Kontaktformular DSGVO-konform gestalten

Der Weg einer Anfrage

Eine Formularanfrage durchläuft fünf Stationen, und an jeder kann etwas schiefgehen: Sie wird im Browser eingegeben, über das Netz übertragen, auf einem Server verarbeitet, in ein Postfach zugestellt und irgendwann gelöscht — oder eben nicht. Die DSGVO verlangt an jeder Station etwas anderes: Sicherheit bei der Übertragung (Art. 32), Datenminimierung bei der Eingabe (Art. 5 Abs. 1 lit. c), Information (Art. 13), eine Rechtsgrundlage (Art. 6), einen Vertrag mit jedem Dienstleister (Art. 28) und eine Speicherbegrenzung (Art. 5 Abs. 1 lit. e).

Station 1: Verschlüsselte Übertragung

Art. 32 Abs. 1 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“ und nennt die Verschlüsselung als erstes Beispiel (lit. a). Für ein Formular heißt das: Die Seite mit dem Formular und die Adresse, an die es sendet, müssen über https laufen. Ein Formular auf einer https-Seite, das an eine http-Adresse schickt, überträgt die Eingaben trotzdem im Klartext. Das BSI empfiehlt in der Technischen Richtlinie TR-02102-2 TLS 1.2 oder neuer; TLS 1.0 und 1.1 gelten als veraltet. Prüfen Sie außerdem, dass http-Aufrufe dauerhaft auf https umgeleitet werden — sonst landet ein Besucher, der die Adresse ohne „s“ eintippt, auf der unverschlüsselten Fassung. Bei fast allen Hostern ist das Zertifikat kostenlos (Let’s Encrypt) und die Umleitung ein Schalter im Kundenkonto.

Station 2: Felder — so wenig wie möglich

Art. 5 Abs. 1 lit. c DSGVO verlangt, dass Daten „dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt“ sind. Für ein Kontaktformular ist der Zweck: Ihre Anfrage beantworten. Dafür brauchen Sie eine Antwortadresse und die Nachricht. Alles andere ist entweder freiwillig oder braucht eine eigene Begründung. Ein Name ist für die Anrede hilfreich, aber nicht zwingend; eine Telefonnummer nur, wenn Sie einen Rückruf anbieten; eine Anschrift nur, wenn Sie etwas zuschicken; ein Geburtsdatum praktisch nie. Jedes Pflichtfeld, das Sie nicht begründen können, ist ein Verstoß gegen die Datenminimierung — und ein Grund für Besucher, das Formular nicht abzuschicken.

Kennzeichnen Sie Pflichtfelder eindeutig (Sternchen mit Legende oder das Wort „Pflichtfeld“) und sagen Sie in der Datenschutzerklärung, welche Felder Pflicht sind und warum — Art. 13 Abs. 2 lit. e verlangt genau diese Information. Ein Freitextfeld ist unvermeidlich, aber Sie sollten Besucher nicht auffordern, dort sensible Angaben zu machen; wer ein Formular für Gesundheits- oder Beratungsanfragen betreibt, braucht eine gesonderte Prüfung nach Art. 9 DSGVO.

Station 3: Der Hinweis am Formular

Die Datenschutzerklärung im Footer erfüllt die Informationspflicht grundsätzlich; direkt am Formular gehört trotzdem ein kurzer Hinweis hin, weil hier die Erhebung stattfindet und der Besucher wissen soll, was mit seiner Eingabe geschieht, bevor er auf „Senden“ klickt. Der Hinweis nennt den Zweck, die Speicherdauer in einem Wort und verlinkt die Erklärung. Er ist eine Information, keine Einwilligung — deshalb braucht es keine Pflicht-Checkbox „Ich stimme zu“. Eine solche Checkbox ist nicht nur überflüssig, sie ist irreführend: Sie suggeriert eine Einwilligung als Rechtsgrundlage, die dann auch widerrufbar wäre, während die tatsächliche Grundlage die Anfrage selbst ist. Strukturell sieht der Hinweis so aus (Aufbau, keine Musterformulierung):

