Was muss ich beim Kontaktformular für den Datenschutz beachten?

Hinweis: Das ist ein praktischer Überblick mit Stand Oktober 2026 und keine Rechtsberatung. Für Formulare, die Gesundheitsdaten oder Bewerbungen aufnehmen, lass dich von einer Anwältin, einem Anwalt oder einer Datenschutzberatung beraten.

Worum es geht

Das Kontaktformular ist für die meisten Dienstleister die wichtigste Stelle der Website. Hier wird aus einem Besucher eine Anfrage. Und hier fließen die ersten personenbezogenen Daten: Name, E-Mail-Adresse, oft eine Telefonnummer und eine Nachricht, in der mehr stehen kann, als du erwartest.

Für das Formular gelten dieselben Regeln wie für jede andere Datenverarbeitung nach der DSGVO. Die wichtigsten sind die Datenminimierung aus Art. 5, die Rechtsgrundlage aus Art. 6, die Informationspflicht aus Art. 13 und die Sicherheit der Verarbeitung aus Art. 32. Klingt viel, lässt sich aber in sieben überschaubaren Schritten erledigen. Wie das Formular gleichzeitig gut ausgefüllt wird, steht unter Wie baue ich ein Kontaktformular, das ausgefüllt wird. Datenschutz und hohe Abschlussrate widersprechen sich dabei nicht: Weniger Felder sind für beides gut.

1 Nur fragen, was du wirklich brauchst

Datenminimierung heißt: Du erhebst nur Daten, die du für den Zweck brauchst. Der Zweck eines Kontaktformulars ist, eine Anfrage zu beantworten. Daraus ergibt sich die Auswahl.

Feld	Pflicht oder freiwillig	Begründung
Name	Pflicht	für eine persönliche Antwort
E-Mail-Adresse	Pflicht, alternativ Telefon	ohne Kontaktweg keine Antwort
Nachricht	Pflicht	der eigentliche Inhalt
Telefonnummer	freiwillig	nur Pflicht, wenn du ausschließlich anrufst
Firma	freiwillig, bei B2B oft sinnvoll	hilft bei der Einordnung
Postanschrift, Geburtsdatum	weglassen	für eine erste Anfrage nicht nötig

Freiwillige Felder kennzeichnest du deutlich, etwa mit „optional“. Ein Sternchen an Pflichtfeldern allein ist für viele Besucher nicht eindeutig.

Vorsicht bei sensiblen Daten

Praxen, Therapeuten, Coaches mit psychologischem Schwerpunkt oder Pflegedienste bekommen über das Formular oft Gesundheitsdaten. Diese gehören nach Art. 9 DSGVO zu den besonderen Kategorien und brauchen in der Regel eine ausdrückliche Einwilligung. Viele Praxen schreiben deshalb an das Formular: „Bitte schreib hier keine Angaben zu deiner Gesundheit. Die besprechen wir im Termin.“ Wenn du Gesundheitsdaten bewusst abfragen willst, lass das Formular prüfen.

2 Die richtige Rechtsgrundlage und die Frage nach der Checkbox

Für eine Anfrage zu deinen Leistungen ist die Rechtsgrundlage in der Regel Art. 6 Abs. 1 lit. b DSGVO, also Maßnahmen zur Anbahnung eines Vertrags auf Anfrage der Person. Für allgemeine Anfragen ohne Vertragsbezug kommt das berechtigte Interesse nach lit. f in Betracht, auf eine Nachricht zu antworten.

Eine Checkbox „Ich habe die Datenschutzerklärung gelesen und stimme zu“ brauchst du deshalb für normale Anfragen meist nicht. Sie ist sogar unglücklich: Wer seine Verarbeitung auf eine Einwilligung stützt, muss mit Widerrufen rechnen und braucht sie für etwas, das ohnehin erlaubt ist. Lesen ist außerdem keine Einwilligung.

Eine Checkbox ist dann richtig, wenn du die Daten für einen weiteren Zweck nutzen willst. Typisch ist der Newsletter. Dafür brauchst du eine eigene, nicht vorausgewählte Checkbox und eine Bestätigung per E-Mail, das sogenannte Double-Opt-in. Eine Anfrage ist keine Einwilligung in Werbung. Wie ein Newsletter sauber startet, steht unter Wie starte ich einen Newsletter.

3 Der Hinweis direkt am Formular

Die Informationspflicht aus Art. 13 gilt im Moment der Erhebung. Deshalb gehört ein kurzer Hinweis mit Link zur Datenschutzerklärung direkt an das Formular, am besten unter den Absenden-Knopf.

