Ein Kontaktformular sollte nur die Angaben abfragen, die Sie für die Bearbeitung der jeweiligen Anfrage tatsächlich benötigen. In vielen Fällen reichen Name, E-Mail-Adresse und das Nachrichtenfeld aus. Telefonnummer, Anschrift, Kundennummer oder weitere Pflichtfelder sind nur dann sinnvoll, wenn sie für den gewünschten Vorgang erforderlich sind. Prüfen Sie deshalb zuerst den Zweck des Formulars und gestalten Sie jedes Feld danach.
Für Unternehmen ist dabei nicht nur die technische Umsetzung wichtig. Sie müssen auch transparent erklären, welche Daten verarbeitet werden, warum die Verarbeitung erfolgt, wie lange die Angaben gespeichert bleiben und an wen sie gegebenenfalls übermittelt werden. Eine gut aufgebaute Datenschutzerklärung ergänzt das Formular, ersetzt aber keine datensparsame Gestaltung.
Welche Angaben ein Kontaktformular normalerweise benötigt
Der notwendige Datenumfang hängt vom Zweck der Anfrage ab. Ein allgemeines Anfrageformular für einen Dienstleister braucht meist weniger Angaben als ein Formular für eine konkrete Bestellung, eine Bewerbung oder eine Supportanfrage. Die entscheidende Frage lautet: Kann das Unternehmen die Anfrage ohne dieses Feld sinnvoll bearbeiten?
Für eine einfache Kontaktaufnahme genügen häufig folgende Angaben:
- Name oder Anrede, wenn eine persönliche Antwort gewünscht ist
- E-Mail-Adresse als Rückkanal
- Nachricht oder Beschreibung des Anliegens
Der Name ist nicht in jedem Fall zwingend erforderlich. Wenn eine Bearbeitung auch ohne Namensangabe möglich ist, kann das Feld freiwillig bleiben. Die E-Mail-Adresse ist dagegen regelmäßig erforderlich, wenn das Unternehmen auf die Anfrage antworten soll. Soll zusätzlich telefonisch zurückgerufen werden, darf eine Telefonnummer als freiwillige Angabe angeboten werden, sofern sie nicht für jede Anfrage benötigt wird.
Ein Auswahlfeld zum Anliegen kann die interne Zuordnung erleichtern. Es sollte aber nur Kategorien enthalten, die für die Bearbeitung einen nachvollziehbaren Nutzen haben. Eine umfangreiche Abfrage persönlicher oder geschäftlicher Informationen vor der eigentlichen Kontaktaufnahme erhöht den Prüfungsbedarf und kann Interessenten von einer Anfrage abhalten.
Pflichtfelder und freiwillige Angaben sauber trennen
Pflichtfelder müssen auf das notwendige Minimum beschränkt werden. Kennzeichnen Sie sie verständlich, beispielsweise mit einem Sternchen und einem Hinweis unterhalb des Formulars. Der Hinweis sollte erklären, welche Markierung Pflichtangaben bezeichnet. Freiwillige Felder dürfen nicht so gestaltet sein, dass Nutzer den Eindruck gewinnen, sie müssten diese Angaben machen.
Eine Telefonnummer als Pflichtfeld ist bei einem Onlinehandel nicht automatisch gerechtfertigt, nur weil Rückfragen dadurch einfacher werden. Anders kann die Bewertung ausfallen, wenn die vereinbarte Leistung einen telefonischen Termin, eine telefonische Erreichbarkeit oder eine Sicherheitsprüfung voraussetzt. Entscheidend ist der konkrete Geschäftsprozess, nicht die allgemeine Bequemlichkeit des Betriebs.
Auch die Anrede sollte nicht ohne sachlichen Grund verpflichtend sein. Für eine persönliche Ansprache können Sie eine freiwillige Auswahl oder ein neutrales Textfeld anbieten. Bei einer geschäftlichen Anfrage kann der Firmenname hilfreich sein, muss aber nicht zwingend abgefragt werden, wenn die Anfrage auch ohne diese Information bearbeitet werden kann.
Überprüfen Sie Pflichtfelder regelmäßig. Ein Feld, das früher für einen bestimmten Ablauf benötigt wurde, kann nach einer Änderung der Vertriebs- oder Supportprozesse überflüssig sein. Entfernen Sie solche Angaben, statt sie aus Gewohnheit weiter zu sammeln.
