DSGVO-konforme Online-Formulare: die Punkte, die zählen

Datenschutz bei Formularen wirkt komplizierter, als er in den meisten Fällen ist. Wer ein Kontakt- oder Bewerbungsformular betreibt, muss keine juristische Doktorarbeit schreiben – aber ein paar Grundentscheidungen sauber treffen. Dieser Überblick ordnet die relevanten Punkte. Er ersetzt keine Rechtsberatung, hilft aber, die richtigen Fragen zu stellen.

1. Rechtsgrundlage klären, bevor du das Formular baust

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für Formulare sind vor allem drei relevant:

• Vertragsanbahnung / Vertragserfüllung, wenn jemand ein Angebot anfordert oder bestellt.
• Berechtigtes Interesse, etwa bei einer allgemeinen Kontaktanfrage – mit dokumentierter Abwägung.
• Einwilligung, wenn die Daten für etwas genutzt werden, das über den Anlass hinausgeht, klassischerweise Newsletter oder Marketing.

Welche Grundlage greift, bestimmt, ob du eine Einwilligungs-Checkbox brauchst oder nicht.

2. Datensparsamkeit ist Pflicht, nicht Kür

Art. 5 DSGVO verlangt, dass du nur die Daten erhebst, die für den Zweck erforderlich sind. Praktisch heißt das: Jedes Pflichtfeld muss sich mit dem Zweck des Formulars begründen lassen. Ein Kontaktformular, das Geburtsdatum und vollständige Anschrift verlangt, ist im Zweifel angreifbar. Optionale Felder sind erlaubt, sollten aber klar als optional erkennbar sein.

3. Einwilligung – wenn nötig – richtig einholen

Ist eine Einwilligung erforderlich, muss sie

• aktiv erfolgen (keine vorausgewählte Checkbox),
• spezifisch sein (getrennt nach Zweck, nicht „für alles“ in einem Haken),
• verständlich formuliert und
• dokumentiert werden (Zeitpunkt und Wortlaut der Einwilligung).

Eine Formulierung wie „Ja, ich möchte den Newsletter erhalten. Die Hinweise zum Datenschutz habe ich zur Kenntnis genommen.“ trennt sauber zwischen der Willenserklärung und der reinen Information.

4. Transparenz am Formular

Unabhängig von der Rechtsgrundlage brauchst du eine erreichbare Datenschutzerklärung. Bewährt hat sich ein sichtbarer Link direkt beim Absende-Button, der erklärt, wer die Daten erhält, wofür sie genutzt werden und wie lange sie gespeichert bleiben.

5. Auftragsverarbeitung: wer verarbeitet in deinem Auftrag?

Sobald ein externer Dienst Formulardaten in deinem Auftrag speichert oder verarbeitet, brauchst du mit diesem Anbieter einen Auftragsverarbeitungsvertrag (AVV). Das betrifft Formular-Tools ebenso wie angebundene CRM- oder E-Mail-Systeme. Prüfe außerdem, wo die Daten gespeichert werden – ein Serverstandort in der EU vereinfacht die Bewertung erheblich.

6. Spam-Schutz ohne Tracking

Ein Captcha oder Spam-Schutz ist sinnvoll, sollte aber selbst datensparsam sein. Lösungen, die kein umfangreiches Nutzer-Tracking betreiben, sind datenschutzrechtlich einfacher zu rechtfertigen als Dienste, die Verhaltensprofile über viele Seiten hinweg aufbauen.

7. Löschkonzept nicht vergessen

Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Lege pro Formular fest, wann Einsendungen gelöscht oder anonymisiert werden – zum Beispiel „90 Tage nach abgeschlossener Bearbeitung“ – und halte dich daran.

Kurz-Checkliste

• Rechtsgrundlage je Formular bestimmt
• Nur erforderliche Pflichtfelder
• Einwilligung (falls nötig) aktiv, spezifisch, dokumentiert
• Link zur Datenschutzerklärung am Formular
• AVV mit allen beteiligten Dienstleistern
• Serverstandort geprüft
• Datensparsamer Spam-Schutz
• Löschfrist definiert

Fazit

DSGVO-konforme Formulare entstehen nicht durch möglichst viele Haken und Hinweise, sondern durch klare Entscheidungen: die richtige Rechtsgrundlage, wenige Felder, eine erreichbare Datenschutzerklärung und Verträge mit den beteiligten Dienstleistern. Wer diese Punkte einmal sauber aufsetzt, muss sie pro Formular nur noch anwenden.