Ratgeber // Datenschutz

Kontaktformular DSGVO-konform: Checkbox, Pflichtfelder, Mustertext

Ein Kontaktformular erfüllt die wichtigsten Anforderungen der DSGVO, wenn es nur die nötigen Angaben verlangt, verschlüsselt überträgt, am Formular auf die Datenschutzerklärung hinweist und die Anfragen nicht länger aufbewahrt als nötig. Ein Pflichthäkchen „Ich stimme der Datenschutzerklärung zu“ brauchen Sie für eine gewöhnliche Anfrage nicht. Es ist eher ungünstig als verboten und kein Notfall, genauer hinsehen sollten Sie bei Google reCAPTCHA. In meiner Auswertung von 232 Kontaktformularen hatten 43 Prozent ein Kästchen zum Datenschutz, während bei jedem vierten am Formular jeder Hinweis fehlte.

Was meine Auswertung von 232 Kontaktformularen zeigt

Im September 2026 habe ich die Kontaktformulare norddeutscher Unternehmen vermessen. Auf zwei von drei Websites fand das Messprogramm ein Anfrageformular. Beim übrigen Drittel war keins erkennbar, einige davon binden die Anfrage über einen fremden Dienst ein, den die Messung nicht erfasst. Die Hälfte der 232 Formulare hatte sechs oder mehr Eingabefelder, die Hälfte drei oder mehr Pflichtangaben.

43 Prozent mit Kästchen, jedes vierte ohne jeden Hinweis

Merkmale von 232 Kontaktformularen: Anteil der Formulare je Merkmal

Merkmal	Anteil der 232 Formulare
Pflichtangaben
Fünf oder mehr Pflichtfelder	22 %52 von 232
Datenschutz
Hinweis auf die Datenschutzerklärung im Formular	73 %170 von 232
Kästchen zum Datenschutz	43 %100 von 232
Absenden nur mit Haken	27 %62 von 232
Weder Kästchen noch Hinweisoft nur der Link in der Fußzeile	25 %57 von 232
Spamschutz
Googles reCAPTCHA	18 %41 von 232
Anderer großer Dienst	11 %25 von 232

Zwei Gruppen fallen auf. Die einen sichern sich mit einem Kästchen ab, das sie meist nicht brauchen. Bei den anderen steht am Formular kein Wort zum Datenschutz. Ich vermute bei beiden dieselbe Unsicherheit darüber, worauf sich die Antwort auf eine Anfrage rechtlich stützt. Belegen lässt sich das mit meiner Messung nicht, ebenso gut können Voreinstellungen der Formular-Erweiterung oder alte Vorlagen dahinterstecken.

So habe ich gemessen

Ein Messprogramm hat am 24. September 2026 363 Unternehmenswebsites wie ein Browser geladen, einschließlich nachgeladener Inhalte, 352 waren erreichbar. Einträge von Verzeichnissen und fremden Plattformen hatte ich vorher entfernt. Geprüft wurden die Startseite und bis zu drei Kontakt- oder Anfrageseiten. Als Anfrageformular zählte ein sichtbares Formular mit mindestens zwei Feldern und einem Nachrichten- oder E-Mail-Feld, je Website eins. Suchfelder und Cookie-Banner zählten nicht. Den Hinweis auf den Datenschutz habe ich nur im Formular selbst gesucht, Spamschutz je Website erkannt und nur bei den großen Diensten. Hauseigene Lösungen erkennt die Messung nicht, ihr Eingabefeld zählt als Formularfeld mit, die Feldzahl ist deshalb eher leicht zu hoch. Einen ersten Messlauf habe ich wegen eines Fehlers im Bannerfilter verworfen, den zweiten an drei Formularen und zwei Websites ohne Formular von Hand geprüft. Die Adressen stammen aus öffentlichen Unternehmenseinträgen, gesammelt für eine frühere Kundensuche mit engem Branchenfeld, die Stichprobe hat deshalb einen Branchenschwerpunkt.

Ist eine Checkbox im Kontaktformular nach DSGVO Pflicht?

