Kontaktformular nach DSGVO: Felder, Hinweise, Spamschutz und Löschung
Ein Kontaktformular ist datenschutzrechtlich kein großes Problem, wenn ein paar Dinge stimmen. Die Seite läuft über https, und das Formular fragt nur nach dem Nötigen. Ein Hinweis verweist auf die Datenschutzerklärung, und die Anfragen werden irgendwann gelöscht. Ein Häkchen zur Einwilligung brauchen Sie in den meisten Fällen nicht. Das Thema Kontaktformular DSGVO wird oft komplizierter gemacht, als es ist.
Schwierig wird es an zwei Stellen, die viele Betreiber nicht im Blick haben: beim Spamschutz, der Daten an andere Anbieter schickt, und bei Kopien der Anfragen, die unbemerkt in der Datenbank liegen bleiben. Bei Formularen für Gesundheitsdaten sollten Sie sich zusätzlich rechtlich beraten lassen.
Die Rechtsgrundlage: meist ohne Einwilligung
Wer sein Kontaktformular DSGVO-konform betreiben will, braucht dafür in der Regel keine Einwilligung. Denn wer Ihnen über das Formular schreibt, will eine Antwort. Für diese Verarbeitung gibt es eine passende Grundlage, ohne dass jemand ein Häkchen setzen muss.
Die genaue Fundstelle brauchen Sie für die Datenschutzerklärung. Geht es um ein Angebot, einen Auftrag oder einen bestehenden Vertrag, ist es Artikel 6 Absatz 1 Buchstabe b DSGVO. Das gilt auch für einen Aufnahmeantrag im Verein. Bei allgemeinen Anfragen ist es das berechtigte Interesse nach Buchstabe f, Anfragen zu beantworten.
Eine zusätzliche Einwilligung bringt dann nichts. Sie kann sogar schaden: Wer eine Einwilligung einholt, muss sie auch widerrufen lassen, und dann stünde die Bearbeitung der Anfrage auf wackligen Füßen.
Anders ist es, wenn Sie die Angaben für etwas anderes nutzen wollen, etwa für einen Newsletter. Dafür brauchen Sie eine eigene, freiwillige Einwilligung mit einem Feld, das nicht vorausgewählt ist, und eine Bestätigung per Mail.
Welche Felder ein Kontaktformular braucht
Die DSGVO verlangt Datensparsamkeit. Ein Kontaktformular DSGVO-gerecht aufzubauen heißt deshalb vor allem: Pflicht ist nur, was Sie zum Antworten wirklich brauchen.
Viele Formulare verlangen Anrede, Anschrift und Telefonnummer, obwohl die Antwort per Mail kommt. Machen Sie diese Felder freiwillig oder streichen Sie sie. Das ist nicht nur sauberer beim Datenschutz, sondern auch freundlicher: Kurze Formulare werden häufiger ausgefüllt.
Jedes Feld braucht außerdem eine sichtbare Beschriftung. Ein grauer Platzhalter im Feld genügt nicht, weil er beim Tippen verschwindet und nicht jeder Screenreader ihn vorliest. Mehr zu Formularen, die alle bedienen können, unter Barrierefreie Webseite.
Verzichten Sie auf die Option, dem Absender eine Kopie seiner Nachricht zu schicken. Spammer nutzen sie, um über Ihr Formular Mails an beliebige Adressen zu verschicken, und Ihr Server gerät dann auf Sperrlisten.
Der Hinweis am Formular
Die Informationspflicht gilt in dem Moment, in dem Sie Daten erheben. Ein kurzer Satz direkt über dem Absende-Knopf genügt, etwa: „Wir verwenden Ihre Angaben nur, um Ihre Anfrage zu beantworten. Mehr dazu in der Datenschutzerklärung.“ Der Link führt zu dem Abschnitt, der das Formular ausführlich beschreibt: welche Daten Sie erheben, wozu, auf welcher Rechtsgrundlage und wie lange Sie sie aufbewahren.
Verschlüsselung ist Pflicht
Ein Formular, das Daten unverschlüsselt über http verschickt, verstößt gegen die Pflicht zur Sicherheit der Verarbeitung aus Artikel 32 DSGVO. Ohne https ist kein Kontaktformular DSGVO-konform. Mit einem SSL-Zertifikat, das heute in fast jedem Tarif enthalten ist, ist das Problem gelöst.
Prüfen Sie, ob die Seite mit dem Formular tatsächlich über https aufgerufen wird, auch wenn jemand die Adresse ohne https eintippt. Wie die Umstellung funktioniert, zeigt SSL-Zertifikat.
Wo die Anfrage überall gespeichert wird
Wer prüfen will, ob sein Kontaktformular DSGVO-konform arbeitet, muss vor allem wissen, wo die Daten nach dem Absenden liegen. Meist sind es mehr Orte, als man denkt.
Viele Formular-Plugins für WordPress speichern jede Anfrage zusätzlich in der Datenbank. Das ist praktisch, wenn eine Mail verloren geht. Es heißt aber auch, dass dort Anfragen aus Jahren liegen können, von denen niemand mehr weiß.
Prüfen Sie in den Einstellungen des Plugins, ob Einträge gespeichert werden. Bietet das Plugin eine automatische Löschung an, schalten Sie sie ein. Wer Formulare für Kunden baut, richtet die Löschung gleich mit ein und vermerkt sie in den Unterlagen zur Übergabe.