Besondere Vorsicht bei sensiblen Informationen
Über ein allgemeines Kontaktformular können Nutzer freiwillig Informationen senden, die deutlich sensibler sind als Name und E-Mail-Adresse. Dazu können Angaben zur Gesundheit, zu finanziellen Verhältnissen, zu familiären Umständen oder zu einem Beschäftigungsverhältnis gehören. Fordern Sie solche Daten nicht ohne nachvollziehbaren Grund in einem frei zugänglichen Formular an.
Ein Nachrichtenfeld lässt sich nicht vollständig kontrollieren. Sie können jedoch im Hinweistext darum bitten, keine sensiblen Informationen oder vertraulichen Unterlagen einzutragen. Wenn solche Informationen für die Bearbeitung erforderlich sind, sollte der dafür vorgesehene Kommunikationsweg fachlich und technisch geprüft werden. Je nach Inhalt können zusätzliche Schutzmaßnahmen, eine Zugriffsbeschränkung oder ein speziell abgesicherter Upload erforderlich sein.
Besondere Kategorien personenbezogener Daten im Sinne des Datenschutzrechts verlangen eine besonders sorgfältige Prüfung. Eine allgemeine Einwilligungscheckbox löst dieses Problem nicht automatisch. Klären Sie vor der Umsetzung, ob die Verarbeitung erforderlich ist, welche Rechtsgrundlage in Betracht kommt und welche organisatorischen Maßnahmen notwendig sind.
Datenschutzhinweise direkt am Formular
Nutzer müssen erkennen können, was mit ihren Eingaben geschieht. Direkt beim Formular sollte deshalb ein leicht erreichbarer Hinweis stehen, der zumindest auf die ausführliche Datenschutzerklärung verweist. Der Link muss eindeutig beschriftet sein und darf nicht zwischen anderen Informationen untergehen.
In den Datenschutzhinweisen sollten Sie unter anderem folgende Punkte verständlich erläutern:
- Wer für die Verarbeitung verantwortlich ist
- Welche Daten über das Formular erhoben werden
- Zu welchem Zweck die Angaben verarbeitet werden
- Auf welcher rechtlichen Grundlage die Verarbeitung beruht
- Wie lange die Daten gespeichert oder nach welchen Kriterien sie gelöscht werden
- Welche Empfänger oder Dienstleister Zugriff erhalten können
- Welche Rechte betroffene Personen haben
- Wie die verantwortliche Stelle erreichbar ist
Die Hinweise müssen zum tatsächlichen Ablauf passen. Wenn die Nachricht an ein Ticketsystem, eine CRM-Plattform oder einen externen Formularanbieter übertragen wird, darf dieser Verarbeitungsschritt nicht unerwähnt bleiben. Prüfen Sie außerdem, ob ein Dienstleister als Auftragsverarbeiter eingebunden ist und ob die erforderlichen vertraglichen und technischen Voraussetzungen vorliegen.
Einwilligung, Anfragebearbeitung und Werbezwecke unterscheiden
Die Übermittlung einer Nachricht an ein Unternehmen ist nicht automatisch eine Einwilligung in Werbung. Wenn eine Person eine konkrete Anfrage stellt, darf die Bearbeitung dieser Anfrage nicht ohne sachlichen Grund von einer zusätzlichen Zustimmung zu einem Newsletter abhängig gemacht werden.
Ein Newsletter- oder Werbeeinverständnis sollte deshalb getrennt vom eigentlichen Kontaktvorgang abgefragt werden. Die Checkbox darf nicht vorangekreuzt sein. Beschreiben Sie außerdem verständlich, wofür die Zustimmung gilt. Eine Formulierung, die gleichzeitig Kontaktaufnahme, Werbung, Datenweitergabe und eine unbestimmte Nutzung umfasst, ist für eine wirksame Einordnung wenig geeignet.
Wenn Sie eine Einwilligung verwenden, müssen Sie den Nachweis darüber organisieren. Dazu gehören je nach System beispielsweise Zeitpunkt, Inhalt der Erklärung und die technische Zuordnung. Der Widerruf muss ebenso einfach möglich sein wie die Erteilung. Eine Person, die nur eine Anfrage senden möchte, sollte nicht erst ein umfangreiches Marketingprofil akzeptieren müssen.
Technische Übertragung und Schutz der Eingaben
Ein Formular verarbeitet personenbezogene Daten bereits vor dem Absenden in mehreren technischen Schritten. Prüfen Sie deshalb nicht nur die sichtbaren Felder, sondern den gesamten Übertragungsweg. Dazu gehören die Website, der Webserver, das Formular-Plugin, die E-Mail-Zustellung, ein mögliches Ticketsystem und alle eingebundenen Analyse- oder Sicherheitsdienste.
