DSGVO-konformes Kontaktformular ohne US-Dienst: Worauf Unternehmen bei Website-Formularen achten sollten

Andreas Kunisch, , 5 Min. Lesezeit

Kontaktformulare wirken unscheinbar, verarbeiten aber von der ersten Eingabe an personenbezogene Daten. Viele Unternehmen binden dafür einen externen Formular-Dienst ein, ohne zu prüfen, wo die Daten tatsächlich landen und wer darauf zugreifen kann.

Dieser Beitrag ordnet technisch ein, worauf es bei einem datenschutzfreundlichen Kontaktformular ankommt. Er ersetzt keine Rechtsberatung: Für eine rechtlich verbindliche Einschätzung Ihres konkreten Falls sollten Sie eine Datenschutzfachperson oder einen Anwalt hinzuziehen.

Wie fließen die Daten bei einem Kontaktformular?

Die Daten eines Kontaktformulars durchlaufen mehrere Stationen: vom Browser der absendenden Person über den Server, der das Formular entgegennimmt, bis zum Postfach oder System, in dem die Anfrage ankommt. Jede dieser Stationen ist eine Verarbeitung im Sinne der DSGVO.

Das beginnt oft früher als gedacht: Schriftarten, Analyse-Skripte oder ein Captcha, die beim Laden der Seite von einem Drittanbieter nachgeladen werden, übertragen bereits Daten, bevor überhaupt etwas abgeschickt wurde. Wer den Datenfluss nicht kennt, kann auch nicht beurteilen, ob er DSGVO-konform ist.

Warum sind externe Formular-Dienste aus den USA ein Problem?

Formular-Dienste mit Sitz oder Serverstandort in den USA übermitteln personenbezogene Daten in ein Drittland, was nach Art. 44 ff. DSGVO zusätzliche Garantien erfordert. Seit dem Schrems-II-Urteil reicht ein Verweis auf Standardvertragsklauseln allein oft nicht mehr aus, weil zusätzlich geprüft werden muss, ob US-Behörden faktisch Zugriff erhalten können.

Das kann auch bei einem EU-Rechenzentrum problematisch bleiben, wenn der Anbieter als US-Unternehmen dem US-CLOUD-Act unterliegt. Hinzu kommt häufig ein zweites, unabhängiges Problem: Viele dieser Dienste laden im Formular zusätzliche Skripte oder Tracking-Captchas, die ohne vorherige Einwilligung Cookies setzen und damit auch das TTDSG beziehungsweise die ePrivacy-Vorgaben berühren.

Welche Alternative bietet eine selbst gehostete Lösung?

Eine selbst gehostete Lösung verarbeitet die Formulardaten auf Infrastruktur, die Sie oder ein von Ihnen beauftragter EU-Dienstleister kontrollieren, und vermeidet dadurch die Übermittlung in ein Drittland von vornherein. Sie entscheiden selbst, wie lange Daten gespeichert werden, wer Zugriff hat und wohin die Zustellung erfolgt.

Aus der eigenen Praxis: Für kunisch.tech kommt ein selbst entwickeltes, EU-gehostetes Formular-Relay auf Laravel-Basis zum Einsatz. Es liefert eingehende Anfragen per E-Mail, Telegram oder Webhook aus, schützt mit Honeypot und einem optionalen, selbst gehosteten Proof-of-Work-Captcha vor Spam, begrenzt die Anfragerate und löscht alte Einsendungen automatisch.

Wie lässt sich Datenminimierung im Formular umsetzen?

Datenminimierung bedeutet, nur die Felder abzufragen, die für die Bearbeitung der Anfrage tatsächlich notwendig sind. In den meisten Fällen reichen Name, E-Mail-Adresse und Nachricht völlig aus.

  • Telefonnummer, Firma oder Adresse nur abfragen, wenn sie für die konkrete Bearbeitung gebraucht werden
  • Freitextfelder nicht mit Pflichtangaben überladen, die über den Anlass der Anfrage hinausgehen
  • IP-Adressen nur so lange und nur in dem Umfang speichern, wie es für Missbrauchsabwehr oder Rate Limiting erforderlich ist
  • Auswahlfelder statt Freitext verwenden, wenn eine Angabe strukturiert erfasst werden kann

Wie funktioniert Spam-Schutz ohne Tracking?

Spam-Schutz ohne Tracking funktioniert über einen Honeypot und einen Proof-of-Work-Captcha, die beide ohne Profilbildung auskommen. Der Honeypot ist ein für Menschen unsichtbares Formularfeld; füllt ein Bot es aus, wird die Einsendung verworfen, ohne dass dafür personenbezogene Daten ausgewertet werden mussten.

