Braucht ein Kontaktformular eine Einwilligungs-Checkbox?
Für eine normale Anfrage nach Angebot oder Termin ist keine Einwilligungs-Checkbox nötig, ein Pflicht-Häkchen ist sogar riskant.
Viele kleine Websites zeigen unter dem Formular ein Häkchen, ohne das sich nichts absenden lässt. Für eine normale Anfrage ist das unnötig. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Sie verarbeiten die Daten für vorvertragliche Maßnahmen, also um die Anfrage zu beantworten und ein Angebot zu schreiben.
Eine erzwungene Einwilligung macht die Sache schlechter. Eine Einwilligung kann jederzeit widerrufen werden, und dann steht die Verarbeitung auf wackligen Füßen, während Sie noch am Angebot sitzen. Im ungünstigen Fall blockiert das den ganzen Angebotsprozess.
Vorher: „[ ] Ich stimme zu, dass meine Daten gespeichert und verarbeitet werden.* (Pflichtfeld)“ Nachher: Kein Häkchen. Stattdessen steht ein kurzer Datenschutzhinweis unter dem Button, die Formulierung folgt weiter unten.
Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO brauchen Sie erst, wenn mehr passiert als die Antwort auf die Anfrage. Das betrifft Newsletter, Werbemails und die Weitergabe der Anfrage an Partnerbetriebe. Dafür gehört eine eigene, freiwillige Checkbox ins Formular.
Welche Felder darf ein Handwerker-Kontaktformular abfragen?
Abfragen dürfen Sie nur, was Sie zum Beantworten der Anfrage wirklich brauchen. Alles andere ist freiwillig und muss so gekennzeichnet sein.
Das zentrale Prinzip heißt Datensparsamkeit. Für den ersten Kontakt reichen in der Regel Name, E-Mail-Adresse oder Telefonnummer und ein Feld für die Nachricht. Wer beim ersten Kontakt Geburtsdatum und volle Adresse verlangt, sammelt Daten ohne Zweck.
Vorher: Anrede*, Vorname*, Nachname*, Geburtsdatum*, Straße*, PLZ*, Ort*, Telefon*, E-Mail*, Nachricht*.
Nachher: Name*, E-Mail oder Telefon*, Ihr Anliegen*, Firmenname (freiwillig), Adresse des Objekts (freiwillig).
Pflichtfelder bekommen ein Sternchen. Optionale Felder tragen den Zusatz „freiwillig“ direkt im Feldnamen, damit niemand rätseln muss.
Mehrstufige Angebotsformulare: Kontaktdaten zum Schluss
Fragt Ihr Formular erst Details zum Projekt ab, etwa Dachfläche, Raumgröße oder gewünschte Leistung, gehören die persönlichen Kontaktdaten an das Ende. Bricht jemand vorher ab, entstehen so keine Personenbezüge. Sie haben dann nur anonyme Projektangaben und nichts, was Sie datenschutzrechtlich verwalten müssen.
Was gehört direkt unter den Absende-Button?
Unter den Button gehört ein kurzer, verständlicher Datenschutzhinweis mit Link zur vollständigen Datenschutzerklärung.
Der Hinweis ersetzt die Checkbox. Er informiert, ohne eine Zustimmung zu verlangen, und verweist auf die ausführlichen Informationen. Ein Satz oder zwei genügen.
Vorher: „Mit dem Absenden akzeptieren Sie unsere Datenschutzbestimmungen.“ Das klingt nach Vertrag und erklärt nichts.
Nachher (zum Kopieren): „Wir verwenden Ihre Angaben nur, um Ihre Anfrage zu beantworten. Mehr dazu in unserer Datenschutzerklärung.“ Das Wort Datenschutzerklärung wird dabei auf die entsprechende Seite verlinkt.
Was muss in der Datenschutzerklärung zum Kontaktformular stehen?
Die Datenschutzerklärung muss nach Art. 13 DSGVO konkret sagen, wer was wozu verarbeitet, wie lange und mit welchen Rechten.
Die Datenschutzerklärung muss von jeder Seite in höchstens zwei Klicks erreichbar sein, üblich ist ein Link im Footer. Sie soll in einfacher Sprache geschrieben und auf Ihren Betrieb zugeschnitten sein. Eine generische Vorlage ohne Anpassung gilt als Lücke.
Diese Punkte gehören nach Art. 13 DSGVO hinein:
1. Wer verantwortlich ist
Firmenname, vollständige Anschrift und E-Mail-Adresse des Betriebs.
2. Zweck und Rechtsgrundlage
Für jede Verarbeitung einzeln: wofür die Daten genutzt werden und auf welcher Grundlage. Beim Kontaktformular ist das die Bearbeitung der Anfrage nach Art. 6 Abs. 1 lit. b DSGVO.
3. Speicherdauer
Wie lange die Daten bleiben, oder nach welchen Kriterien Sie über die Löschung entscheiden.
