Kontaktformulare und Datenschutz: Was ist zu beachten?

Kategorien: Datenschutz, Empfehlungen und Recht

Viele Webseiten bieten ein Kontaktformular an, um Besuchern die Kommunikation zu erleichtern oder auch, um Nachrichten strukturierter und zielgerichteter zu erhalten. Wie viele Angaben dürfen verpflichtend abgefragt werden? Sollte der Nutzer um eine Bestätigung der Datenschutzhinweise gebeten werden? Diese und weitere Fragen werden im Beitrag beantwortet, um die Rechtssicherheit bei der Nutzung von Kontaktformularen zu gewährleisten.

Einleitung

Kontaktformulare sorgen regelmäßig für Gesprächsstoff, weil dadurch Datenschutzfragen aufkommen. In Wirklichkeit ist es recht einfach, ein Kontaktformular, oder auch mehrere, anzubieten, wenn ein paar Grundregeln eingehalten werden.

Wie bei jeder Art der Datenverarbeitung gibt es allerdings auch kleine Risiken mit Kontaktformularen, die sich minimieren lassen. Letztendlich ist das Risiko beherrschbar und nicht höher als bei einer Kommunikation über eine auf der Webseite angebotene Mailadresse.

Kontaktformulare bieten bessere Möglichkeiten, Spam zu vermeiden, als bei einer reinen E-Mail-Kommunikation. Wer hier allerdings Google reCAPTCHA einsetzt, hat rechtlich schlechte Karten.

Die folgenden Empfehlungen helfen schnell, sichere Kontaktformulare zu erstellen und die rechtlichen Fragen geklärt zu wissen. Übrigens geht es hier nicht um Newsletter-Formulare, für die eigene Regeln gelten. Die meisten der genannten Hinweise sind aber auch auf Formulare übertragbar, mit denen sich Interessenten für Ihre Informationen Ihren Newsletter abonnieren können.

Empfehlungen für Kontaktformulare

Jede einzelne Empfehlung sorgt für mehr Rechtssicherheit, wenn sie berücksichtigt wird. Am Ende haben Sie eine Webseite mit so vielen Formularen, wie benötigt. Die Datenschutzregeln, die die DSGVO vorgibt, werden eingehalten.

Wie immer in rechtlichen Fragen, gibt es kein absolut richtiges Vorgehen, sondern nur eine Erhöhung der Rechtssicherheit. Auch wenn Sie alles richtig machen (wer auch immer das entscheidet), kann Sie jemand abmahnen oder verklagen. Nur hat der Gegner dann recht schlechte Karten und bleibt auf seinen Kosten sitzen.

Das allgemeine Kontaktformular

Ein Formular für alles ist möglich und erlaubt. Allerdings sollten Sie diese zentrale Anlaufstelle nur als ersten Kontaktpunkt ansehen. Dieses Formular sollte nicht zum Totschlagwerkzeug mutieren, in dem alle Daten der Welt abgefragt werden. Hier meine Empfehlung für die Angaben, die in einem Sammelformular abgefragt werden sollten:

• Nachricht: Dafür ist das Kontaktformular da.
• Mailadresse: Nur so können Sie antworten.
• Name oder Pseudonym: Oft benötigen Sie den echten Namen einer Person nicht. Oft ist aber auch der Name wichtig zu wissen. Entscheiden Sie es nach dem gesunden Menschenverstand, ob Sie den echten Namen benötigen oder nicht. Auf meiner Webseite brauche ich beispielsweise keine echten Namen von Personen, die mir per Mail eine Rückmeldung auf meine Beiträge schreiben und nicht die Kommentarfunktion nutzen. Selbstverständlich kann ich auch an Hasemaus47 eine Antwort schreiben, wenn mir danach ist (ob ich antworte, ist meine Sache, wenn es keine Verpflichtung gibt; ich antworte immer dann, wenn das Anschreiben seriös ist und eine Antwort verdient hat).
• Telefonnummer: Nur wenn sinnvoll und oft benötigt. Eventuell als optional kennzeichnen.