Station 4: Die Rechtsgrundlage

Die Bearbeitung einer Anfrage braucht eine Grundlage nach Art. 6 Abs. 1 DSGVO. Zwei kommen in Betracht. Lit. b — die Verarbeitung ist „zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen“ — passt, wenn jemand ein Angebot, einen Termin oder eine Bestellung will. Lit. f — das berechtigte Interesse — passt für alles andere: die allgemeine Frage, das Lob, die Beschwerde. Ihr Interesse ist, mit Interessenten und Kunden zu kommunizieren; das Interesse des Anfragenden zeigt in dieselbe Richtung, denn er hat sich gemeldet. Beide Grundlagen gehören in die Datenschutzerklärung, mit der Nennung des berechtigten Interesses (Art. 13 Abs. 1 lit. d). Eine Einwilligung (lit. a) ist nicht nötig und wäre die schlechtere Wahl: Sie ist jederzeit widerrufbar, und Sie müssten sie nachweisen können. Wie der Baustein in der Erklärung aussieht, steht im Artikel Datenschutzerklärung für kleine Websites.

Station 5: Spam-Schutz ohne Google

Ein Formular ohne Schutz füllt Ihr Postfach binnen Tagen mit automatisierten Einträgen. Die reflexhafte Lösung ist Google reCAPTCHA — und sie tauscht ein Ärgernis gegen ein Datenschutzproblem: Der Dienst lädt Skripte von Google, setzt Cookies, wertet Geräte- und Verhaltensdaten aus und übermittelt sie in die USA, bevor der Besucher irgendetwas abgeschickt hat. Nach § 25 TDDDG und der DSGVO braucht das eine Einwilligung; das Bayerische Landesamt für Datenschutzaufsicht schreibt in seinen FAQ, Website-Betreiber „sollten unbedingt Alternativen prüfen“, und wer nicht darlegen könne, wie Google die Nutzerdaten verarbeite, könne die Nutzer nicht transparent informieren. Für ein Kontaktformular gibt es Verfahren, die keinen Fremdserver brauchen und den allermeisten Spam abfangen:

Die Kombination aus Honeypot, Zeitprüfung und Rate-Limit ist in wenigen Zeilen Code umgesetzt und kommt ohne jede Interaktion des Besuchers aus. Ein Honeypot-Feld sieht so aus — der Name sollte für Bots verlockend, für Menschen unsichtbar sein:

<div class="hp" aria-hidden="true" style="position:absolute;left:-9999px">
  <label for="website">Website</label>
  <input type="text" id="website" name="website" tabindex="-1" autocomplete="off">
</div>
<input type="hidden" name="t" value="1789040000"> <!-- Ladezeitpunkt, serverseitig geprüft -->

Serverseitig gilt: Ist website nicht leer oder liegt der Zeitstempel weniger als drei Sekunden zurück, wird die Einsendung still verworfen — ohne Fehlermeldung, damit der Bot nichts lernt. Formular-Plugins für WordPress und die meisten Baukästen bieten Honeypot und Zeitprüfung als Option; schalten Sie sie ein, bevor Sie zu einem Captcha greifen.

Station 6: Formular-Dienste Dritter und AVV

Viele Baukästen und statische Websites nutzen einen Formular-Dienst: Das Formular schickt die Eingaben an den Server eines Anbieters, der sie speichert und per Mail weiterleitet. Das ist zulässig, macht den Anbieter aber zum Auftragsverarbeiter nach Art. 28 DSGVO. Drei Dinge folgen daraus. Erstens der Vertrag: Art. 28 Abs. 3 verlangt einen Auftragsverarbeitungsvertrag mit festgelegtem Inhalt, Abs. 9 erlaubt ihn in elektronischer Form — bei seriösen Anbietern liegt er im Kundenkonto zur Annahme bereit; fehlt er dort, ist das ein Grund, den Anbieter zu wechseln. Zweitens der Standort: Sitzt der Anbieter oder sein Rechenzentrum außerhalb der EU, ist das eine Drittlandübermittlung, die in der Erklärung mit Garantie zu nennen ist (Art. 13 Abs. 1 lit. f). Drittens die Speicherung beim Anbieter: Viele Dienste behalten Einsendungen unbegrenzt in ihrem Dashboard. Stellen Sie eine Löschfrist ein oder löschen Sie regelmäßig — die Speicherbegrenzung gilt auch dort.

