Kontaktformular und DSGVO: Muster für den Datenschutzhinweis und Code

Braucht ein Kontaktformular eine Einwilligung nach DSGVO?

Meist nicht. Wenn jemand Ihnen selbst über das Formular schreibt und Sie antworten, kommt in der Regel eine von zwei Rechtsgrundlagen in Betracht:

• Art. 6 Abs. 1 lit. f DSGVO: Ihr berechtigtes Interesse, Anfragen zu beantworten und die Korrespondenz zu führen;
• Art. 6 Abs. 1 lit. b DSGVO: wenn es um ein Angebot, einen Kostenvoranschlag oder eine Bestellung geht, also um vorvertragliche Maßnahmen auf Anfrage der Person.

Eine Einwilligung (Art. 6 Abs. 1 lit. a) brauchen Sie, wenn Sie die Daten für mehr nutzen wollen, etwa für einen Newsletter oder Werbung. Dann gehört eine eigene Checkbox ins Formular, die nicht vorausgewählt ist und das Absenden nicht blockiert. Für E-Mail- und Telefonwerbung gelten in Deutschland zusätzlich die Regeln des UWG (§ 7); prüfen Sie diese gesondert.

Informationspflicht: was wohin gehört

Art. 13 DSGVO verlangt, die Person zum Zeitpunkt der Erhebung zu informieren. Bei Formularen bewährt sich der mehrstufige Ansatz aus den Leitlinien der europäischen Datenschutzbehörden zur Transparenz (WP260): ein kurzer Hinweis direkt am Formular und ein Link zu den vollständigen Informationen in der Datenschutzerklärung.

Die vollständigen Informationen enthalten unter anderem: wer Verantwortlicher ist und wie man ihn erreicht (sowie den Datenschutzbeauftragten, falls benannt), Zwecke und Rechtsgrundlagen, Empfänger, eine etwaige Übermittlung in Drittländer, die Speicherdauer, die Rechte der betroffenen Person, das Beschwerderecht bei einer Aufsichtsbehörde und ob die Angabe der Daten freiwillig ist.

Muster: kurzer Hinweis am Formular

Setzen Sie diesen Text direkt über oder unter den Button „Senden“. Ergänzen Sie die Angaben in eckigen Klammern.

Verantwortlich für die Verarbeitung Ihrer Daten ist [Firmenname], [Anschrift], [E-Mail]. Wir verarbeiten Ihre Angaben aus dem Formular, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. f DSGVO), und bei Fragen zu einem Angebot auch zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Weitere Informationen, auch zu Ihren Rechten, finden Sie in unserer [Datenschutzerklärung].

Muster: Abschnitt für die Datenschutzerklärung

Diesen Abschnitt nehmen Sie in Ihre Datenschutzerklärung auf. Passen Sie die Angaben in eckigen Klammern an Ihre Situation an und streichen Sie Punkte, die nicht zutreffen.

Kontaktformular

1. Verantwortlicher: [Firmenname], [Anschrift], E-Mail: [E-Mail-Adresse]. [Datenschutzbeauftragter: [Kontakt], falls benannt.]
2. Zweck und Rechtsgrundlage: Beantwortung Ihrer Anfrage über das Kontaktformular auf Grundlage unseres berechtigten Interesses an der Korrespondenz (Art. 6 Abs. 1 lit. f DSGVO). Betrifft Ihre Anfrage ein Angebot oder eine Bestellung: vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). [Werbung senden wir nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).]
3. Empfänger: Dienstleister, die Daten in unserem Auftrag verarbeiten: Formularverarbeitung (Formgong, Einsendungen werden in der EU gespeichert), E-Mail [Anbieter], Hosting [Anbieter]. [Wenn Benachrichtigungen an Telegram gehen, wird der Inhalt der Anfrage auch von Telegram verarbeitet, auch außerhalb des EWR.]
4. Übermittlung in Drittländer: [Wir übermitteln keine Daten in Länder außerhalb des EWR] / [Wir übermitteln Daten an: …, auf Grundlage von: …].
5. Speicherdauer: bis zum Abschluss der Korrespondenz, danach [z. B. 12 Monate] für Rückfragen oder zur Abwehr von Ansprüchen.
6. Ihre Rechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen sowie Datenübertragbarkeit (wenn die Verarbeitung auf Vertrag oder Einwilligung beruht). Eine Einwilligung können Sie jederzeit widerrufen; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
7. Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. [Zuständige Behörde: …]
8. Freiwilligkeit: Die Angabe Ihrer Daten ist freiwillig. Ohne E-Mail-Adresse oder Telefonnummer können wir Ihnen jedoch nicht antworten.
9. Automatisierte Entscheidungen: Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung. [Wenn Anfragen automatisch bewertet werden, z. B. durch KI, beschreiben Sie kurz den Zweck.]

