DSGVO-Kontaktformular: die häufigsten Fehler

Ein Kontaktformular wirkt harmlos. Name, E-Mail, Nachricht, fertig. Tatsächlich ist es einer der häufigsten Abmahn-Punkte bei deutschen Websites — weil dahinter eine Datenverarbeitung steckt, die die DSGVO genau regelt. Die gute Nachricht: Die Fehler sind bekannt und in einer Stunde behoben.

Fehler 1: Pflicht-Häkchen für die Datenschutzerklärung

Viele Formulare zwingen den Nutzer, ein „Ich habe die Datenschutzerklärung gelesen"-Häkchen zu setzen. Das klingt vorsichtig, ist aber falsch. Für ein einfaches Kontaktformular brauchen Sie keine Einwilligung — die Verarbeitung stützt sich auf das berechtigte Interesse beziehungsweise die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b und f DSGVO).

Ein erzwungenes Häkchen ist sogar problematisch: Eine Einwilligung muss freiwillig sein. Was man erzwingt, ist nicht freiwillig. Was Sie brauchen, ist ein Hinweis mit Link zur Datenschutzerklärung — kein Pflicht-Häkchen.

Fehler 2: Daten landen unverschlüsselt im Postfach

Das Formular schickt die Eingaben per E-Mail an den Betreiber. So weit normal. Das Problem: Wenn die Seite kein HTTPS hat, wandern Name und Nachricht im Klartext durchs Netz. 2026 ist eine Seite ohne SSL-Zertifikat ohnehin nicht mehr vertretbar — Browser markieren sie als „nicht sicher", und Google rankt sie schlechter.

HTTPS ist heute kostenlos (Let's Encrypt) und bei jedem seriösen Hoster mit einem Klick aktiviert. Es gibt keinen Grund, darauf zu verzichten.

Fehler 3: Keine gedachte Speicherdauer

Die DSGVO verlangt, dass Daten nicht länger gespeichert werden als nötig. Bei Kontaktanfragen heißt das konkret: Ist die Anfrage erledigt und besteht keine geschäftliche Beziehung, sind die Daten zu löschen. In der Praxis reicht eine einfache Regel — etwa: Anfragen, aus denen kein Auftrag wird, werden nach sechs Monaten gelöscht.

Diese Frist gehört in die Datenschutzerklärung. Niemand erwartet, dass Sie sekundengenau löschen, aber eine nachvollziehbare Regel müssen Sie haben.

Fehler 4: Tracking im Formular

Manche Baukästen oder Plugins binden Google-Dienste direkt ins Formular ein — etwa reCAPTCHA oder Schrift-Nachladen von Google-Servern. Beides überträgt die IP-Adresse des Nutzers in die USA, und zwar bevor er irgendetwas einwilligt. Das Landgericht München hat 2022 entschieden, dass schon das Nachladen einer Google-Schrift ohne Einwilligung abmahnfähig ist.

Lösung: Schriften selbst hosten. Spam-Schutz ohne externe Dienste lösen — ein unsichtbares Honeypot-Feld fängt Bots ab, ohne einen einzigen Datenpunkt an Dritte zu senden.

Fehler 5: Zu viele Pflichtfelder

Das ist kein Rechts-, sondern ein Konversionsfehler — passt aber zur DSGVO-Logik: Datensparsamkeit. Fragen Sie nur ab, was Sie wirklich brauchen. Für eine erste Kontaktaufnahme reichen Name, E-Mail und Nachricht. Telefonnummer, Firma, Budget — optional. Jedes Pflichtfeld kostet Anfragen, und jedes unnötige Feld ist auch datenschutzrechtlich schlechter begründbar.

Wie ein sauberes Formular aussieht

Konkret bedeutet das:

• Drei Felder, davon zwei Pflicht (Name, E-Mail), Nachricht optional kurz halten
• Ein Hinweis unter dem Absenden-Button mit Link zur Datenschutzerklärung — kein Häkchen
• HTTPS auf der gesamten Seite
• Selbst gehostete Schriften, kein externes reCAPTCHA
• Honeypot statt Captcha gegen Spam
• Speicherregel dokumentiert (z. B. Löschung nach sechs Monaten ohne Auftrag)

So ein Formular ist rechtlich sauber, lädt schnell und nervt niemanden.

Ein häufiges Missverständnis

„Ich habe doch ein Cookie-Banner, dann bin ich abgesichert." Nein. Das Cookie-Banner regelt Cookies und Tracking. Das Kontaktformular ist eine eigene Datenverarbeitung mit eigener Rechtsgrundlage und eigenem Abschnitt in der Datenschutzerklärung. Beides muss da sein, beides getrennt.

Wo Sie ansetzen

Schauen Sie sich Ihr eigenes Formular an: Lädt es eine Google-Schrift nach? Erzwingt es ein Häkchen? Steht in der Datenschutzerklärung etwas zur Speicherdauer? Drei Fragen, drei Minuten — und Sie wissen, ob Sie ein Risiko mit sich herumtragen.

Was beim Datenschutz technisch alles zusammenspielt, hängt eng mit dem Hosting und der Ladezeit zusammen — selbst gehostete Schriften helfen beidem. Und wie sich rechtssichere Technik in den Bau einer Seite einfügt, steht in unserem Prozess.

Wenn sich Rechtslage oder Formulare später ändern, prüfen wir das im Rahmen der Betreuung & Weiterentwicklung laufend mit.

Unsicher, ob Ihr Formular sauber ist? Sprechen Sie uns an — wir schauen kurz drüber.