Kaum ein Website-Baustein wird so oft unterschätzt wie das Kontaktformular. Es wirkt harmlos – ein paar Textfelder, ein Absenden-Button – verarbeitet aber personenbezogene Daten und fällt damit vollständig unter die DSGVO. Das bedeutet nicht, dass ein Formular kompliziert sein muss. Es bedeutet nur, dass ein paar konkrete Punkte von Anfang an mitgedacht werden sollten.
Die Punkte, die tatsächlich zählen
Erstens: eine Einwilligung oder zumindest ein klarer Hinweis, dass die eingegebenen Daten zur Bearbeitung der Anfrage genutzt und verarbeitet werden – meist als Checkbox oder als Link zur Datenschutzerklärung direkt am Formular, nicht irgendwo versteckt. Zweitens: eine Datenschutzerklärung, die konkret benennt, welche Daten erhoben werden, wofür, wie lange sie gespeichert bleiben und ob sie an Dritte weitergegeben werden – etwa an einen E-Mail-Versanddienst. Drittens: Datensparsamkeit, also nur die Felder abfragen, die für die Bearbeitung tatsächlich gebraucht werden. Ein Pflichtfeld für die Telefonnummer bei einer reinen Rückfrage per E-Mail ist datenschutzrechtlich schwer zu begründen.
Technische Absicherung wird oft vergessen
Neben der rechtlichen Seite gehört auch technischer Grundschutz dazu: eine verschlüsselte Übertragung per HTTPS ist mittlerweile Standard, wird aber gelegentlich bei einzelnen Formular-Endpunkten übersehen. Ein einfaches Honeypot-Feld – ein für Menschen unsichtbares Zusatzfeld, das nur Spam-Bots ausfüllen – reduziert Spam-Anfragen spürbar, ohne dass Besucher ein Captcha lösen müssen. Und serverseitig sollten Eingaben validiert werden, nicht nur im Browser, da clientseitige Prüfungen sich umgehen lassen.
„Datenschutz beim Kontaktformular ist kein Sonderfall, sondern Grundausstattung.“
In der Praxis lässt sich das alles mit überschaubarem Aufwand umsetzen, wenn es von Anfang an mitgeplant wird – deutlich weniger Aufwand jedenfalls, als ein bestehendes Formular nachträglich rechtlich sauber zu machen. Wer sich unsicher ist, ob das eigene Formular diese Punkte erfüllt, sollte es einmal mit einer neutralen Checkliste durchgehen, statt sich auf ein „läuft schon“ zu verlassen.