Mehr Daten würde ich in einem allgemeinen Formular nicht abfragen. Es kommt auf die Ausrichtung Ihrer Webseite bzw. Tätigkeit an, ob Sie andere allgemeine Angaben benötigen. Die meisten Unternehmen werden allerdings mit dem oben Genannten sehr gut leben können. Arztpraxen, Kindertagesstätten oder Autowerkstätten brauchen üblicherweise vielleicht auch noch die Telefonnummer einer Person.

Mussfelder und Kannfelder

Zu jeder Angabe, die Sie im Formular abfragen, sollten Sie überlegen, ob die Angabe notwendig ist oder nicht. Notwendige Angaben sind offensichtlich immer der Nachrichtentext und die Mailadresse des Schreibenden, um demjenigen eine Antwort zukommen zu lassen.

Der Name der schreibenden Person ist oft nicht wichtig. Auch für allgemeine Newsletter, die nicht an Ihre Kunden geschickt werden, muss der Name des Abonnenten nicht bekannt sein. Siehe meinen Newsletter. Für das Newsletter-Abo frage ich nur die Mailadresse ab. Alles andere interessiert mich nicht. Wenn jemand den Wunsch hat, mir etwas mitzuteilen, dann werde ich per Mail angeschrieben. In dieser Mail ist dann oft der Name der Person genannt, die mir etwas mitteilen möchte. Und zwar deswegen, weil diese Person mir ihren Namen freiwillig nennt.

Umso spezifischer ein Kontaktformular ist, umso mehr Angaben können an sich als obligatorisch gekennzeichnet werden. Im Einzelfall ist zu prüfen, welche Angaben Sie nur gerne hätten und welche aus Ihrer Sicht unbedingt erforderlich sind. In manchen Fällen sind bestimmte Angaben für Sie womöglich sehr wünschenswert. Beispielsweise sagte mir die Betreiberin einer Kita, dass Sie die Telefonnummer braucht, weil fast jede Anfrage auf die Frage nach einem Kita-Platz abzielt und deswegen Rückfragen notwendig sind. In solchen Fällen sollten Sie prüfen, wie oft Sie die fragliche Angabe benötigen und ggf. ein Mussfeld daraus machen.

Der Zweck Ihres Formulars

Stellen Sie sich folgende Frage: Wofür benötigen Sie ein Formular? Definieren Sie den Zweck bzw. die Zwecke. Haben Sie nur einen Zweck erkannt, dann benötigen Sie offensichtlich nur ein Formular (oder keines).

Zwecke für Formulare können beispielsweise sein:

• Allgemeine Kontaktaufnahme: Sie wissen also ad hoc nicht, warum Sie jemand anschreiben möchten. Immerhin bieten Sie Waren oder Dienstleistungen an oder stellen Informationen bereit. Der Kontakter wird Ihnen also wahrscheinlich eine Frage zu Ihrem Produkt stellen oder hat eine Frage zu Ihren Ausführungen. Oder der Schreibende möchte eine Kritik üben, was auch immer.
• Terminvereinbarung: Diesen Fall gibt es öfters bei Ärzten oder Autohäusern.
• Rückrufbitte: Sie möchten lieber telefonieren und nicht Mails hin und her schicken? Dann bieten Sie eine solche Möglichkeit an und fragen den Interessenten nach seiner Telefonnummer und einem passenden Zeitfenster für den Rückruf.
• Lob und Kritik.
• Kontaktaufnahme im Kundenbereich: Jemand ist bei Ihnen Kunde und hat sich in seinem Kundenkonto angemeldet. Bei Versicherungen können Kunden etwa Aufträge erteilen, Formulare anfordern oder eine Kündigung aussprechen.
• Kommentar zu einem Beitrag. Siehe unterhalb dieses Beitrags oder auch auf journalistischen Seiten, wo Leser ihre Rückmeldungen geben können.