Beispiel: „Wir nutzen deine Angaben nur, um deine Anfrage zu beantworten. Mehr dazu in unserer Datenschutzerklärung.“ Dazu ein Link auf die Datenschutzseite. In der Datenschutzerklärung beschreibst du dann ausführlich: Zweck, Rechtsgrundlage, Empfänger wie Hoster oder E-Mail-Anbieter und Speicherdauer.

Der Hinweis ersetzt nicht den Abschnitt in der Datenschutzerklärung. Er führt nur dorthin.

4 Verschlüsselung und der Weg der Daten

Ein Formular überträgt Daten vom Browser zu deinem Server. Diese Übertragung muss verschlüsselt sein, also über https laufen. Das ist heute Standard, prüf es trotzdem. Mehr dazu unter Brauche ich ein SSL-Zertifikat.

Danach beginnt der Teil, den viele übersehen: Wohin gehen die Daten? Ein typischer Weg sieht so aus:

1. Der Besucher schickt das Formular ab.
2. Der Webserver verarbeitet die Daten. Das ist dein Hoster.
3. Eine E-Mail geht an dein Postfach. Das ist dein E-Mail-Anbieter.
4. Optional landen die Daten in einem CRM, einer Tabelle oder einer Automation.
5. Optional bekommt der Besucher eine Eingangsbestätigung.

Jede Station, an der ein Dienstleister die Daten in deinem Auftrag verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung. Wann das genau gilt, steht unter Wann brauche ich einen Vertrag zur Auftragsverarbeitung. Nutzt du einen externen Formulardienst mit Sitz in den USA, kommt die Frage der Drittlandübermittlung dazu.

Bei der Eingangsbestätigung gilt: kurz halten. Eine automatische Kopie der kompletten Nachricht an die eingetragene Adresse lässt sich missbrauchen, um über dein Formular Spam an fremde Adressen zu schicken. Eine knappe Bestätigung ohne den Nachrichtentext ist sicherer.

5 Spamschutz ohne Tracking

Ohne Spamschutz füllt sich dein Postfach schnell mit Werbung. Der bekannteste Schutz, Google reCAPTCHA, schickt allerdings Daten an Google und braucht nach verbreiteter Auffassung eine Einwilligung über den Cookie-Banner. Lehnt ein Besucher ab, funktioniert das Formular nicht mehr. Damit verlierst du genau die Anfragen, die du haben willst.

Bessere Wege sind:

• Serverseitige Prüfungen: etwa eine Mindestzeit zwischen Laden und Absenden oder eine Begrenzung, wie oft eine Adresse in kurzer Zeit absenden darf.
• Datenschutzfreundliche Captcha-Dienste aus der EU: Sie arbeiten ohne Cookies und ohne Rätsel für den Besucher. Auch dafür gehört ein Abschnitt in die Datenschutzerklärung.
• Versteckte Felder mit Vorsicht: Ein unsichtbares Feld, das nur Bots ausfüllen, klingt gut. Browser mit automatischem Ausfüllen tragen dort aber manchmal Daten ein, und echte Anfragen landen im Spam. Teste das gründlich, bevor du dich darauf verlässt.

6 Speicherdauer und Löschung

Anfragen bleiben gern jahrelang im Postfach liegen. Die DSGVO verlangt aber, dass du Daten löschst, wenn du sie nicht mehr brauchst. Daraus ergibt sich eine einfache Regel:

• Anfrage ohne Auftrag: löschen, wenn das Gespräch abgeschlossen ist. Viele setzen sich eine feste Frist, etwa sechs bis zwölf Monate nach der letzten Nachricht, und nennen sie in der Datenschutzerklärung.
• Anfrage mit Auftrag: Dann wird die Korrespondenz zum Geschäftsbrief. Für Handels- und Geschäftsbriefe gilt nach § 257 HGB in der Regel eine Aufbewahrungsfrist von sechs Jahren. Welche Fristen für dich gelten, klärt deine Steuerberatung.

Beispiel: Eine Steuerberatungskanzlei bekommt 20 Formularanfragen im Monat, also rund 240 im Jahr. Etwa 60 werden zu Mandaten. Die übrigen 180 Anfragen löscht das Sekretariat einmal im Quartal, wenn die letzte Nachricht älter als sechs Monate ist. Ein Ordner „Anfragen ohne Mandat“ im Postfach und ein Kalendereintrag reichen dafür. Aufwand: rund 15 Minuten pro Quartal.