Für eine gewöhnliche Anfrage in der Regel nicht. Wer Ihnen schreibt, möchte eine Antwort, und die dürfen Sie geben, ohne vorher um Erlaubnis zu fragen. Das Gesetz nennt dafür zwei Gründe: Die Anfrage kann der erste Schritt zu einem Auftrag sein, und Sie haben ein berechtigtes Interesse daran, Nachrichten zu beantworten. Die europäischen Datenschutzbehörden halten in ihren Leitlinien ausdrücklich fest, dass die Antwort auf eine Anfrage zu Ihren Leistungen auf den ersten Grund gestützt werden kann, auch wenn offen ist, ob je ein Vertrag zustande kommt. Zwei deutsche Aufsichtsbehörden bestätigen das ausdrücklich: das Bayerische Landesamt für Datenschutzaufsicht in seinem Tätigkeitsbericht 2017/18 und der Hessische Datenschutzbeauftragte in seinem Tätigkeitsbericht 2024. Eine zusätzliche Einwilligung sei in solchen Fällen „offensichtlich nicht notwendig, sie ist überflüssig“.

Ist die Verarbeitung für die Antwort ohnehin nötig, ist die Einwilligung nach denselben Leitlinien nicht die passende Grundlage. Ein Pflichthäkchen wie „Ich stimme der Datenschutzerklärung zu“ ist meist auch gar keine wirksame Einwilligung, eher eine Kenntnisnahme. Es schadet vor allem, weil es eine Rechtsgrundlage behauptet, die Sie nicht nutzen, und weil es Absender aufhält. Heikel wird es, wenn das Pflichthäkchen mehr abdeckt als die Antwort, etwa „und für Informationen über weitere Angebote“. Eine solche Einwilligung gilt in der Regel als nicht freiwillig und ist damit unwirksam, Werbemails auf dieser Grundlage sind unzulässig.

Pflicht ist dagegen die Information. Wer Daten erhebt, muss bei der Erhebung sagen, wofür und auf welcher Grundlage. Das darf gestuft geschehen: ein kurzer Hinweis am Formular, die vollständigen Angaben in der Datenschutzerklärung. Entfernen Sie ein Häkchen, passen Sie auch die Datenschutzerklärung an. Steht dort noch die Einwilligung als Grundlage, stimmt sie nicht mehr. Seit Urteilen des Europäischen Gerichtshofs von 2024 und des Bundesgerichtshofs von 2025 können auch Mitbewerber Datenschutzverstöße abmahnen, bei Unternehmen mit weniger als 250 Beschäftigten allerdings ohne Anspruch auf Erstattung ihrer Abmahnkosten. Angreifbarer als ein fehlendes Kästchen ist nach meiner Einschätzung der fehlende Hinweis am Formular.

Mustertexte für Hinweis und Datenschutzerklärung

Die folgenden Texte decken den üblichen Fall einer Anfrage ab. Passen Sie sie an Ihr Formular an, sie ersetzen keine Rechtsberatung.

Hinweis über dem Absende-Knopf, mit Link zur Datenschutzerklärung: „Wir verwenden Ihre Angaben, um Ihre Anfrage zu bearbeiten. Sie können Auskunft, Berichtigung und Löschung verlangen und der Verarbeitung widersprechen. Rechtsgrundlage und Speicherdauer finden Sie in der Datenschutzerklärung.“

Kästchen für den Newsletter, ohne voreingestellten Haken und keine Bedingung für das Absenden: „Ich möchte zusätzlich Ihren Newsletter per E-Mail erhalten. Diese Einwilligung kann ich jederzeit widerrufen, etwa über den Abmeldelink in jeder Ausgabe.“ Danach bekommt der Absender eine Mail mit Bestätigungslink. Mit diesem Klick können Sie die Einwilligung später nachweisen, vorher geht kein Newsletter hinaus.

Absatz für die Datenschutzerklärung: „Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Ihre Nachricht, Ihre Kontaktdaten, freiwillige Angaben [und Ihre IP-Adresse], um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Auftrag oder dessen Vorbereitung betrifft, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen nach Art. 6 Abs. 1 lit. f DSGVO. Ohne Kontaktweg und Anliegen können wir Ihre Anfrage nicht beantworten, alle weiteren Angaben sind freiwillig. Die Übertragung an unsere Website erfolgt verschlüsselt. Anfragen löschen wir nach [Frist], sofern daraus kein Auftrag entsteht, für den gesetzliche Aufbewahrungsfristen gelten. Empfänger sind [Hoster, E-Mail-Anbieter, gegebenenfalls Formulardienst], mit denen jeweils ein Vertrag zur Auftragsverarbeitung besteht. [Falls ein Anbieter außerhalb der EU sitzt: Land und Grundlage der Übermittlung.] Der Verarbeitung auf Grundlage des berechtigten Interesses können Sie jederzeit widersprechen.“ Die Angaben in eckigen Klammern ersetzen Sie durch Ihre eigenen oder streichen sie.