Die Website sollte die Eingaben verschlüsselt übertragen. Eine aktuelle HTTPS-Konfiguration ist dafür eine grundlegende Voraussetzung. Zusätzlich müssen Sie prüfen, ob Daten nach dem Absenden unverschlüsselt per E-Mail weitergeleitet werden, auf dem Webserver verbleiben oder in einem externen System gespeichert werden. Die sichere Website-Verbindung allein beantwortet nicht, wie die Daten anschließend behandelt werden.
Beschränken Sie Zugriffe auf die Personen, die Anfragen bearbeiten müssen. Ein allgemeines Website-Postfach sollte nicht von mehr Beschäftigten eingesehen werden können als erforderlich. Für Support- oder Vertriebsprozesse sind Rollenrechte, Protokollierung und klare Zuständigkeiten hilfreich. Legen Sie außerdem fest, wie Nachrichten gelöscht oder archiviert werden.
Technische Schutzmechanismen gegen Spam dürfen nicht unnötig zusätzliche personenbezogene Daten erfassen. Bei externen Captcha-Diensten, Analysewerkzeugen oder eingebetteten Formularlösungen sollten Sie prüfen, welche Daten an den Anbieter übertragen werden und ob dafür Anpassungen an Datenschutzhinweisen oder Einwilligungsmechanismen erforderlich sind.
Speicherung, Löschung und interne Zuständigkeit
Eine Anfrage sollte nicht unbegrenzt in Postfächern, Formular-Datenbanken oder CRM-Systemen liegen. Legen Sie für verschiedene Anfragearten nachvollziehbare Aufbewahrungs- und Löschregeln fest. Eine Nachricht, aus der ein Vertrag oder eine gesetzliche Dokumentationspflicht entsteht, kann anders behandelt werden als eine allgemeine Produktfrage ohne weitere Geschäftsbeziehung.
Die zuständige Person sollte wissen, wo neue Formulareingänge ankommen, wer sie bearbeiten darf und wann eine Weitergabe an andere Abteilungen erlaubt ist. Bei kleinen Unternehmen genügt dafür häufig eine kurze interne Arbeitsanweisung. Sie sollte festhalten, wie Anfragen geprüft, beantwortet, weitergeleitet und nach Abschluss des Vorgangs gelöscht werden.
Prüfen Sie auch Sicherungskopien. Eine automatische Löschung aus dem Mailpostfach entfernt eine Nachricht nicht zwingend aus Backups oder aus einem Archivsystem. Die tatsächliche technische Aufbewahrung sollte mit dem IT-Dienstleister oder der betreuenden Person abgestimmt und in der Datenschutzdokumentation nachvollziehbar beschrieben werden.
Ein Formular für einen kleinen Betrieb planen
Eine Agentur kann zusätzlich ein freiwilliges Auswahlfeld für das gewünschte Leistungsgebiet anbieten. Ein Onlinehändler benötigt für eine reine Produktfrage nicht automatisch die vollständige Rechnungs- oder Lieferanschrift. Diese Daten werden erst dann relevant, wenn daraus ein Bestell- oder Vertragsvorgang entsteht.
In allen Fällen sollte der Ablauf dokumentiert werden: Welche Felder sind Pflicht, welches Team erhält die Nachricht, welche Software speichert sie, wann wird sie gelöscht und welche Hinweise sieht der Nutzer vor dem Absenden? Diese Übersicht erleichtert spätere Änderungen und hilft, unnötige Datensammlungen zu erkennen.
Prüfliste vor der Veröffentlichung
Bevor Sie das Formular freischalten, sollte eine verantwortliche Person den sichtbaren Ablauf und die dahinterliegende Technik prüfen. Die folgende Liste eignet sich als interne Abnahme:
- Ist der Zweck des Formulars eindeutig festgelegt?
- Sind nur Angaben vorgesehen, die für diesen Zweck benötigt werden?
- Sind Pflichtfelder sachlich begründet und klar gekennzeichnet?
- Werden freiwillige Angaben tatsächlich freiwillig behandelt?
- Stehen Datenschutzhinweise direkt am Formular zur Verfügung?
- Wird ein Werbeeinverständnis getrennt von der Anfrage abgefragt?
- Ist die Übertragung geschützt und sind alle Empfänger dokumentiert?
- Sind Zugriffsrechte im Unternehmen begrenzt?
- Gibt es Regeln für Bearbeitung, Aufbewahrung und Löschung?