Haben Sie mehrere Zwecke erkannt, für die Sie ein Formular anbieten möchten, dann prüfen Sie, welche Angaben im Formular für jeden Zweck benötigt werden. Zwecke, die sehr viele Gemeinsamkeiten in den benötigen Daten haben und auch thematisch nahe zusammenliegen, können in einem Formular gebündelt werden.

Alles andere gehört in verschiedene Formulare, sofern Sie sich nicht entscheiden, ein allgemeines Kontaktformular anzubieten.

Datenschutzhinweise zur Kenntnis geben

Nennen Sie unter dem Formular kurz, wozu Sie die abgefragten Angaben verwenden. Verlinken Sie dann auf die Datenschutzhinweise Ihrer Webseite. Das ganze kann etwa so aussehen und befindet sich unterhalb der Eingabefelder des Formulars und oberhalb des Abschicken-Buttons:

Wir verwenden Ihre Angaben zur Beantwortung Ihrer Anfrage. Weitere Informationen finden Sie in unseren Datenschutzhinweisen.

Achten Sie darauf, den Link so zu gestalten, dass er sich in einem neuen Fenster öffnet. Nichts ist ärgerlicher als eine Formulareingabe, die verloren geht, weil man noch schnell einen Blick in die Datenschutzhinweise werfen möchte. Wenn Sie es ganz komfortabel gestalten möchten, dann verwenden Sie einen sogenannten HTML-Anker. Damit können Sie den Link so gestalten, dass direkt die Passage für Kontaktformulare in Ihren Datenschutzhinweisen aufgerufen wird. So geht's:

Anker in Ihren Datenschutzhinweisen definieren:

In WordPress kann der Anker durch Positionieren des Cursors im Editor auf dem gewünschten Text und durch Klicken auf „Erweitert" im rechten Bereich definiert werden:

Anker in Ihrem Link verwenden:

<a href="https://dr-dsgvo.de/datenschutz/#formular>Datenschutzhinweise für Kontaktformulare</a>

Schreiben Sie vor den Ankernamen die Raute (Hashtag), damit der Code richtig funktioniert.

So sieht der Link dann aus. Wenn Sie draufklicken, springt der Lesebereich direkt dorthin, wo die Angaben zum Formular stehen:

Datenschutzhinweise für Kontaktformulare

Weil auf meiner Seite keine Formulare außer für den Newsletter vorhanden sind, habe ich den Anker „formular“ zur Demonstration auf den Abschnitt für Newsletter gesetzt. Tipp aus der Praxis: Setzen Sie den Anker ein paar Zeilen höher als dorthin, wo er eigentlich hingehört. Denn je nach Browser kann es sein, dass der Text dann zu weit oben angezeigt und abgeschnitten wird.

Wie Sie sehen, habe ich meine Datenschutzhinweise vertont, um sie barrierefreier zu machen. Vielleicht denken Sie auch darüber nach? Wie das geht, erfahren Sie im eben verlinkten Beitrag.

Datenschutztexte:

Erklären Sie "einfach" das, was passiert. Beispielsweise so:

Kontaktformulare

Wenn Sie uns per Kontaktformular Anfragen zukommen lassen, werden Ihre Angaben aus dem Anfrageformular inklusive der von Ihnen dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert und verarbeitet. Ihre Daten werden ausschließlich zweckgebunden zur Beantwortung und Bearbeitung Ihrer Frage genutzt. Die Datenverarbeitung erfolgt hier nach Art. 6 Abs. S. 1 lit. f DSGVO auf Grundlage des berechtigten Interesses.

Für den Fall der Betrugserkennung oder zur Erkennung von Missbrauch, etwa zum Aufdecken von Hackerangriffen, behalten wir uns das Recht vor, Ihre Netzwerkdaten für einen kurzen Zeitraum und nur zu diesem Zweck zu speichern, der 30 Tage nicht überschreitet, außer ein Anlass rechtfertigt eine längere Aufbewahrung.

