Datenschutzhinweis im Kontaktformular: Mustertext nach DSGVO

Was der Hinweis leisten muss

Art. 13 DSGVO verlangt, dass Sie Menschen „zum Zeitpunkt der Erhebung“ informieren, also in dem Moment, in dem sie das Formular ausfüllen. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI) formuliert es für Kontaktformulare so: „Vor dem Versenden des ausgefüllten Formulars muss die Information nach Art. 13 DS-GVO erfolgen, z.B. per Link auf ein PDF.“

Alles direkt ans Formular zu schreiben, ist also nicht nötig. Ein Verweis auf die vollständigen Informationen genügt, wenn er gut zu finden ist. Die Datenschutzkonferenz (DSK) schreibt im Kurzpapier Nr. 10: „Wird aber auf eine elektronisch verfügbare Information Bezug genommen, dann muss diese leicht auffindbar sein.“ Deshalb gibt es unten zwei Texte: einen kurzen für unter den Button und einen ausführlichen für die Datenschutzerklärung.

Mustertext für unter den Button

Setzen Sie diesen Text direkt unter oder über den Senden-Button und verlinken Sie das Wort „Datenschutzerklärung“. Ersetzen Sie die Angaben in eckigen Klammern.

Wir verwenden Ihre Angaben nur, um Ihnen zu antworten. Verantwortlich ist [Name oder Firma, Anschrift, E-Mail-Adresse]. Mehr dazu, auch zu Ihren Rechten, in unserer [Datenschutzerklärung].

Mustertext für die Datenschutzerklärung

Diesen Abschnitt nehmen Sie in Ihre Datenschutzerklärung auf. Er folgt der Reihenfolge von Art. 13. Streichen Sie, was bei Ihnen nicht zutrifft, zum Beispiel die Zeile zu Telegram, wenn Sie keine Telegram-Benachrichtigungen nutzen.

Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir die Angaben, die Sie dort eintragen: [Name, E-Mail-Adresse, Nachricht, freiwillig: Telefonnummer].

Verantwortlicher: [Name oder Firma, Anschrift, E-Mail-Adresse, Telefon].
[Datenschutzbeauftragter: [Kontaktdaten], falls benannt.]

Zweck und Rechtsgrundlage: Wir verwenden Ihre Angaben, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, Anfragen beantworten zu können. Betrifft Ihre Anfrage ein Angebot oder einen Vertrag, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

Empfänger: [Formularanbieter, z. B. Formgong, als Auftragsverarbeiter; die Einsendungen werden in der EU gespeichert]. [E-Mail-Anbieter]. [Telegram, wenn Anfragen zusätzlich als Telegram-Nachricht an uns gehen.]

Übermittlung in Drittländer: [Wir übermitteln Ihre Angaben nicht in Länder außerhalb der EU bzw. des EWR.] / [Wir übermitteln Ihre Angaben an [Empfänger] in [Land] auf Grundlage von [Angemessenheitsbeschluss / Standardvertragsklauseln].]

Speicherdauer: Wir löschen Ihre Angaben [Frist, z. B. sechs Monate] nach Abschluss Ihrer Anfrage.

Ihre Rechte: Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung, das Recht auf Datenübertragbarkeit und das Recht, der Verarbeitung zu widersprechen.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren.

Pflichtangaben: Die Angaben sind freiwillig und weder gesetzlich noch vertraglich vorgeschrieben. Ohne E-Mail-Adresse können wir Ihnen aber nicht antworten.

Eine Zeile zum Widerruf der Einwilligung fehlt absichtlich. Art. 13 Abs. 2 lit. c verlangt sie nur, wenn die Verarbeitung auf einer Einwilligung beruht. Nutzen Sie die Angaben zusätzlich für einen Newsletter, holen Sie dafür eine eigene Einwilligung ein und ergänzen Sie den Hinweis auf den Widerruf.

