Kontaktformular DSGVO-konform gestalten: Pflichtfelder, Double-Opt-In und Datensparsamkeit

Wer eine professionelle Website betreibt, kommt an einem Kontaktformular kaum vorbei. Gleichzeitig ist das Kontaktformular einer der häufigsten Datenschutz-Stolpersteine, den ich in meiner Arbeit antreffe. Zu viele Pflichtfelder, fehlende Checkbox, kein SSL - und schon droht eine Abmahnung oder eine Beschwerde bei der Datenschutzbehörde.

Ich bin Webentwickler, kein Rechtsanwalt - was ich hier beschreibe, ist meine praktische Umsetzungserfahrung aus über 120 Projekten, keine Rechtsberatung. Für verbindliche juristische Einschätzungen wenden Sie sich an einen spezialisierten Anwalt. Mit diesem Hintergrund zeige ich Ihnen, worauf es beim DSGVO-konformen Kontaktformular wirklich ankommt.

Das Grundprinzip: Datensparsamkeit vor allem

Der wichtigste Grundsatz steht in Art. 5 Abs. 1 lit. c DSGVO und heisst Datenminimierung. Auf Deutsch bedeutet das: Erheben Sie nur, was Sie wirklich brauchen. Für eine einfache Kontaktanfrage brauchen Sie keine Adresse, kein Geburtsdatum, keinen Unternehmensnamen als Pflichtfeld.

In der Praxis sieht das so aus: Ein Pflichtfeld für eine Kontaktmöglichkeit (E-Mail-Adresse oder Telefonnummer, nicht beides), ein optionales Namensfeld und ein Freitextfeld für die Nachricht reichen aus. Alles andere ist rechtlich riskant, weil Sie den Zweck der zusätzlichen Erhebung begründen müssen.

Welche Pflichtfelder sind erlaubt?

Diese Frage beantworte ich in Projekten sehr konkret. Erlaubt als Pflichtfeld ist, was für die Bearbeitung der Anfrage unbedingt notwendig ist. Nicht erlaubt als Pflichtfeld ist, was Sie gerne hätten, aber nicht brauchen.

Konkret bedeutet das:

• E-Mail-Adresse oder Telefonnummer: erlaubt als Pflichtfeld (einer davon)
• Vorname, Nachname, Anrede: sollten als optionale Felder gestaltet sein
• Firmenname, Adresse, Geburtsdatum: in der Regel kein legitimes Pflichtfeld für eine Kontaktanfrage
• Betreff: kann als Pflichtfeld sinnvoll sein, wenn er für die interne Weiterleitung gebraucht wird

Bei einem Kundenprojekt aus Hamburg - einem mittelständischen Dienstleister - hatte das ursprüngliche Formular sieben Pflichtfelder, darunter Adresse und Telefon. Nach der DSGVO-Überarbeitung waren es noch zwei. Die Abschlussquote stieg um 23 Prozent, und das Haftungsrisiko sank deutlich.

Die Einwilligungs-Checkbox richtig einbinden

Ohne eine korrekt eingebundene Datenschutz-Checkbox ist das Formular in der Praxis nicht DSGVO-konform. Diese Checkbox muss folgende Bedingungen erfüllen:

1. Sie darf nicht vorausgewählt sein. Der Nutzer muss aktiv zustimmen.
2. Sie muss einen klaren Text enthalten, der erklärt, was mit den Daten geschieht.
3. Sie muss einen Link zur Datenschutzerklärung enthalten.
4. Ohne gesetzte Checkbox darf das Formular nicht abgeschickt werden können.

Der Text der Checkbox könnte so lauten: "Ich habe die Datenschutzerklärung gelesen und bin damit einverstanden, dass meine Daten zur Bearbeitung meiner Anfrage gespeichert und verarbeitet werden."

In WordPress lässt sich das mit Contact Form 7 direkt umsetzen: Sie fügen ein Acceptance-Feld ein und verknüpfen es mit der Datenschutzseite. Die Checkbox ist standardmäßig nicht vorausgewählt, was korrekt ist.

Double-Opt-In: sinnvoll oder Pflicht?

Hier herrscht viel Verwirrung. Das Double-Opt-In-Verfahren - also die Bestätigung per Klick auf einen Link in einer automatisch versendeten E-Mail - ist bei einer reinen Kontaktanfrage keine gesetzliche Pflicht. Der Bundesgerichtshof hat zwar bestätigt, dass Double-Opt-In der geeignete Weg zum Nachweis einer wirksamen Einwilligung ist, aber das gilt vorrangig für Newsletter und Marketing-E-Mails.