Muster für einen Datenschutztext für Kontaktformulare.

Wichtig: Nur Kenntnisgabe, nicht Bestätigung

Jetzt kommt fast das Wichtigste: Geben Sie die eben genannten Datenschutzhinweise nur zur Kenntnis. Fragen Sie nicht nach einer Bestätigung oder Einwilligung. Sie dürfen nicht bestätigen lassen, dass jemand Ihre Datenschutzhinweise gelesen hat. Ob der Besucher Ihrer Webseite liest oder nicht, ist seine oder ihre Sache und darf von Ihnen nicht vorgeschrieben werden. Eine Datenschutzerklärung ist kein Vertrag. Siehe etwa das Urteil des KG Berlin (27.12.2018 – 23 U 196/13).

Es ist Ihr berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), die Angaben der Person, die Ihnen schreibt, zu nutzen, um darauf zu antworten oder die Anfrage zu bearbeiten. An anderer Stelle sollten Sie das berechtigte Interesse als Rechtsgrundlage nur sehr sparsam einsetzen, da es meist nicht gegeben ist.

Spam-Prüfung

Verwenden Sie keine Google-Plugins, außer, Sie möchten Ärger mit dem Datenschutz riskieren. Jegliches Google-Plugin darf erst nach Einwilligung verwendet werden. Dies ist meine Meinung, für die Sie in diesem Blog zahlreiche Begründungen finden (Google samt Daten ohne Unterlass, auch zur Verhaltensmanipulation; Die Daten können von amerikanischen Geheimdiensten missbraucht werden; Google sammelt mehr Daten als nötig etc.). Auch das LG Köln ist meiner Meinung (Urteil vom 23.03.2023 – 33 O 376/22).

Verwenden Sie stattdessen ein Captcha wie Contact Form 7 Image Captcha (für WordPress Formulare). Oder verwenden Sie ein Eingabefeld, in dem das Ergebnis einer einfachen Rechenaufgabe abgefragt wird. Beispiel: Wie viel sind 17 weniger 5. Schreiben Sie die Antwort als Wort in Kleinbuchstaben.

Ich persönlich glaube ja, dass über Kontaktformulare nicht wesentlich mehr Spam hereinkommt als über direktes Abgreifen von Mailadressen aus Impressumsseiten. Gute Spamfilter helfen viel. Spam lässt sich nie ganz vermeiden. Auch Honeypots sind eine gute Maßnahme.

Eventuell haben Sie die Möglichkeit, zu prüfen, ob der Nachrichtentext eine bestimmte Länge hat. Hat er die Mindestlänge nicht erreicht, sollte das Formular gar nicht abgeschickt werden können. Ein Filter auf bestimmte unerwünschte Begriffe könnte ebenso eingebaut werden.

Wenn Sie ein Plugin für die Spam-Prüfung verwenden, dann achten Sie darauf, dass die globale Anti-Spam-Datenbank deaktiviert ist bzw. dorthin keine Daten abfließen. So nützlich die Funktion für manche sein mag: Wenn Sie die Netzwerkadresse (IP-Adresse) Ihrer Website-Besucher an „unbekannt“ weitergeben, ist das nicht gut. Ein Beispiel für ein solches Plugin ist Antispam Bee für WordPress.

Hier sehen Sie drei Optionen des genannten Plugins. Die erste Option kann aktiviert sein, weil eine lokale Datenbank Daten nicht an Dritte weitergibt. Die anderen beiden Optionen sollten deaktiviert sein, um rechtliche Probleme zu vermeiden. Immerhin wird vom Plugin selbst bereits darauf hingewiesen, dass besondere Datenschutzhinweise für die kritischen Optionen zu beachten sind.

