Kontaktformular und Datenschutz: So ist es sauber
Kontaktformular datenschutzkonform: Brauchst du eine Checkbox, welche Pflichtfelder sind erlaubt, wie lange speicherst du Anfragen? Mit Schritt-Liste.
Ein Kontaktformular braucht in der Regel keine Einwilligungs-Checkbox, weil die Anfrage der Vertragsanbahnung dient. Wichtig sind wenige Pflichtfelder, eine verschlüsselte Verbindung, ein kurzer Hinweis mit Link zur Datenschutzerklärung und eine feste Löschfrist für Anfragen ohne Auftrag. Google reCAPTCHA meidest du besser oder holst dafür eine Einwilligung ein.
In diesem Artikel
- Brauche ich beim Kontaktformular eine Einwilligungs-Checkbox?
- Welche Pflichtfelder darf ein Kontaktformular haben?
- Muss die Website für ein Kontaktformular verschlüsselt sein?
- Wie lange darf ich Anfragen aus dem Kontaktformular speichern?
- Darf ich Google reCAPTCHA gegen Spam im Kontaktformular nutzen?
- Was muss am Kontaktformular stehen?
- Häufige Fragen
Brauche ich beim Kontaktformular eine Einwilligungs-Checkbox?
Meist nicht. Wer dir eine Anfrage schickt, will ein Angebot oder eine Antwort. Dafür reicht als Rechtsgrundlage die Vertragsanbahnung, ein klarer Hinweis auf die Datenschutzerklärung genügt.
Die Grundlage ist Art. 6 Abs. 1 lit. b DSGVO: Daten dürfen verarbeitet werden, wenn das für vorvertragliche Maßnahmen auf Anfrage der Person nötig ist. Bei allgemeinen Fragen ohne Auftragsbezug stützen viele die Verarbeitung auf das berechtigte Interesse (lit. f).
Eine Checkbox „Ich stimme der Datenverarbeitung zu“ schadet nicht, ist aber nach dieser verbreiteten Auffassung nicht nötig. Sie kann sogar verwirren, weil eine Einwilligung jederzeit widerrufen werden kann und du die Anfrage dann eigentlich nicht mehr bearbeiten dürftest. Wichtiger ist ein kurzer Satz direkt am Absende-Button mit Link zur Datenschutzerklärung.
Dieser Artikel gibt einen allgemeinen Überblick, Stand 4. November 2026. Er ersetzt keine Beratung durch eine Anwältin oder einen Anwalt. Im Zweifel frag deine Handwerkskammer oder einen Fachanwalt.
Welche Pflichtfelder darf ein Kontaktformular haben?
Nur die, die du für die Antwort wirklich brauchst. Meist sind das Name, ein Kontaktweg und die Nachricht. Alles andere sollte freiwillig sein und auch so gekennzeichnet werden.
Das folgt aus dem Grundsatz der Datenminimierung in Art. 5 Abs. 1 lit. c DSGVO. Wer für eine einfache Frage Geburtsdatum, Anschrift und Telefonnummer als Pflicht verlangt, sammelt mehr als nötig.
Für Handwerker ist das gleichzeitig gute Werbung. Jedes zusätzliche Pflichtfeld ist eine Hürde. Wie du ein Formular baust, das trotzdem alle Infos fürs Angebot liefert, steht im Ratgeber Kontaktformular, das Anfragen bringt.
Pflicht oder freiwillig?
| Feld | Empfehlung | Warum |
|---|---|---|
| Name | Pflicht | Du willst wissen, wem du antwortest |
| E-Mail oder Telefon | Ein Kontaktweg Pflicht | Sonst kannst du nicht antworten |
| Nachricht oder Leistung | Pflicht | Darum geht es |
| Adresse oder PLZ | Freiwillig oder Pflicht, wenn du fürs Angebot den Ort brauchst | Anfahrt, Einzugsgebiet |
| Fotos hochladen | Freiwillig | Hilft beim Einschätzen, ist aber nicht für jede Anfrage nötig |
| Geburtsdatum, Anrede | Weglassen | Für ein Angebot nicht nötig |
Das zeigt: Datenminimierung heißt nicht, wenig zu fragen. Es heißt, genau das zu fragen, was du für das Angebot brauchst, und nichts darüber hinaus. Wie so ein Formular für Event-Anfragen aussieht, zeigt der Ratgeber Website für DJs und Event-Dienstleister.