Für ein normales Kontaktformular gilt: Wenn jemand lediglich eine Anfrage stellt und Sie daraufhin antworten, brauchen Sie kein Double-Opt-In. Anders sieht es aus, wenn Sie die Daten für Nachfassaktionen nutzen wollen - dann empfehle ich es ausdrücklich.

SSL-Verschlüsselung ist Pflicht, nicht Kür

Das höre ich immer wieder: "Meine Website hat noch kein SSL, macht aber nichts." Macht sehr wohl etwas. Nach Art. 32 DSGVO sind technische Maßnahmen zum Schutz personenbezogener Daten vorgeschrieben. Ein Kontaktformular auf einer HTTP-Seite überträgt Daten im Klartext - das ist ein klarer Verstoß.

Heute gibt es keinen Grund mehr, ohne SSL zu arbeiten. Let's-Encrypt-Zertifikate sind kostenlos, und jeder vernünftige Hoster - ich arbeite für deutsche Kunden meistens mit LH.pl und Hostinger - stellt sie auf Knopfdruck bereit. Die Einrichtung dauert unter fünf Minuten.

Speicherfristen und Löschpflichten

Die DSGVO legt keine festen Fristen für Kontaktformular-Daten fest. Stattdessen gilt das Prinzip der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO: Daten dürfen nur so lange gespeichert werden, wie es für den Zweck notwendig ist.

Für die Praxis bedeutet das:

• Reine Kontaktanfrage ohne Vertragsschluss: Löschung spätestens 6 bis 12 Monate nach Abschluss des Vorgangs
• Anfrage, die zu einem Vertrag führt: Die Aufbewahrungsfristen für Geschäftskorrespondenz (in Deutschland 6 Jahre nach HGB, 10 Jahre für steuerrelevante Unterlagen) können greifen
• Anfragen, die zu keiner Reaktion geführt haben: zeitnah löschen, in der Regel nach 3 Monaten

Wichtig: Halten Sie dies in Ihrer Datenschutzerklärung fest. Die pauschale Aussage "wir löschen Daten, wenn sie nicht mehr benötigt werden" reicht nicht - Sie müssen konkrete Fristen oder zumindest konkrete Kriterien nennen.

WordPress-Plugins für die Umsetzung

Für die meisten WordPress-Websites reicht Contact Form 7 vollständig aus. Das Plugin hat über 10 Millionen aktive Installationen und lässt sich mit wenigen Schritten DSGVO-konform konfigurieren:

1. Acceptance-Feld (Checkbox) hinzufügen und als Pflichtfeld einstellen
2. Linktext mit der Datenschutzseite verknüpfen
3. Formulardaten-Speicherung prüfen (standardmäßig speichert CF7 keine Daten in der DB - das ist gut)
4. SMTP für E-Mail-Versand konfigurieren, damit Daten nicht über unsichere Server laufen

Gravity Forms bietet zusätzlich eine integrierte Löschfunktion für gespeicherte Einträge und erweiterte Audit-Logs. Wer einen Online-Shop betreibt und Formulare auch für Bestellprozesse nutzt, profitiert von den erweiterten Compliance-Funktionen.

Datenschutzerklärung anpassen

Ein oft vergessener Punkt: Die Datenschutzerklärung muss explizit auf das Kontaktformular eingehen. Eine allgemeine Datenschutzerklärung ohne Erwähnung des Formulars reicht nicht aus.

Folgende Punkte müssen dort stehen:

• Welche Daten werden erhoben (konkret: die Felder des Formulars)
• Auf welcher Rechtsgrundlage (Art. 6 Abs. 1 lit. a DSGVO bei Einwilligung oder lit. b bei Vertragsanbahnung)
• Zu welchem Zweck die Daten verarbeitet werden
• Wie lange sie gespeichert werden
• Ob und an wen sie weitergegeben werden (z.B. E-Mail-Provider, CRM)

Bei einem Projekt aus Hamburg habe ich erlebt, dass der Kunde zwar eine vollständige Datenschutzerklärung hatte - aber das Kontaktformular war dort mit keiner Silbe erwähnt. Eine Abmahnung durch einen Mitbewerber folgte. Das ist vermeidbar.