Woher jede Zeile kommt

Rechtsgrundlage: warum keine Einwilligung nötig ist

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat das in seinem Tätigkeitsbericht 2017/2018 klar gesagt: „Grundsätzlich bedarf es keiner Einwilligung durch den Nutzer, da die Datenverarbeitung auf eine Interessenabwägung nach Art. 6 Abs. 1 Buchstabe f DS-GVO gestützt werden kann.“ Fragt jemand nach Waren oder Dienstleistungen, kann die Verarbeitung laut BayLDA auf Art. 6 Abs. 1 lit. b gestützt werden.

Eine Pflicht-Checkbox „Ich habe die Datenschutzerklärung gelesen“ brauchen Sie deshalb nicht; informiert wird mit dem Hinweis selbst. Anders ist es, wenn Sie die Angaben für Werbung nutzen wollen, oder wenn das Formular Gesundheitsdaten abfragt, etwa für eine Terminanfrage beim Arzt. Für solche besonderen Kategorien nach Art. 9 DSGVO nennt das BayLDA eine Einwilligung als erforderlich.

Pflichtfelder: nur, was Sie für die Antwort brauchen

Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung: Die Daten müssen „auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sein. Für Kontaktformulare sagt das BayLDA: „Der Verantwortliche sollte nur solche Eingaben als Pflichtfelder festlegen, die tatsächlich erforderlich sind, um die Anfrage zu beantworten.“ Der LfDI Rheinland-Pfalz schreibt sinngemäß dasselbe.

Eine feste Liste nennt keine Behörde. Für ein normales Kontaktformular heißt das in der Praxis: Eine Möglichkeit, Ihnen zu antworten (meist die E-Mail-Adresse), und die Nachricht sind Pflicht. Telefonnummer, Firma oder Anschrift bleiben freiwillig, wenn Sie sie für die Antwort nicht brauchen. Das ist unsere Anwendung des Grundsatzes, keine Aussage einer Behörde.

Speicherdauer nennen und einhalten

Art. 13 Abs. 2 lit. a verlangt die Dauer der Speicherung „oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer“. Art. 5 Abs. 1 lit. e erlaubt die Speicherung nur so lange, „wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“. Eine feste Frist für Kontaktanfragen haben wir in den Veröffentlichungen der Aufsichtsbehörden nicht gefunden. Die Zahl im Muster ist ein Platzhalter: Wählen Sie eine Frist, die zu Ihrem Geschäft passt, und sorgen Sie dafür, dass die Daten danach wirklich gelöscht werden, im Postfach wie im Formular-Tool.

In Formgong stellen Sie die Aufbewahrung pro Formular ein. „Nicht aufbewahren“ löscht den Inhalt einer Einsendung, sobald sie an Sie zugestellt wurde.

Formular-Dienst als Empfänger: der AVV

Verarbeitet ein externer Dienst Ihre Anfragen, ist er Auftragsverarbeiter nach Art. 28 DSGVO. Die DSK nennt im Kurzpapier Nr. 13 ausdrücklich die „Betreuung von Kontaktformularen oder Nutzeranfragen“ als typisches Beispiel. Sie brauchen dann einen Vertrag zur Auftragsverarbeitung (AVV), und der Dienst gehört als Empfänger in Ihre Datenschutzerklärung (Art. 13 Abs. 1 lit. e). Dasselbe gilt für den E-Mail-Anbieter und für Telegram, wenn Anfragen dorthin weitergeleitet werden.

HTTPS ist Pflicht

Ein Kontaktformular muss verschlüsselt senden. Die Datenschutzaufsicht in Niedersachsen (LfD Niedersachsen) schreibt: Daten, die Nutzer auf einer Website eingeben, „dürfen diese nur verschlüsselt an den Verantwortlichen übermittelt werden“, mit einem https-Protokoll nach dem Stand der Technik. Sie stützt das auf § 19 Abs. 4 TDDDG; Art. 32 DSGVO nennt Verschlüsselung ebenfalls als Schutzmaßnahme. Prüfen Sie, dass sowohl Ihre Seite als auch die Adresse im action des Formulars mit https:// beginnt.

