Rede ist? Genau solche stillen Mitleser sind der haeufigste Grund, warum ein an sich sauber wirkendes Formular am Ende doch nicht der Realitaet entspricht. Ein kurzer technischer Check, am besten zusammen mit der Person, die das Formular eingebaut hat, deckt solche Luecken zuverlaessig auf und ist deutlich schneller erledigt, als man denkt.

Sinnvoll ist außerdem, diesen Check nicht nur einmalig, sondern nach jeder groesseren Aenderung an der Webseite zu wiederholen – etwa nach einem Relaunch, einem neuen Formular-Plugin oder dem Einbau eines zusaetzlichen Analyse-Werkzeugs. Gerade bei kleineren Unternehmen ohne eigene IT-Abteilung schleichen sich solche Verbindungen leicht unbemerkt ein, wenn ein Dienstleister im Hintergrund etwas aendert. Ein kurzer, wiederkehrender Blick auf das eigene Formular gehoert deshalb ebenso zur laufenden Pflege der Webseite wie ein Update der Inhalte selbst.

Häufig gestellte Fragen

Muss ich fuer ein einfaches Kontaktformular eine Checkbox zur Einwilligung einbauen?

In der Regel nicht. Fuer die reine Bearbeitung einer Anfrage reicht meist das berechtigte Interesse als Rechtsgrundlage. Eine zusaetzliche Einwilligung brauchst du nur, wenn du die Daten fuer etwas darueber hinaus nutzen willst, etwa fuer Werbung.

Wie lange darf ich Anfragen aus dem Kontaktformular speichern?

So lange, wie es fuer die Bearbeitung noetig ist, nicht laenger. Eine feste, in der Datenschutzerklaerung genannte Frist mit regelmaessiger Loeschung erledigter Vorgaenge ist der sauberste Weg.

Brauche ich einen Auftragsverarbeitungsvertrag fuer mein Kontaktformular?

Sobald ein externer Dienstleister die Formulardaten verarbeitet, etwa ein E-Mail-Versanddienst oder ein Formular-Plugin eines Drittanbieters, ist ein AVV in der Regel erforderlich. Laeuft das Formular komplett auf deinem eigenen Server ohne Dritte, entfaellt dieser Schritt.

Darf ich im Kontaktformular nach der Telefonnummer fragen?

Nur, wenn du sie fuer die Bearbeitung der Anfrage wirklich brauchst. Ist die Telefonnummer optional sinnvoll, etwa fuer Rueckfragen, sollte das Feld klar als freiwillig gekennzeichnet sein.

Was passiert, wenn mein Kontaktformular nicht DSGVO-konform ist?

Im Ernstfall drohen Bussgelder und Abmahnungen, vor allem bei wiederholten oder gravierenden Verstoessen. Haeufiger ist aber, dass Aufsichtsbehoerden zunaechst auf Nachbesserung hinwirken. Trotzdem lohnt es sich, Maengel proaktiv zu beheben statt abzuwarten.

Reicht ein Standard-Formular-Plugin ohne weitere Anpassung?

Nicht automatisch. Auch ein bekanntes Plugin muss zu deiner tatsaechlichen Datenschutzerklaerung passen und darf keine ueberfluessigen Felder oder versteckten Drittanbieter-Verbindungen enthalten. Pruefe die Voreinstellungen einmal genau, statt dich blind auf den Standard zu verlassen.