7 Weitergabe an CRM, Automationen und KI

Landen Anfragen automatisch im CRM, in einer Tabelle oder werden sie mit KI vorsortiert, ist das legitim und entlastet dich im Alltag. Es gelten aber zusätzliche Punkte:

• Für jedes Tool brauchst du einen Vertrag zur Auftragsverarbeitung.
• Die Datenschutzerklärung nennt die Tools als Empfänger.
• Bei Diensten außerhalb der EU klärst du die Übermittlungsgrundlage.
• Bei KI-Diensten prüfst du, ob Eingaben zum Training genutzt werden, und schaltest das ab, wo es geht.

Wie eine solche Anbindung aussieht, zeigt Was bringt ein CRM mit Automationen.

Häufige Fehler und wie du sie vermeidest

• Zu viele Pflichtfelder: Jedes unnötige Pflichtfeld ist ein Datenschutzproblem und kostet Anfragen.
• Zustimmungs-Checkbox als Pflicht: Für eine normale Anfrage unnötig, und sie verwirrt.
• Newsletter-Haken vorausgewählt: Eine vorausgewählte Checkbox ist keine wirksame Einwilligung.
• reCAPTCHA ohne Einwilligung: Lädt der Dienst schon vor der Zustimmung, ist das angreifbar. Lädt er erst danach, funktioniert das Formular für Ablehnende nicht.
• Kein AVV mit dem Formulardienst: Externe Formular-Tools sind Auftragsverarbeiter.
• Postfach als Archiv: Anfragen aus fünf Jahren ohne Auftrag haben dort nichts mehr zu suchen.

Kosten und Zeitaufwand

Ein bestehendes Formular datenschutzfreundlich anzupassen dauert meist ein bis drei Stunden: Felder reduzieren, Hinweistext ergänzen, Spamschutz tauschen, Datenschutzerklärung anpassen. Kosten entstehen vor allem, wenn du dafür jemanden beauftragst oder ein Captcha-Dienst kostenpflichtig ist. Datenschutzfreundliche Captcha-Dienste haben oft kostenlose Einstiegsstufen für kleine Websites, größere Volumina kosten Stand Oktober 2026 einen kleinen bis mittleren zweistelligen Betrag im Monat. Die laufende Löschroutine kostet dich einige Minuten pro Quartal.

Woran du erkennst, dass dein Formular passt

1. Schick eine Testanfrage ab. Sie kommt in deinem Postfach an, und die Bestätigung an den Absender enthält nicht den Nachrichtentext.
2. Prüfe in der Adresszeile, dass die Seite mit https und Schloss-Symbol lädt.
3. Öffne die Seite im privaten Fenster, lehne alle Cookies ab und schick das Formular erneut ab. Es muss funktionieren.
4. Schau in den Entwicklertools unter „Netzwerk“, ob vor deiner Zustimmung Adressen wie google.com/recaptcha geladen werden. Sie sollten fehlen.
5. Klick den Datenschutz-Link am Formular. Er führt zu einem Abschnitt, der das Formular beschreibt.
6. Prüfe, ob für Hoster, E-Mail-Anbieter und weitere Tools ein AVV abgelegt ist.

Häufige Folgefragen

Brauche ich eine Checkbox zur Datenschutzerklärung?

Für eine normale Anfrage in der Regel nicht. Ein gut sichtbarer Hinweis mit Link reicht. Eine Checkbox brauchst du für zusätzliche Zwecke wie den Newsletter.

Darf ich die Telefonnummer zum Pflichtfeld machen?

Nur, wenn du Anfragen ausschließlich telefonisch beantwortest. Sonst ist sie freiwillig.

Darf ich Anfragende in meinen Newsletter aufnehmen?

Nicht ohne ausdrückliche Einwilligung. Eine Anfrage ist keine Zustimmung zu Werbung.

Wie lange darf ich Anfragen speichern?

So lange, wie du sie für die Bearbeitung brauchst. Wird ein Auftrag daraus, gelten die gesetzlichen Aufbewahrungsfristen, für Geschäftsbriefe in der Regel sechs Jahre.

Darf ich einen Formular-Baukasten wie Typeform oder Google Forms nutzen?

Grundsätzlich ja, mit AVV und einem Abschnitt in der Datenschutzerklärung. Bei US-Anbietern klärst du zusätzlich die Übermittlungsgrundlage. Ein Formular direkt auf deinem eigenen Server ist meist einfacher.

Wie quik dabei hilft

Die quik Webseite enthält ein Kontaktformular mit CRM-Anbindung. Für Automationen prüfen wir bei jedem Tool die Auftragsverarbeitung und setzen auf Hosting in der EU, wo es möglich ist. Mehr dazu unter Webseiten und AI & CRM Automationen.