Verarbeitet ein externer Formulardienst die Anfragen statt Ihres eigenen Webspace, brauchen Sie mit ihm einen Vertrag zur Auftragsverarbeitung. Sitzt der Dienst außerhalb der EU, kommen die Regeln für Übermittlungen in Drittländer dazu. Ein Formular auf dem eigenen Webspace ist deshalb meist die einfachere Lösung.
Spamschutz ohne Google
Ohne Schutz bekommt fast jedes Formular nach kurzer Zeit Spam. Ob ein Kontaktformular DSGVO-konform bleibt, entscheidet sich oft genau hier, denn der bekannteste Schutz ist zugleich der heikelste.
Captchas großer Anbieter analysieren das Verhalten des Besuchers und schicken dazu Daten an den Anbieter. Dafür ist meist eine Einwilligung nötig, und ohne sie funktioniert das Formular nicht. Das ist ein schlechter Tausch, den der Ratgeber Cookie Banner näher erklärt.
Für kleine Seiten reichen oft einfache Mittel. Ein Honeypot ist ein Feld, das Menschen nicht sehen, Programme aber ausfüllen. Füllt jemand es aus, wird die Nachricht verworfen. Eine Zeitprüfung verwirft Nachrichten, die schneller abgeschickt werden, als ein Mensch tippen kann. Beides lässt sich kombinieren und hält einen großen Teil des Spams ab, ohne dass Daten die Seite verlassen.
Wenn die Formular-Mails nicht ankommen
Ein häufiges Problem hat mit Datenschutz nichts zu tun, aber viel mit dem Hosting: Die Mails aus dem Formular landen im Spamordner oder kommen gar nicht an. Der Grund ist meist, dass der Webserver die Mail im Namen Ihrer Domain verschickt, ohne dazu berechtigt zu sein.
Die Lösung: Lassen Sie das Formular über ein echtes Postfach Ihrer Domain versenden, also per SMTP mit Benutzername und Passwort. Für WordPress gibt es dafür eigene Plugins.
Zusätzlich sollte der SPF-Eintrag Ihrer Domain den Mailserver Ihres Hosters erlauben. Noch verlässlicher kommen die Mails an, wenn der Hoster sie mit DKIM signiert und die Domain eine DMARC-Regel veröffentlicht. Große Mailanbieter prüfen beides inzwischen streng. Wie Postfächer auf der eigenen Domain funktionieren, steht unter eigene E-Mail-Adresse.
Wann Sie Anfragen löschen
Anfragen dürfen Sie so lange aufbewahren, wie Sie sie für die Bearbeitung brauchen. Ist die Sache erledigt, gehören sie gelöscht. Ausnahme sind Anfragen, die zu einem Geschäft geführt haben: Geschäftsbriefe müssen Kaufleute nach Handels- und Steuerrecht in der Regel sechs Jahre aufbewahren.
Legen Sie eine einfache Regel fest, etwa: Erledigte Anfragen ohne Auftrag werden nach einer festen Frist gelöscht, im Postfach und in der Datenbank. Schreiben Sie diese Frist auch in die Datenschutzerklärung.
Kontaktformular DSGVO: häufige Fragen aus der Praxis
Die erste Frage betrifft ein Häkchen, das auf vielen Seiten noch steht, obwohl es niemand braucht.
Ist das Häkchen „Ich habe die Datenschutzerklärung gelesen“ Pflicht?
Nein. Die Datenschutzerklärung muss man nicht bestätigen, nur zur Verfügung stellen. Ein solches Häkchen ist überflüssig und hält manche Besucher vom Absenden ab.
Reicht statt eines Formulars eine E-Mail-Adresse?
Ja, das ist datenschutzrechtlich sogar die einfachste Lösung. Sie verzichten damit allerdings auf Spamschutz und auf vorgegebene Felder, die Anfragen ordnen.
Ich bin Ärztin oder Therapeut. Gilt etwas anderes?
Ja. Gesundheitsdaten gehören zu den besonders geschützten Daten nach Artikel 9 DSGVO. Hier sind strengere Regeln und oft eine zusätzliche Verschlüsselung nötig. Lassen Sie sich beraten, bevor Sie ein Formular für Patientenanfragen einsetzen.
Müssen Formular-Mails verschlüsselt werden?
Für normale Anfragen reicht die Verschlüsselung der Übertragung vom Browser zum Server und eine verschlüsselte Verbindung zum Mailserver. Bei sensiblen Daten kommt eine Ende-zu-Ende-Verschlüsselung in Frage.
Die Testanfrage
Nach jeder Änderung am Formular lohnt sich eine Probe mit einer echten Anfrage. Schicken Sie sich selbst eine Nachricht und prüfen Sie dabei:
- Zeigt die Adresszeile beim Formular https und ein Schloss?
- Kommt die Mail im richtigen Postfach an und nicht im Spamordner?
- Stimmen Absender und Antwortadresse, sodass ein Klick auf Antworten den Besucher erreicht?
- Liegt die Anfrage zusätzlich in der Datenbank, und greift dort die Löschregel?
- Lädt die Seite mit dem Formular Inhalte von fremden Servern? Das zeigt der Netzwerk-Reiter im Browser.
Landet die Testmail im Spam, liegt es fast immer an den Einträgen der Domain. Den passenden Eintrag können Sie jetzt bei den DNS Einträgen nachsehen.