Fertiges HTML-Formular mit Datenschutzhinweis

Das Formular hat die Felder Name, E-Mail und Nachricht, einen kurzen Hinweis mit Link zur Datenschutzerklärung und eine optionale Werbe-Einwilligung: nicht vorausgewählt und kein Pflichtfeld. Ersetzen Sie fk_your_access_key durch den Schlüssel aus dem Formgong-Dashboard und den Link durch die Adresse Ihrer Datenschutzerklärung. Wenn Sie keine Werbung versenden, entfernen Sie die Checkbox.

<style>
  .fg-form label { display: block; margin: 0 0 12px; }
  .fg-form input:not([type="checkbox"]), .fg-form textarea { display: block; width: 100%; box-sizing: border-box; margin-top: 4px; padding: 10px; font: inherit; }
  .fg-form textarea { min-height: 120px; }
  .fg-form small { display: block; margin-top: 10px; opacity: .75; }
</style>
<form class="fg-form" action="https://formgong.com/submit" method="POST">
  <input type="hidden" name="access_key" value="fk_your_access_key">
  <input type="hidden" name="_lang" value="de">
  <input type="hidden" name="_subject" value="Neue Nachricht über das Kontaktformular">
  <label>Name <input type="text" name="name" autocomplete="name" required></label>
  <label>E-Mail <input type="email" name="email" autocomplete="email" required></label>
  <label>Nachricht <textarea name="message" required></textarea></label>
  <label><input type="checkbox" name="marketing_consent" value="yes"> Ich möchte Neuigkeiten und Angebote per E-Mail erhalten. Diese Einwilligung kann ich jederzeit widerrufen.</label>
  <div aria-hidden="true" style="position:absolute;left:-10000px;width:1px;height:1px;overflow:hidden">
    <label>Lassen Sie dieses Feld leer<input type="text" name="botcheck" tabindex="-1" autocomplete="off"></label>
  </div>
  <button type="submit">Senden</button>
  <small>Mit dem Absenden übermitteln Sie uns Ihre Angaben, damit wir antworten können. Details: <a href="/datenschutz">Datenschutzerklärung</a>.</small>
</form>

Das versteckte Feld botcheck ist eine Falle für Bots (Honeypot): Menschen sehen es nicht, und Einsendungen, in denen es ausgefüllt ist, landen im Spam. Ein fertiges Formular ohne den DSGVO-Teil finden Sie auf der Seite HTML-Kontaktformular ohne PHP.

Formularanbieter und Auftragsverarbeitungsvertrag (AVV)

Wenn ein externer Dienst Ihre Anfragen verarbeitet, sind Sie Verantwortlicher und der Anbieter Auftragsverarbeiter. Art. 28 DSGVO verlangt dann einen Vertrag zur Auftragsverarbeitung.

Bei Formgong:

• Einsendungen werden in Cloudflare D1 mit EU-Jurisdiktion gespeichert, E-Mails versendet ZeptoMail (Zoho) aus einem Rechenzentrum in der EU;
• die IP-Adresse des Absenders speichern wir nur als Hash;
• Telegram verarbeitet Nachrichten nach eigenen Regeln, und die KI-Bewertung von Einsendungen kann außerhalb der EU stattfinden. Wenn Sie diese Funktionen nutzen, berücksichtigen Sie das in Ihrer Datenschutzerklärung;
• eine AVV-Vorlage ist öffentlich abrufbar. Das ist eine Vorlage, kein unterzeichneter Vertrag; prüfen Sie, ob die Bedingungen für Sie passen. Details zur Verarbeitung stehen auf der Seite Wo die Daten liegen.

Datenminimierung und Speicherdauer

Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) bedeutet: Fragen Sie nur ab, was Sie für die Antwort brauchen. Für eine normale Kontaktanfrage reichen Name, E-Mail oder Telefon und die Nachricht. Geburtsdatum oder Anschrift gehören nicht ins Formular, wenn Sie sie nicht benötigen.

Die in der Datenschutzerklärung genannte Speicherdauer müssen Sie auch tatsächlich einhalten. In Formgong stellen Sie sie im Dashboard ein: Im Free-Tarif werden Einsendungen 30 Tage gespeichert, in Pro und Business wählen Sie 30, 90 oder 365 Tage oder unbegrenzt.

Häufige Fehler

• Vorausgewählte Einwilligungs-Checkbox. Eine solche Einwilligung ist nicht wirksam.
• Werbe-Einwilligung als Bedingung für das Absenden einer Anfrage. Das Formular muss auch ohne sie funktionieren.
• Checkbox „Ich akzeptiere die Datenschutzerklärung“ als Einwilligung behandelt. Kenntnisnahme ist keine Einwilligung; die Informationspflicht erfüllt der Hinweistext selbst.
• Datenschutzhinweis so versteckt, dass er am Formular nicht sichtbar ist.
• Daten „auf Vorrat“ erheben und keine Löschfrist festlegen.

Dieser Text dient der allgemeinen Information und ist keine Rechtsberatung. Passen Sie die Muster an Ihr Unternehmen an und lassen Sie sie im Zweifel von einer Anwältin, einem Anwalt oder Ihrem Datenschutzbeauftragten prüfen.