Kontaktformular datenschutzkonform: Worauf lokale Betriebe achten müssen

Warum das Kontaktformular überhaupt ein Datenschutzthema ist

Ein Kontaktformular wirkt harmlos: ein paar Felder, ein Absenden-Knopf. Aber sobald ein Besucher seinen Namen, seine E-Mail-Adresse oder eine Nachricht eintippt, verarbeiten Sie personenbezogene Daten. Und damit gilt die DSGVO, genauso wie bei jeder anderen Datenverarbeitung.

Das ist kein Grund zur Sorge. Die Beantwortung einer Anfrage ist ein völlig legitimer Zweck. Es bedeutet nur, dass ein paar Dinge stimmen müssen, damit das Formular sauber ist. Die gute Nachricht: Diese Dinge sind überschaubar, und wenn sie einmal richtig eingerichtet sind, müssen Sie sich nie wieder darum kümmern.

Die vier Grundregeln für ein sauberes Kontaktformular

1. Verschlüsselte Übertragung (HTTPS)

Alles, was ein Besucher in Ihr Formular eintippt, muss verschlüsselt an Ihren Server übertragen werden. Das leistet ein SSL-Zertifikat, erkennbar am Schloss-Symbol und an der Adresse, die mit https:// beginnt. Ohne HTTPS wandern Name und Nachricht im Klartext durchs Netz, das ist heute inakzeptabel und wird von Browsern als "nicht sicher" markiert. Mehr dazu in unserem Beitrag "Nicht sicher": Was das SSL-Zertifikat für Ihre Seite bedeutet.

2. Datensparsamkeit: nur fragen, was Sie brauchen

Die DSGVO verlangt, dass Sie nur die Daten erheben, die Sie zur Beantwortung wirklich benötigen. Für die allermeisten Betriebe reichen drei Felder:

• ein Name (damit Sie wissen, wen Sie ansprechen),
• eine Kontaktmöglichkeit (E-Mail oder Telefon),
• ein Nachrichtenfeld.

Alles darüber hinaus, Adresse, Geburtsdatum, Firmenname als Pflichtfeld, ist nur zulässig, wenn Sie es für die Anfrage tatsächlich brauchen. Im Zweifel machen Sie ein Feld optional statt zur Pflicht. Ein schlankes Formular ist nicht nur rechtlich sauberer, es wird auch häufiger ausgefüllt.

3. Datenschutzhinweis direkt am Formular

Der Besucher muss beim Absenden wissen, was mit seinen Daten passiert. In der Praxis heißt das: ein kurzer Satz direkt unter dem Formular, der erklärt, dass die Angaben zur Bearbeitung der Anfrage verwendet werden, samt Link zur Datenschutzerklärung. Dort stehen die Details: welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange gespeichert.

4. Zweckbindung: Anfrage bleibt Anfrage

Die Daten aus dem Kontaktformular dürfen Sie ausschließlich zur Beantwortung dieser einen Anfrage nutzen. Sie in einen Newsletter-Verteiler zu übernehmen oder für Werbung zu verwenden, ist ohne gesonderte Einwilligung nicht erlaubt. Anfrage beantworten, fertig.

Die häufigste Falle: Google reCAPTCHA

Der mit Abstand häufigste Datenschutz-Stolperstein bei Kontaktformularen ist das kleine "Ich bin kein Roboter"-Kästchen von Google, reCAPTCHA. Es soll Spam abwehren, und das tut es auch. Aber es hat einen Preis: Beim Laden überträgt reCAPTCHA Daten des Besuchers, darunter die IP-Adresse, an Google.

Damit entsteht genau derselbe Datentransfer wie bei Google Fonts oder Google Analytics: Daten fließen ungefragt an einen großen Werbekonzern. Die Folge ist in der Regel eine Einwilligungspflicht, also ein Cookie-Banner, den der Besucher erst wegklicken muss, bevor er das Formular überhaupt nutzen kann.

