Das Kontaktformular ist für viele Unternehmen der wichtigste Weg, über die Website neue Anfragen zu erhalten. Zugleich werden hier personenbezogene Daten erhoben: Name, E-Mail-Adresse, Telefonnummer und häufig Angaben zum Anliegen, die sehr persönlich sein können. Mit wenigen Grundregeln lässt sich ein Kontaktformular datenschutzkonform gestalten, ohne Interessenten abzuschrecken.
Regel 1: Nur die nötigen Pflichtfelder
Nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) dürfen nur die Daten verlangt werden, die zur Bearbeitung der Anfrage erforderlich sind. In der Regel genügen eine Kontaktmöglichkeit, meist die E-Mail-Adresse, und das Nachrichtenfeld. Name, Telefonnummer, Firma oder Anschrift sollten freiwillige Felder sein und als solche gekennzeichnet werden. Wer eine Telefonnummer zur Pflicht macht, obwohl per E-Mail geantwortet werden kann, verstößt gegen diesen Grundsatz.
Regel 2: Das Einwilligungshäkchen ist meist überflüssig
Viele Formulare verlangen ein Häkchen „Ich willige in die Verarbeitung meiner Daten ein“. Das ist in der Regel nicht notwendig und kann sogar schaden. Wer eine Anfrage stellt, möchte eine Antwort; die Verarbeitung der Daten zu diesem Zweck lässt sich auf vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder auf das berechtigte Interesse an der Beantwortung (lit. f) stützen. Eine Einwilligung ist dagegen jederzeit widerruflich und muss alle Wirksamkeitsvoraussetzungen erfüllen, die wir im Beitrag „Einwilligung nach DSGVO wirksam einholen“ beschrieben haben. Ausreichend ist ein klarer Hinweis auf die Datenschutzerklärung direkt am Formular.
Anders ist es, wenn die Daten für weitere Zwecke genutzt werden sollen, etwa für einen Newsletter. Dafür ist eine gesonderte, freiwillige Einwilligung erforderlich, die nicht an die Anfrage gekoppelt sein darf.
Regel 3: Verschlüsselte Übertragung
Die Übertragung der Formulardaten muss mindestens per TLS verschlüsselt erfolgen (HTTPS). Das ist heute Standard, sollte aber geprüft werden, auch für die Weiterleitung der Formularinhalte per E-Mail an das Unternehmen. Bei besonders sensiblen Anfragen, etwa in Arztpraxen oder Kanzleien, sollte erwogen werden, die Formularinhalte nicht unverschlüsselt per E-Mail weiterzuleiten, sondern in einem geschützten Bereich abzurufen.
Regel 4: Spamschutz ohne Datenabfluss
Captcha-Dienste großer Anbieter übertragen Daten über das Nutzerverhalten häufig an Server in Drittländern und setzen Cookies. Prüfen Sie Alternativen wie sogenannte Honeypot-Felder oder lokal betriebene Lösungen. Wird ein externer Dienst genutzt, ist er in der Datenschutzerklärung zu nennen und gegebenenfalls einwilligungspflichtig.
Regel 5: Speicherdauer festlegen
Anfragen, aus denen kein Auftrag wird, sollten nach angemessener Zeit gelöscht werden. Viele Formular-Plugins speichern Einsendungen zusätzlich in der Datenbank der Website, oft unbegrenzt. Deaktivieren Sie diese Funktion, wenn Sie sie nicht benötigen, oder richten Sie eine automatische Löschung ein. Mehr dazu in unserem Beitrag zum Löschkonzept.
Regel 6: Transparente Information
Die Datenschutzerklärung muss das Kontaktformular abdecken: Zweck, Rechtsgrundlage, Empfänger (etwa der Hosting-Anbieter), Speicherdauer. Eine Übersicht der Pflichtangaben finden Sie in unserem Beitrag „Datenschutzerklärung für die Website“.
Ein schlankes Formular schafft Vertrauen und senkt die Hemmschwelle für Anfragen. Wenn Sie Website und Kontaktformular prüfen lassen möchten, schreiben Sie uns oder buchen Sie einen Termin.