Antwort an den Absender

Der Absender einer Nachricht erwartet wohl meistens eine Antwort von Ihnen. Diese sollten Sie auch geben, wenn Sie dies für sinnvoll halten. Allerdings gibt es auch Bösewichte. Es ist sehr leicht möglich, eine fremde Mailadresse in ein Kontaktformular einzugeben. Entweder, weil jemand böse Absichten verfolgt oder weil sich ein Tippfehler eingeschlichen hat.

Kommt Ihnen eine Nachricht merkwürdig vor, dann antworten Sie im Zweifel nicht. Prüfen Sie die Mailadresse. Eine Wegwerfadresse (byom.de, trashmail. net etc.) hat die niedrigste Glaubwürdigkeit. Auch nicht hoch im Kurs stehen Freemailer (gmx.de, web.de etc.), wenngleich sie weit verbreitet sind. Am besten nachvollziehbar sind Adressen von Personen oder Unternehmen, die eine eigene Maildomäne haben. Eine solche dedizierte Domäne ist beispielsweise dr-dsgvo.de.

Recherchieren Sie bei Bedarf und Möglichkeit kurz, um die Nachricht sowie einen eventuell angegebenen Namen (in der Nachricht oder im Namensfeld) damit in Einklang zu bringen. Wenn Sie viele Zweifel haben, schreiben Sie möglichst unwerblich an den vermeintlichen Absender der Nachricht und fragen Sie, ob von dessen Mailadresse eine Nachricht über Ihr Kontaktformular abgeschickt wurde. Die unwerbliche Ansprache ist wichtig, um den Anschein von (unerlaubter) Werbung zu vermeiden. Unwerblich heißt auch, dass Sie am besten in Ihrer Signatur alle Werbeslogans oder Website-Angaben entfernen, um auf der sicheren Seite zu sein.

Weitere Anregungen

Verwenden Sie ein eigenes Formular und nicht Lösungen von der Stange wie Microsoft Forms. Drittanbieterangebote weisen regelmäßig rechtliche Probleme auf. Bei MS Forms etwa habe ich des Öfteren ein Impressum vermisst. Zudem stellt sich bei Unternehmen wie Microsoft die Frage, ob der Datentransfer mit USA-Bezug nicht ein rechtliches Problem darstellt. Ich sage ja, das LG Köln (s. o.) sagt ja, der EuGH („Schrems II“) sagt ja.

Ich halte es für erlaubt, bei Kontaktaufnahme die IP-Adresse des Absenders zu speichern, um bei rechtlichen Problemen etwas in der Hand zu haben. Hier liegt ein gerechtfertigter Anlass vor. Dies habe ich ausführlich in einem Beitrag zu Server Logs untersucht. Der entsprechende Passus ist im weiter oben genannten Mustertext für Ihre Datenschutzerklärung enthalten.

Übrigens würde ich die Datenschutzerklärung lieber als Datenschutzhinweise oder Datenschutzinformationen bezeichnen. So wird der Anschein, dass es sich um einen Vertrag handeln könnte, weiter entschärft (siehe eben genanntes Urteil).

Die Daten, die Sie über ein Kontaktformular erhalten, behandeln Sie genau so, als hätten Sie eine E-Mail mit diesen Daten bekommen. Hier gibt es keinen wesentlichen Unterschied. Benötigte Daten werden aufgehoben, nicht mehr benötigte werden mit etwa Verzögerung gelöscht. Sofort löschen sollten Sie Daten im Regelfall nicht, weil es ja sein kann, dass Ihnen jemand Ärger machen will. In dem Fall wäre es schön, wenn man etwas in der Hand hat, um den Hergang der Dinge plausibel zu machen.