TDDDG § 25: nur, wenn das Formular etwas im Browser speichert oder ausliest

§ 25 TDDDG (bis Mai 2024 TTDSG) regelt den Zugriff auf das Endgerät: Informationen im Gerät zu speichern oder auszulesen, ist nur mit Einwilligung zulässig, außer es ist „unbedingt erforderlich“ für einen Dienst, den der Nutzer ausdrücklich wünscht. Die Orientierungshilfe der Aufsichtsbehörden für digitale Dienste (Stand November 2024) zählt dazu Cookies und Web Storage und auch das Auslesen von Geräteeigenschaften per JavaScript.

Ob das bloße Absenden eines Formulars unter § 25 fällt, sagen weder das Gesetz noch die Orientierungshilfe ausdrücklich. Unsere Lesart: Ein einfaches HTML-Formular, das per POST sendet, speichert und liest nichts im Gerät. Relevant wird § 25, wenn das Formular Skripte oder Cookies mitbringt, zum Beispiel ein Captcha eines Drittanbieters. Zu Captchas äußert sich die Orientierungshilfe nicht; prüfen Sie solche Dienste einzeln.

Wie Formgong dazu passt

• Einsendungen liegen in Cloudflare D1, angelegt mit EU-Jurisdiktion. Die IP-Adresse speichern wir nicht im Klartext, nur als Hash. Details auf der Seite Wo die Daten liegen.
• Wenn Sie in den Formulareinstellungen die Adresse Ihrer Datenschutzerklärung eintragen, zeigt jedes Formgong-Formular unter dem Button die Zeile „Wir verwenden Ihre Angaben nur, um Ihnen zu antworten.“ mit Link dorthin, oder Ihren eigenen Text. Das gilt für den Code aus dem Dashboard, die gehostete Formularseite und das WordPress-Plugin.
• Unsere Branchenvorlagen haben keine Pflicht-Checkbox für den Datenschutz. Ausnahme sind die zwei Vorlagen für Arzttermine und Patientenaufnahme: Sie fragen nach Gesundheitsangaben und deshalb nach einer ausdrücklichen Einwilligung (Art. 9 DSGVO).
• Der Vertrag zur Auftragsverarbeitung ist Teil der Nutzungsbedingungen und gilt ab der Kontoerstellung.
• Telegram ist ein eigener Dienst. Wenn Sie Benachrichtigungen dorthin schicken, nennen Sie Telegram als Empfänger, wie im Muster.

Den allgemeinen Ratgeber mit einem fertigen HTML-Formular und einer optionalen Werbe-Einwilligung finden Sie unter Kontaktformular und DSGVO.

Keine Rechtsberatung. Diese Seite erklärt, was in den genannten Quellen steht. Sie ersetzt keine Prüfung Ihres Einzelfalls; lassen Sie die Texte im Zweifel von einer Anwältin, einem Anwalt oder Ihrem Datenschutzbeauftragten prüfen.

Alles in einem Konto. Feedback erwünscht

Mit einem Formgong-Konto bekommen Sie neben dem Kontaktformular, das an E-Mail und Telegram sendet, auch kostenlose Website-Vorlagen (auf Englisch), in denen das Formular schon angeschlossen ist, einen KI-Hilfe-Chat, der Fragen Ihrer Besucher aus Ihren eigenen Seiten beantwortet, und Kundenbewertungen zum Sammeln und Anzeigen. Anfragen landen in einem Posteingang. Jedes dieser Produkte hat einen kostenlosen Tarif.

Fehlt Ihnen auf dieser Seite etwas, oder ist etwas unklar? Schreiben Sie uns an support@formgong.com. Wir lesen jede Nachricht und verbessern die Seite danach.