Pflichtfelder im Kontaktformular: was die DSGVO erlaubt

Pflicht darf nur sein, was Sie für die Bearbeitung tatsächlich brauchen. Der Europäische Gerichtshof hat 2025 entschieden, dass eine Pflicht-Anrede beim Fahrkartenkauf im Netz in der Regel nicht erforderlich ist. Erforderlich ist, was objektiv unerlässlich ist. Was nur nützlich ist oder sich mit einem milderen Mittel ebenso erreichen lässt, darf nicht Pflicht sein. Der Maßstab lässt sich auf Kontaktformulare übertragen.

Pflicht ist, was Sie brauchen, um die Anfrage zu beantworten: ein Weg, auf dem Sie antworten können, und das Anliegen selbst. Das Anliegen kann ein freies Nachrichtenfeld sein oder eine kurze Auswahl wie „Worum geht es?“. Als Kontaktweg genügt E-Mail oder Telefon, eins von beiden. Name, Firma und Telefon bieten Sie an und kennzeichnen sie als „freiwillig“, die meisten Absender füllen sie trotzdem aus. Arbeiten Sie nur für Unternehmen und können eine Anfrage ohne Firmennamen nicht einordnen, lässt sich die Firma als Pflicht begründen. Anrede, Anschrift und Geburtsdatum gehören in keine erste Anfrage. Wie Sie mit freiwilligen Fragen zum Vorhaben Anfragen vorsortieren, beschreibt der Beitrag Anfragen vorqualifizieren.

Jedes Pflichtfeld ist eine Stelle, an der jemand abbrechen kann. Ein Anbieter von Formularanalysen hat knapp 1.400 Formulare ausgewertet: Nach dem Passwort brachen Nutzer am häufigsten bei E-Mail-Adresse und Telefonnummer ab. Die Nielsen Norman Group, ein Beratungs- und Forschungsunternehmen für Nutzerfreundlichkeit, rät seit Jahren, unnötige Felder zu streichen und freiwillige klar zu kennzeichnen. Knappe Pflichtfelder nützen damit dem Datenschutz und senken zugleich die Hürde für eine Anfrage. Warum eine Website trotz Besuchern keine Anfragen bringt, steht im Beitrag über Websites ohne Anfragen.

Speicherdauer und Verschlüsselung im Kontaktformular

Die Verbindung zur Website muss verschlüsselt sein, die Adresse beginnt dann mit „https“. Das folgt aus der DSGVO und dem TDDDG, dem Gesetz über den Datenschutz bei digitalen Diensten. Beide nennen Verschlüsselung als Schutzmaßnahme. Danach geht die Anfrage meist per E-Mail an Sie. Für diesen Weg verlangt die Datenschutzkonferenz, die gemeinsame Runde der deutschen Datenschutzbehörden, bei normalem Risiko eine verschlüsselte Übertragung zwischen den Mailservern, bei hohem Risiko in der Regel zusätzlich eine Ende-zu-Ende-Verschlüsselung. Fragen Sie Ihren Hoster oder Ihre Agentur zwei Dinge: Verschickt das Formular über Ihr eigenes Postfach mit verschlüsselter Verbindung? Und steht als Absender Ihre eigene Domain? Sonst landen Anfragen gern im Spam, ohne dass Sie es merken.