SSL-Zertifikat

Anstatt eines Formulars kann einfach der Link auf Ihre Mailadresse angegeben werden. Sie müssen kein Formular anbieten. Den Link auf eine Mailadresse geben Sie so wie eine normale Website-Adresse (URL) an, stellen dafür aber den Text mailto:

Der HTML-Code für einen solchen Link sieht dann so aus:

<a href="mailto:mail@dr-dsgvo.de">Schreiben Sie mir</a>

Das ganze sieht dann in der Darstellung auf der Webseite so aus:

Schreiben Sie mir

Wenn Sie einen Editor haben, wie ihn beispielsweise WordPress anbieten, dann definieren Sie einfach einen Link und verwenden das mailto: gefolgt von Ihrer Mailadresse als Linkadresse.

Wichtig: Verwenden Sie Formulare, dann sollten Sie unbedingt ein SSL-Zertifikat für Ihre Webseite nutzen. Ihre Webseite ist dann nur noch über https erreichbar und nicht mehr über http. Achten Sie darauf, dass die Weiterleitung (Redirect) von http nach https eingerichtet ist. Prüfen Sie es, indem Sie Ihre Webseite einmal mit http:// aufrufen (tippen Sie also in Ihrem Browser ein: http://meine-webseite-0815.de anstatt nur wie sonst meine-webseite-0815.de).

Wenn im Browser das Schloss links neben der Adresse Ihrer Webseite erscheint, ist das SSL-Zertifikat vorhanden. Um weitere Merkmale Ihres SSL-Zertifikats zu prüfen, wie etwa die Verschlüsselungstiefe oder die Glaubwürdigkeit des Anbieters des Zertifikats, können Sie meinen Online Website-Check nutzen:

Der Daten Schutz ist Datenschutz! Mit dem Online Webseiten-Check (Button eben) sehen Sie sofort Datenschutz-Befunde zu einer beliebigen Webseite in Ihrem Browser.

Fazit

Kontaktformulare sollten so wenige Daten wie möglich und so viele Daten wie nötig abfragen.

Für unterschiedliche Zwecke mit unterschiedlich viel benötigten Daten sollten unterschiedliche Formulare angeboten werden.

Wenn Sie kein Formular anbieten möchten, dann bieten Sie keines an. Wichtig ist, dass im Impressum Ihrer Homepage Ihre Mailadresse genannt ist. Vermeiden Sie aus rechtlichen Gründen die Nennung der Mailadresse in Bildform. Manche Website-Betreiber nennen ihre Mailadresse nämlich in Form einer Grafik, die Text darstellt, zu Spam zu vermeiden. Sicher wird dadurch Spam reduziert, aber für erlaubt halte ich es nicht. Denn eine Person sollte Sie leicht kontaktieren können. Dazu gehört auch, dass die Mailadresse einfach nur angeklickt werden muss, um Ihnen zu schreiben. Wenigstens ein Copy & Paste sollte möglich sein.

Um so weniger Daten Sie im Formular abfragen, umso weniger müssen Sie beachten. Für Daten, die Sie nicht haben, müssen Sie keine Verpflichtungen erfüllen. Als Stichwort sei nur das Auskunftsrecht betroffener Personen genannt. Daten, die Sie nicht angefordert haben, sind für Sie zunächst unkritisch. Wenn Ihnen jemand unbedingt seine Steuernummer oder Körpergröße per Formular mitteilen will, obwohl Sie im Formular oder auf der Webseite keinen Anlass zur Nennung gegeben haben, dann behandeln Sie diese Angaben genauso sorgsam wie alle anderen Daten. Im Zweifel löschen Sie unaufgefordert zugesandte sensible Informationen und ignorieren die Nachricht (oder bitten um einen anderen Weg der Kontaktaufnahme), sofern sie keine rechtliche Relevanz hat.

Zur Beruhigung vieler sei gesagt, dass üblicherweise kein Datenschutzproblem aus einem Kontaktformular alleine konstruiert wird. Mir ist lediglich ein Fall bekannt, in dem das fehlende SSL-Zertifikat problematisch war. Oder aber, die über das Formular erhaltenen Daten wurden misshandelt, wie es so schön heißt. Letzteres hat dann aber nichts mehr mit dem Kernthema, dem Formular, zu tun.