Spam-Schutz ohne Google

Es gibt mehrere Wege, ein Kontaktformular gegen Spam-Bots zu schützen, ohne Daten an Dritte zu senden:

• Honeypot: ein für Menschen unsichtbares Feld, das nur automatische Bots ausfüllen. Ist es ausgefüllt, wird die Nachricht verworfen. Der echte Besucher merkt nichts davon.
• Einfache Rechenaufgabe oder Frage: "Was ist drei plus vier?" hält die meisten Bots ab und ist für Menschen kein Hindernis.
• Zeitschwelle: Formulare, die in Sekundenbruchteilen abgeschickt werden, stammen fast immer von Bots und lassen sich serverseitig aussortieren.

Diese Verfahren erledigen den Spam-Schutz im Hintergrund, ohne Cookie-Banner und ohne Datenabfluss.

Was Sie nicht brauchen

Rund um Kontaktformulare halten sich einige Missverständnisse, die für unnötige Verunsicherung sorgen. Zwei davon lohnt es sich klarzustellen:

Kein Double-Opt-in. Das Bestätigungsmail-Verfahren, bei dem jemand nach der Anmeldung noch auf einen Link klicken muss, ist für Newsletter gedacht, also für dauerhaften Werbekontakt. Ein Kontaktformular ist eine einmalige Anfrage. Der Besucher schreibt Ihnen, Sie antworten. Dafür braucht es kein Double-Opt-in.

Keine zwingende Pflicht-Checkbox. Die Verarbeitung einer Anfrage ist in der Regel über das berechtigte Interesse oder die Vertragsanbahnung gedeckt, eine erzwungene Einwilligungs-Checkbox ist deshalb nicht in jedem Fall nötig. Viele Betriebe setzen trotzdem eine unangekreuzte Checkbox ("Ich habe die Datenschutzerklärung gelesen") ein, das ist zulässig und wirkt sauber. Wichtig ist nur: Sie darf nicht vorausgefüllt sein, und der Datenschutzhinweis mit Link muss ohnehin da sein.

Nachrichten speichern und löschen

Ein Punkt, den die meisten Betriebe übersehen: Was passiert mit den eingegangenen Nachrichten? Die DSGVO verlangt, dass Sie personenbezogene Daten nur so lange speichern, wie es für den Zweck nötig ist. Für Kontaktanfragen heißt das:

• Reine Anfragen, aus denen kein Auftrag wurde, nach einer angemessenen Frist löschen. Nicht endlos im Postfach liegen lassen.
• Nachrichten, die zu einem Auftrag oder Vertrag führen, unterliegen den üblichen handels- und steuerrechtlichen Aufbewahrungsfristen.

Sie brauchen keine ausgefeilte Software dafür. Wichtig ist, dass Sie überhaupt eine Routine haben und alte Anfragen ausmisten.

Wo landet die Nachricht? Auch das ist relevant

Wenn Ihr Kontaktformular die Nachricht per E-Mail an Sie weiterleitet, sollte diese E-Mail bei einem Anbieter landen, der die Daten in der EU verarbeitet oder eine saubere Rechtsgrundlage hat. Ein Formular, das die Anfrage über einen fragwürdigen Drittdienst schickt, verlagert das Datenschutzproblem nur. Am saubersten ist es, wenn Formular, Versand und Postfach beim selben, europäisch aufgestellten Anbieter liegen. Passend dazu: unser Beitrag zur eigenen Firmen-E-Mail-Adresse mit eigener Domain.

Wie wir bei Webfrisch Kontaktformulare bauen

Auf den Webseiten, die wir bauen, sind Kontaktformulare von Haus aus datenschutzkonform aufgesetzt: verschlüsselte Übertragung über HTTPS, nur die wirklich nötigen Felder, ein klarer Datenschutzhinweis mit Link zur Datenschutzerklärung, und Spam-Schutz über einen unsichtbaren Honeypot statt über Google reCAPTCHA. Es fließen also keine Besucherdaten an fremde Werbekonzerne, und für das Formular ist kein Cookie-Banner nötig.

Das ist für uns kein Zusatzpaket, sondern Standard, genauso wie das Selbsthosten der Schriften und die cookielose Statistik. Wer eine neue Webseite braucht oder wissen möchte, ob das eigene Formular sauber aufgestellt ist, kann uns über das kostenlose Vorschau-Formular erreichen.

Schnelle Antworten auf häufige Fragen

Weiterlesen