Dasselbe gilt für Ihren Hoster, wenn das Formular auf Ihrem eigenen Server läuft: Er verarbeitet die Daten in Ihrem Auftrag, der AVV ist Pflicht. Die Liste der Empfänger in Ihrer Datenschutzerklärung ist zugleich Ihre AVV-Liste — wer dort steht, muss einen Vertrag haben.

Station 7: Weiterleitung und Postfach

Der unauffälligste Fehler passiert nach dem Formular: Die Anfrage wird per Mail an irgendein Postfach geschickt — die private Adresse des Inhabers, ein kostenloses Konto bei einem US-Anbieter, gleichzeitig an drei Mitarbeiter. Jeder Empfänger ist eine Übermittlung, jedes fremde Postfach ein weiterer Verarbeiter. Die saubere Lösung ist ein betriebliches Postfach beim eigenen Hoster oder einem Anbieter mit AVV, auf das nur die Personen Zugriff haben, die Anfragen bearbeiten. Weiterleitungen an private Konten sind zu unterbinden; wer unterwegs lesen will, richtet das betriebliche Postfach auf dem Telefon ein. Die Übertragung zwischen Server und Postfach sollte verschlüsselt sein (Transportverschlüsselung ist bei allen gängigen Mailanbietern Standard). Und: Ein Postfach mit tausend alten Anfragen ist ein Datenbestand. Wird es kompromittiert, ist das eine Datenpanne, die nach Art. 33 DSGVO binnen 72 Stunden zu melden sein kann — ein Grund mehr, es leer zu halten.

Station 8: Speicherfristen und Löschkonzept

Art. 5 Abs. 1 lit. e DSGVO verlangt, dass Daten nur so lange gespeichert werden, wie der Zweck es erfordert. Für eine Anfrage endet der Zweck, wenn sie beantwortet ist und keine Rückfrage mehr zu erwarten ist. Eine feste Zahl nennt das Gesetz nicht; Sie legen sie fest und schreiben sie in die Erklärung. Zwei Ausnahmen: Wird aus der Anfrage ein Geschäft, ist die Korrespondenz ein Handelsbrief mit sechs Jahren Aufbewahrung nach § 257 Abs. 4 HGB und § 147 AO. Und laufende Vorgänge — ein Streit, ein Gewährleistungsfall — bleiben, bis sie abgeschlossen sind. Ein Löschkonzept für ein kleines Unternehmen passt auf eine Seite:

• SofortSpam und FehlversucheVom Honeypot abgefangene Einsendungen werden nicht gespeichert, auch nicht „zur Analyse“.
• Nach ErledigungAllgemeine AnfragenBeantwortet, keine Rückfrage — löschen. Praktisch: Ordner „erledigt“, der monatlich geleert wird, plus Löschung beim Formular-Dienst.
• Nach AbschlussVorgänge mit VertragsbezugAngebot, Auftrag, Reklamation: bleiben, bis der Vorgang abgeschlossen ist — dann in die Buchhaltungsablage, nicht ins Postfach.
• 6 JahreHandelsbriefeEmpfangene und gesendete Handelsbriefe nach § 257 HGB / § 147 AO — die Frist beginnt mit dem Schluss des Kalenderjahres.
• JährlichKontrollePostfach, Formular-Dienst und Backups durchsehen; die Fristen in der Erklärung mit der Praxis abgleichen.

Vergessen Sie die Kopien nicht: Der Formular-Dienst, das Sent-Postfach, das Backup des Hosters. Ein Löschkonzept, das nur das Posteingangs-Postfach betrifft, ist keines. Und wer eine Auskunftsanfrage nach Art. 15 bekommt, muss alle diese Orte durchsuchen können — je weniger dort liegt, desto einfacher.

Häufige Fragen