Klein, aber nicht egal
Das Kontaktformular ist die Stelle, an der Ihnen Besucher freiwillig ihre Daten geben. Name, Telefonnummer, manchmal eine ganze Geschichte im Nachrichtenfeld. Damit sind Sie mitten in der DSGVO, ob Sie wollen oder nicht.
Die gute Nachricht: Es ist nicht kompliziert. Fünf Punkte, und die meisten davon sind einmal erledigt.
Nur fragen, was Sie brauchen
Die DSGVO nennt das Datenminimierung (Art. 5). Sie dürfen nur Daten erheben, die für den Zweck nötig sind. Der Zweck ist hier: die Anfrage beantworten.
| Feld | Pflichtfeld sinnvoll? | Warum |
|---|---|---|
| Name | Ja | Sie müssen jemanden ansprechen können |
| E-Mail oder Telefon | Ja, eines davon | Sonst können Sie nicht antworten |
| Nachricht | Kann freiwillig sein | Der Inhalt der Anfrage |
| Adresse | In der Regel nein | Für eine erste Antwort nicht nötig |
| Geburtsdatum | Nein | Hat mit der Anfrage nichts zu tun |
| Gesundheitsangaben | Nur mit besonderer Vorsicht | Besonders geschützte Daten nach Art. 9 DSGVO |
| Kontaktformular von web-focus.at | Name, Unternehmen, Telefon, E-Mail | Die Nachricht ist freiwillig |
Der vorletzte Punkt betrifft vor allem Ordinationen, Therapeuten und ähnliche Betriebe. Wenn im Nachrichtenfeld Beschwerden beschrieben werden, sind das Gesundheitsdaten. Schreiben Sie dann besser dazu, dass man bitte keine medizinischen Details ins Formular tippen soll.
Praktischer Nebeneffekt: Weniger Felder heißt auch mehr Anfragen. Dazu mehr im Artikel Mehr Anfragen über die Website.
Brauche ich eine Checkbox?
Die Frage kommt immer. Und die Antwort überrascht viele: Für ein normales Kontaktformular nach verbreiteter Auffassung nein.
Eine Checkbox braucht es für eine Einwilligung. Wer Ihnen aber eine Anfrage schickt, will eine Antwort. Die Verarbeitung dafür stützt sich üblicherweise auf vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder auf Ihr berechtigtes Interesse, die Anfrage zu beantworten (lit. f). Eine eigene Einwilligung ist dafür nicht nötig.
Was Sie brauchen, ist eine Information. Ein kurzer Hinweis unter dem Formular reicht: Wozu werden die Daten verwendet, und wo steht mehr dazu.
Ohne Checkbox: „Ihre Angaben verwenden wir, um Ihre Anfrage zu beantworten. Mehr dazu in der Datenschutzerklärung.“
Mit Checkbox: nur wenn Sie mehr vorhaben, zum Beispiel einen Newsletter schicken.
Nie: eine vorab angekreuzte Checkbox. Eine Einwilligung muss aktiv gegeben werden.
Der Newsletter ist etwas anderes
Hier wird es oft vermischt. Wer das Kontaktformular ausfüllt, hat sich nicht für Ihren Newsletter angemeldet.
Für Werbung per E-Mail verlangt § 174 des Telekommunikationsgesetzes 2021 grundsätzlich eine vorherige Einwilligung. Die Adressen aus dem Kontaktformular dürfen Sie also nicht einfach in den Verteiler nehmen. Wenn Sie beides wollen, brauchen Sie ein eigenes Kästchen, das nicht vorab angekreuzt ist.
Die Technik dahinter
Verschlüsselung: Die Seite muss über HTTPS laufen. Das ist heute Standard, aber prüfen Sie es: Steht in der Adresszeile ein Schloss?
Formular-Dienst: Wenn die Anfrage über einen externen Dienst verschickt wird, verarbeitet dieser die Daten in Ihrem Auftrag. Dafür braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Wohin die E-Mail geht: Landet die Anfrage in einem Postfach, auf das zehn Leute zugreifen? Dann sehen auch zehn Leute die Daten.
Spamschutz: Manche Schutzdienste laden Programme von fremden Servern und brauchen dann selbst eine Einwilligung. Ein unsichtbares Feld, das nur von Programmen ausgefüllt wird, kommt ohne aus.
Bei uns läuft der Versand über einen Formular-Dienst, der in unserer Datenschutzerklärung genannt ist, und der Spamschutz über genau so ein unsichtbares Feld.
Wie lange Sie Anfragen aufheben dürfen
So lange, wie Sie sie brauchen. Das ist die ehrliche Antwort, und sie steht so auch in der DSGVO (Art. 5: Speicherbegrenzung).
Aus der Anfrage wird ein Auftrag: Dann gehört der Schriftverkehr zu den Geschäftsunterlagen, und es gelten die Aufbewahrungsfristen dafür.
Aus der Anfrage wird nichts: Dann löschen Sie sie, wenn die Sache erledigt ist. Eine feste Frist nennt das Gesetz nicht. Legen Sie selbst eine fest und halten Sie sich daran.
In der Datenschutzerklärung: Dort muss stehen, wie lange Sie speichern oder nach welchen Kriterien.
Was sonst noch in die Erklärung gehört, steht im Artikel zur Datenschutzerklärung.
„Sicher ist sicher, ich mach die Checkbox trotzdem“
Kann man machen. Es hat aber einen Haken, den wenige kennen. Wenn Sie eine Einwilligung einholen, kann der Besucher sie widerrufen. Und Sie müssen nachweisen können, dass er sie gegeben hat.
Dazu kommt: Jede Checkbox ist eine Hürde. Ein Teil der Leute bricht dort ab. Sie handeln sich also mehr Pflichten ein und bekommen weniger Anfragen. Besprechen Sie es mit jemandem, der es rechtlich beurteilen darf. Aber nehmen Sie die Checkbox nicht einfach, weil es alle so machen.
Quellen
- Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, Art. 5, 6, 9, 13, 28 und 32, abgerufen am 29. September 2026
- Rechtsinformationssystem des Bundes: Telekommunikationsgesetz 2021, § 174, abgerufen am 29. September 2026
- Wirtschaftskammer Österreich: EU-Datenschutz-Grundverordnung (DSGVO): Datenschutzerklärung / Infopflichten, abgerufen am 29. September 2026
- Datenschutzerklärung von web-focus.at, Abschnitt „Kontaktaufnahme“, Stand Oktober 2026, siehe Datenschutzerklärung