Viele Formular-Erweiterungen speichern jede Anfrage zusätzlich auf der Website, manche samt IP-Adresse des Absenders. Wenn niemand etwas einstellt, liegen die Anfragen dort unbegrenzt. Legen Sie eine Frist fest, nach der Einträge automatisch gelöscht werden, und nennen Sie sie in der Datenschutzerklärung. Brauchen Sie die IP-Adresse nicht, schalten Sie ihre Speicherung ab. Die Frist gilt auch für Ihr Postfach, dort liegen dieselben Anfragen, oft zusätzlich auf dem Handy. Eine gesetzlich feste Zahl gibt es nicht, maßgeblich ist, wie lange Sie die Anfrage für Bearbeitung und Nachweis brauchen. Wird aus der Anfrage ein Auftrag, wird der Schriftverkehr dazu zum Geschäftsbrief. Unternehmen bewahren ihn nach Handels- und Steuerrecht in der Regel sechs Jahre auf, für Kanzleien und Praxen gelten eigene Fristen, etwa für Handakten und Behandlungsunterlagen.

Einen Vertrag zur Auftragsverarbeitung brauchen Sie mit jedem, der die Anfragen für Sie verarbeitet: Hoster, E-Mail-Anbieter und gegebenenfalls ein Formulardienst. Große Anbieter stellen ihn zum Abschluss bereit. Worauf es beim Standort der Server ankommt, steht im Beitrag über Hosting und Datenschutz.

Google reCAPTCHA und DSGVO: Spamschutz ohne Einwilligungsfalle

Ein Schutz gegen automatisierte Spam-Anfragen ist erlaubt und oft nötig. Heikel wird es, wenn der Schutz beim Aufruf der Seite Daten an einen fremden Anbieter schickt oder etwas auf dem Rechner oder Handy des Besuchers speichert oder ausliest. Ohne Einwilligung ist das nur zulässig, soweit es für das Formular technisch unbedingt nötig ist, und nach Auffassung der Datenschutzbehörden erst dann, wenn der Besucher das Formular tatsächlich nutzt. Die bayerische Datenschutzaufsicht rät bei Google reCAPTCHA ausdrücklich, Alternativen zu prüfen, auch weil Daten in die USA gehen können und Sie den rechtmäßigen Einsatz nachweisen müssen. Das gilt auch außerhalb Bayerns, alle Behörden legen dasselbe Recht zugrunde.

Lädt reCAPTCHA erst nach Zustimmung im Cookie-Banner, entsteht eine stille Falle: Wer ablehnt, kann Ihnen oft gar nicht schreiben, und Sie merken es nicht. Für viele kleine Websites genügen einfache Mittel, die der Besucher nicht bemerkt: ein verstecktes Feld, das nur Programme ausfüllen, und eine Mindestzeit zwischen Seitenaufruf und Absenden. Das versteckte Feld muss so gebaut sein, dass weder Screenreader noch die Autovervollständigung des Browsers es erreichen, und die Mindestzeit muss auch funktionieren, wenn die Seite zwischengespeichert ist. Auf Rechenaufgaben verzichte ich: Programme lösen sie mühelos, Menschen mit Rechenschwäche nicht. Etwas Spam kommt trotzdem durch, rechnen Sie mit ein paar Minuten Aussortieren pro Woche.

Braucht es doch einen externen Dienst, wählen Sie einen, der erst startet, wenn der Besucher das Formular nutzt, keine Merkmale des Geräts für eigene Zwecke sammelt und in der EU arbeitet, schließen Sie mit ihm einen Vertrag zur Auftragsverarbeitung und nennen Sie ihn in der Datenschutzerklärung. Ob ein Dienst ohne Einwilligung auskommt, entscheidet nicht allein der Verzicht auf Cookies, sondern ob er auf das Gerät zugreift und wofür. Welche fremden Dienste eine Website sonst unbemerkt einbindet, steht im Beitrag Website mit KI erstellen.

Was für Praxen und Kanzleien zusätzlich gilt

Schreibt ein Patient über das Formular einer Praxis, entstehen schnell Gesundheitsdaten, die die DSGVO besonders schützt. Der Europäische Gerichtshof hat 2024 entschieden, dass schon Name, Lieferadresse und Angaben zum Arzneimittel bei der Onlinebestellung in einer Apotheke Gesundheitsdaten sind, auch ohne Rezept. Für solche Angaben reicht die gewöhnliche Rechtsgrundlage einer Anfrage nicht aus, die DSGVO verlangt eine zusätzliche Ausnahme. Welche passt, hängt vom Ablauf in Ihrer Praxis ab. Anders als beim gewöhnlichen Kontaktformular kann hier ein Kästchen mit ausdrücklicher Einwilligung sinnvoll sein. Diese Einwilligung muss freiwillig sein, wer sie nicht geben möchte, braucht einen anderen Weg zu Ihnen, etwa das Telefon. Fragen Sie im Formular keine Beschwerden ab und rechnen Sie trotzdem damit, dass jemand sie ins Nachrichtenfeld schreibt.