- Wurde das Formular mit Testdaten auf verschiedenen Geräten geprüft?
Halten Sie das Ergebnis der Prüfung zusammen mit der eingesetzten Formularsoftware, den zuständigen Personen und dem Prüfdatum fest. Bei Änderungen an Plugins, Hosting, CRM, E-Mail-Versand oder Tracking sollten Sie die Bewertung erneut durchführen.
Wann eine fachliche Prüfung sinnvoll ist
Eine fachliche Prüfung ist besonders wichtig, wenn das Formular Gesundheitsdaten, Bewerbungsunterlagen, Zahlungsinformationen oder andere vertrauliche Inhalte betrifft. Gleiches gilt bei einer Übermittlung an Anbieter außerhalb des eigenen Unternehmens, bei umfangreichen CRM-Prozessen oder bei einer Verbindung mit Marketing- und Analysewerkzeugen.
Auch bei scheinbar einfachen Formularen können sich Fragen zur Rechtsgrundlage, zu Speicherfristen, zu Auftragsverarbeitung oder zu den Informationspflichten ergeben. Eine allgemeine Orientierung ersetzt keine individuelle rechtliche oder steuerliche Beratung. Lassen Sie den Ablauf prüfen, wenn die Folgen einer fehlerhaften Verarbeitung für Ihr Unternehmen oder die betroffenen Personen erheblich sein können.
Fragen und Antworten zum Datenschutz im Kontaktformular
Muss ein Kontaktformular immer eine Einwilligung verlangen?
Nein, die Bearbeitung einer konkreten Anfrage kann je nach Fall auf einer anderen datenschutzrechtlichen Grundlage beruhen. Eine zusätzliche Einwilligung ist vor allem dann relevant, wenn Sie die Angaben für Werbung, einen Newsletter oder einen anderen Zweck verwenden möchten.
Darf ein Kontaktformular ohne Pflichtfeld für den Namen auskommen?
Ja, wenn Sie die Anfrage auch ohne Namensangabe sinnvoll bearbeiten und beantworten können. In diesem Fall kann ein Name freiwillig bleiben, während Sie den Zweck des Formulars und den benötigten Rückkanal trotzdem klar erläutern sollten.
Wie lange dürfen Nachrichten aus einem Kontaktformular gespeichert werden?
Eine einheitliche Speicherfrist gilt nicht für jede Anfrage. Maßgeblich sind der Zweck, der weitere Verlauf des Vorgangs sowie mögliche vertragliche oder gesetzliche Dokumentationspflichten; legen Sie deshalb nachvollziehbare Löschkriterien fest und prüfen Sie auch Archive und Sicherungskopien.
Ist ein Kontaktformular datenschutzwidrig, wenn es an ein E-Mail-Postfach sendet?
Die Weiterleitung an ein E-Mail-Postfach ist nicht automatisch unzulässig, muss aber in den tatsächlichen Verarbeitungsablauf der Datenschutzhinweise passen. Prüfen Sie insbesondere die Transportverschlüsselung, die Zugriffsrechte, die Speicherung im Postfach und die Einbindung weiterer Dienstleister.
Darf eine Telefonnummer im Kontaktformular verpflichtend sein?
Das hängt davon ab, ob die telefonische Erreichbarkeit für die konkrete Bearbeitung erforderlich ist. Für eine allgemeine Anfrage reicht häufig ein anderer Rückkanal, während ein telefonisch zu vereinbarender Termin eine sachliche Begründung für die Abfrage liefern kann.
Was muss bei einem Kontaktformular mit Datei-Upload zusätzlich geprüft werden?
Bei einem Upload sollten Sie festlegen, welche Dateitypen und Inhalte benötigt werden, wer Zugriff erhält und wie die Dateien nach Abschluss des Vorgangs gelöscht werden. Besonders bei Bewerbungsunterlagen, Gesundheitsdaten oder vertraulichen Geschäftsdokumenten sind Schutzmaßnahmen und der gewählte Übertragungsweg fachlich zu bewerten.
Welche Datenschutzfehler treten bei Kontaktformularen besonders häufig auf?
Typische Fehler sind unnötige Pflichtfelder, fehlende oder veraltete Datenschutzhinweise und eine nicht getrennte Werbeeinwilligung. Auch unklare Zuständigkeiten, zu weit gefasste Zugriffsrechte und eine unbeachtete Speicherung in CRM-Systemen oder Backups können den dokumentierten Ablauf vom tatsächlichen Verfahren abweichen lassen.