4. Empfänger
Wer die Daten technisch mitbekommt, zum Beispiel Hosting-Anbieter oder E-Mail-Dienst.
5. Rechte der Betroffenen
Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit. Bei Verarbeitungen mit Einwilligung zusätzlich das Widerrufsrecht. Dazu das Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde.
Vorher-Nachher für den Formular-Abschnitt
Vorher: „Wir verarbeiten Ihre Daten gemäß den gesetzlichen Bestimmungen.“ Dieser Satz sagt weder Zweck noch Rechtsgrundlage noch Speicherdauer.
Nachher (zum Anpassen): „Wenn Sie uns über das Kontaktformular eine Anfrage senden, verarbeiten wir Ihren Namen, Ihre Kontaktdaten und Ihre Nachricht, um die Anfrage zu beantworten und ein Angebot zu erstellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.“
„Die Anfrage wird über unseren Hosting-Anbieter [Name eintragen] übermittelt. Kommt kein Auftrag zustande, löschen wir die Daten nach [Frist eintragen].“
Welche technischen Fehler machen ein Formular angreifbar?
Ein sauber formuliertes Formular hilft wenig, wenn es unverschlüsselt sendet oder Daten ungefragt an Dritte gibt.
Die folgenden Punkte tauchen auf kleinen Handwerker-Websites immer wieder auf. Jeder davon lässt sich mit überschaubarem Aufwand prüfen.
1. Kein HTTPS
Ohne HTTPS-Verschlüsselung gehen die Formulardaten im Klartext durchs Netz. Prüfen Sie, ob in der Adresszeile Ihres Browsers ein Schloss-Symbol vor Ihrer Domain steht. Das ist technische Pflicht und kein Extra.
2. Google reCAPTCHA als Spamschutz
reCAPTCHA überträgt Daten an US-Server und ist deshalb datenschutzrechtlich problematisch. Ein Honeypot-Feld ist die freundlichere Alternative: ein für Menschen unsichtbares Feld, das nur Spam-Programme ausfüllen.
3. Kein Auftragsverarbeitungsvertrag
Mit Hosting-Anbieter, E-Mail-Dienst oder CRM-Tool brauchen Sie einen AVV nach Art. 28 DSGVO. Die meisten Anbieter stellen ihn im Kundenkonto bereit, Sie müssen ihn nur abschließen.
4. Löschfristen nur auf dem Papier
Steht in der Datenschutzerklärung eine Frist, muss die Löschung auch wirklich passieren. Anfragen, die jahrelang im Postfach liegen, widersprechen der eigenen Erklärung.
5. Externe Dienste ohne Einwilligung
Google Fonts, Google Maps und ähnliche externe Ressourcen auf derselben Seite wie das Formular brauchen eine Einwilligung. Ein Cookie-Banner ohne echte Ablehnungsmöglichkeit verstößt gegen das TTDSG.
Was Sie heute selbst prüfen können
Öffnen Sie heute Ihr eigenes Formular und vergleichen Sie es mit den Vorher-Nachher-Beispielen in diesem Artikel.
Entfernen Sie eine Pflicht-Checkbox für normale Anfragen, streichen Sie überflüssige Pflichtfelder und setzen Sie den kurzen Hinweis unter den Button. Danach prüfen Sie, ob Ihre Datenschutzerklärung einen eigenen Abschnitt zum Kontaktformular hat.
Wer stattdessen die Website insgesamt neu aufstellen will, findet in der kostenlosen Website-Vorschau unten den einfachsten Einstieg.
- Brauche ich als Handwerker eine Checkbox unter dem Kontaktformular?
- Für normale Anfragen nach Angebot oder Termin nicht. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligungs-Checkbox brauchen Sie nur für Newsletter, Werbemails oder die Weitergabe an Partnerbetriebe.
- Darf ich Google reCAPTCHA als Spamschutz nutzen?
- reCAPTCHA überträgt Daten an US-Server und gilt deshalb als problematisch. Ein Honeypot-Feld ist eine datenschutzfreundlichere Alternative.
- Brauche ich als kleiner Betrieb ein Verarbeitungsverzeichnis?
- Ja. Das Verarbeitungsverzeichnis nach Art. 30 DSGVO gilt unabhängig von der Betriebsgröße, sobald Sie personenbezogene Daten verarbeiten.
- Gehört die Handwerkskammer ins Impressum?
- Bei zulassungspflichtigem Handwerk ja: Handwerkskammer und Registernummer gehören ins Impressum. Das Impressum ist eine eigene Pflicht neben der Datenschutzerklärung.
Ihre Website sollte das auch können?
Wir bauen die erste Version Ihrer neuen Handwerker-Website kostenlos. Sie zahlen erst, wenn sie Ihnen gefällt und live geht.
Kostenlose Vorschau anfordern