Das Berufsgeheimnis kann nach Auffassung der Datenschutzkonferenz ein Anzeichen für ein hohes Risiko sein, das Praxen und Kanzleien deshalb besonders prüfen müssen. Besteht es, verlangt sie beim Versand in der Regel eine Ende-zu-Ende-Verschlüsselung. Hoster, E-Mail-Anbieter und ein Formulardienst erfahren zudem, wer sich an Sie wendet. Für Berufe mit Schweigepflicht müssen sie zur Verschwiegenheit verpflichtet werden, für Kanzleien schreibt das Berufsrecht dafür einen Vertrag in Textform vor. Kanzleien brauchen für die Prüfung von Interessenkonflikten oft schon vorab Angaben zum Fall, Einzelheiten erst im Gespräch lassen sich dort nur eingeschränkt umsetzen. Klären Sie den Ablauf mit Ihrer Kammer oder anwaltlich.

Was sonst zählt: Fotos, Bestätigungsmail, Barrierefreiheit

Erlauben Sie das Hochladen von Fotos, prüfen Sie, dass sie nicht unter einer öffentlich abrufbaren Adresse abgelegt und nach der Frist mitgelöscht werden. Handyfotos enthalten oft den Aufnahmeort, also nicht selten die Wohnadresse. Eine Eingangsbestätigung an den Absender ist freundlich, sollte aber den Text der Nachricht nicht wiederholen, sonst kann ein Programm das Formular nutzen, um fremden Adressen Nachrichten zu schicken. Und ein Formular, das alle bedienen können, bringt mehr Anfragen: sichtbare Beschriftungen statt nur grauer Platzhalter, ein erklärter Stern für Pflichtfelder, Fehlermeldungen direkt am Feld und eingegebene Daten, die bei einem Fehler erhalten bleiben.

Prüfliste und Auftrag an Ihre Agentur

Die ersten drei Punkte prüfen Sie selbst in wenigen Minuten, die übrigen gemeinsam mit Ihrer Agentur oder Ihrem Hoster. Meine Reihenfolge: zuerst den Spamschutz, danach Häkchen und Pflichtfelder bei der nächsten Überarbeitung.

1. Verschlüsselt? Die Adresse der Kontaktseite beginnt mit „https“, und der Browser warnt nicht vor einer unsicheren Verbindung.
2. Spamschutz ohne Zustimmung? Öffnen Sie die Kontaktseite in einem privaten Browserfenster und lehnen Sie im Cookie-Banner alles ab. Erscheint trotzdem das Zeichen von Google reCAPTCHA, lädt der Dienst ohne Zustimmung. Lässt sich das Formular danach nicht mehr absenden, verlieren Sie Anfragen.
3. Test gemacht? Schicken Sie sich eine Anfrage, auch vom Handy, und prüfen Sie, wann und wie sie ankommt.
4. Nur nötige Pflichtfelder? Pflicht sollten ein Kontaktweg und das Anliegen sein, alles andere freiwillig.
5. Hinweis statt Pflichthäkchen? Über dem Absende-Knopf steht ein Satz mit Link zur Datenschutzerklärung.
6. Löschfrist eingestellt? Fragen Sie, ob Anfragen auf der Website gespeichert werden, mit oder ohne IP-Adresse, und nach welcher Frist sie gelöscht werden.

Was Sie Ihrer Agentur schreiben können: „Bitte am Kontaktformular ändern: 1. Das Pflichthäkchen zur Datenschutzerklärung entfernen und über dem Absende-Knopf einen Hinweissatz mit Link einfügen. 2. Nur Kontaktweg und Anliegen als Pflicht, alle übrigen Felder freiwillig, die Anrede streichen. 3. Google reCAPTCHA durch einen Spamschutz ohne externen Dienst ersetzen. 4. Eine automatische Löschung gespeicherter Anfragen einstellen, die Speicherung der IP-Adresse abschalten. 5. Die Datenschutzerklärung an diese Änderungen anpassen.“

Häufige Fragen: Kontaktformular und DSGVO