Ein Proof-of-Work-Captcha wie ALTCHA lässt den Browser vor dem Absenden eine kleine Rechenaufgabe lösen. Das kostet automatisierte Massenanfragen Zeit, benötigt aber keine Cookies, kein Verhaltenstracking und keine Übermittlung an einen Drittanbieter. Tracking-basierte Captchas wie reCAPTCHA v3 werten dagegen Verhaltensdaten aus und übermitteln sie an den Anbieter, was zusätzliche Prüfung der Rechtsgrundlage und meist eine vorherige Einwilligung erfordert.

Wie lange dürfen Formulardaten gespeichert werden?

Formulardaten dürfen nur so lange gespeichert werden, wie der ursprüngliche Zweck der Anfrage dies erfordert. Eine pauschale Frist gibt es nicht, üblich ist aber, bearbeitete Anfragen nach einigen Wochen automatisch zu löschen, sofern keine weiterführende Geschäftsbeziehung entsteht.

Entscheidend ist, dass diese Frist auch technisch umgesetzt wird, etwa durch einen automatisierten Löschjob. Eine manuelle Aufgabe wird leicht vergessen. Die Frist und ihre Begründung gehören zudem in das Verzeichnis von Verarbeitungstätigkeiten.

Was gehört in die Datenschutzerklärung?

In die Datenschutzerklärung gehört eine konkrete Beschreibung der über das Formular erhobenen Daten, des Zwecks, der Rechtsgrundlage, möglicher Empfänger und der Speicherdauer. Allgemeine Formulierungen, die von anderen Websites übernommen wurden, decken den tatsächlichen Datenfluss meist nicht ab.

  • Welche Datenkategorien erhoben werden (z. B. Name, E-Mail, Nachrichtentext)
  • Zweck und Rechtsgrundlage der Verarbeitung (meist Art. 6 Abs. 1 lit. b oder f DSGVO)
  • Ob und an welchen Auftragsverarbeiter Daten weitergegeben werden
  • Ob eine Übermittlung in ein Drittland stattfindet und auf welcher Grundlage
  • Die konkrete Speicherdauer beziehungsweise die Kriterien für ihre Berechnung

Wie kommen die Nachrichten beim Unternehmen an?

Die Zustellung kann per E-Mail, Messenger oder Webhook erfolgen, und jeder Kanal hat ein eigenes datenschutzrechtliches Profil. Bei E-Mail durchläuft der Inhalt in der Regel mehrere Mailserver; Transportverschlüsselung zwischen den Servern ist üblich, aber nicht garantiert und ersetzt keine Ende-zu-Ende-Verschlüsselung für besonders sensible Inhalte.

Bei Zustellung über einen Messenger-Bot sollten Sie prüfen, wo der Anbieter sitzt und ob die Nachrichten durchgehend verschlüsselt sind, da nicht jeder Messenger das für Bot-Nachrichten anbietet. Ein Webhook übergibt die Daten direkt an ein weiteres System; dieses System unterliegt dann denselben Prüfpflichten zu Speicherort, Speicherdauer und Zugriff wie das Formular selbst.

Häufige Fragen

Ist Google reCAPTCHA automatisch DSGVO-widrig?
Nicht automatisch, aber der Einsatz kann problematisch sein: reCAPTCHA wertet Verhaltensdaten aus und übermittelt sie an Google in den USA, was vorab eine Einwilligung und eine Prüfung der Übermittlungsgrundlage erfordert. Honeypot- und Proof-of-Work-Verfahren vermeiden dieses Problem von vornherein, weil sie ohne Tracking auskommen.
Darf ich IP-Adressen beim Formularversand speichern?
Eine kurzfristige Speicherung zur Missbrauchsabwehr, etwa für Rate Limiting, kann auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden, erfordert aber eine klare Zweckbindung und eine kurze Löschfrist. Eine dauerhafte Speicherung ohne konkreten Zweck lässt sich mit dem Grundsatz der Datenminimierung kaum vereinbaren.
Reicht ein EU-Rechenzentrum, wenn der Anbieter ein US-Unternehmen ist?
Nicht zwangsläufig. Auch bei einem Serverstandort in der EU kann der US-CLOUD-Act den Anbieter gegenüber US-Behörden zur Herausgabe von Daten verpflichten, sodass zusätzliche vertragliche und technische Schutzmaßnahmen nötig sein können. Diese Konstellation erfordert eine Prüfung im Einzelfall.
Ersetzt dieser Artikel eine Rechtsberatung?
Nein. Der Beitrag beschreibt die technische Umsetzung und gängige Praxis, ersetzt aber keine rechtliche Bewertung Ihres konkreten Falls. Für eine verbindliche Einschätzung sollten Sie eine Datenschutzfachperson oder einen Anwalt hinzuziehen.
Wie lange sollten Formulareinsendungen aufbewahrt werden?
Eine pauschale Frist gibt es nicht, die Dauer richtet sich nach dem Zweck der jeweiligen Anfrage. Üblich ist eine automatische Löschung einige Wochen nach Bearbeitung, dokumentiert im Verzeichnis von Verarbeitungstätigkeiten.

Weitere Ratgeber