Muss die Website für ein Kontaktformular verschlüsselt sein?
Ja. Ohne HTTPS gehen die Formulardaten unverschlüsselt durchs Netz. Die DSGVO verlangt angemessene technische Schutzmaßnahmen, und Browser warnen bei unverschlüsselten Formularen deutlich.
Die Pflicht zu angemessener Sicherheit steht in Art. 32 DSGVO. Bei Handwerkerseiten heißt das praktisch: Die Adresse beginnt mit https://, und im Browser erscheint kein Warnhinweis. Fast alle Hoster bieten das Zertifikat inzwischen kostenlos an.
Achte auch darauf, wohin die Anfrage geht. Landet sie über eine Weiterleitung in einem privaten Postfach ohne Vertrag zur Auftragsverarbeitung, ist das die schwächste Stelle. Ein eigenes Firmenpostfach ist sauberer, siehe Eigene E-Mail-Adresse für den Betrieb.
Wie lange darf ich Anfragen aus dem Kontaktformular speichern?
So lange, wie du sie für die Bearbeitung brauchst. Kommt kein Auftrag zustande, löschst du sie nach einer festen Frist. Wird ein Auftrag daraus, gelten die gesetzlichen Aufbewahrungsfristen.
Für steuerlich relevante Unterlagen nennt § 147 Abs. 3 AO acht Jahre für Buchungsbelege wie Rechnungen und sechs Jahre für empfangene und abgesandte Geschäftsbriefe. Eine Anfrage, aus der ein Auftrag wird, ist damit in der Regel ein Geschäftsbrief.
Für Anfragen ohne Auftrag gibt es keine gesetzliche Frist. Leg selbst eine fest, zum Beispiel sechs oder zwölf Monate, schreib sie in die Datenschutzerklärung und halte dich daran. Ein Termin im Kalender einmal pro Quartal reicht zum Aufräumen.
Darf ich Google reCAPTCHA gegen Spam im Kontaktformular nutzen?
Nur mit Bedacht. reCAPTCHA überträgt Daten an Google und braucht nach verbreiteter Auffassung eine Einwilligung. Einfachere Spamschutz-Methoden kommen ohne Drittanbieter aus.
Spamschutz ohne Google
- Unsichtbares Lockfeld: Ein verstecktes Feld, das nur Spam-Programme ausfüllen. Füllt es jemand aus, wird die Nachricht verworfen.
- Zeitprüfung: Wird das Formular schneller als in drei Sekunden abgeschickt, war es kein Mensch.
- Einfache Rechenaufgabe: Für Menschen leicht, für viele Programme ein Hindernis.
- Spamschutz ohne Drittanbieter: Manche Formular-Tools filtern auf dem eigenen Server in der EU.
Ob ein Dienst eine Einwilligung braucht, hängt an § 25 TDDDG und daran, welche Daten übertragen werden. Mehr dazu im Ratgeber Cookie-Banner: Wann brauchst du einen?
Was muss am Kontaktformular stehen?
Ein kurzer Hinweis, wofür die Daten verwendet werden, und ein Link zur Datenschutzerklärung. Dort erklärst du Zweck, Rechtsgrundlage, Speicherdauer und eingesetzte Dienstleister ausführlich.
Dein Kontaktformular in fünf Schritten sauber machen
- Felder ausmisten
Alles, was du fürs Angebot nicht brauchst, raus oder freiwillig.
- Hinweis setzen
Direkt über dem Button: „Wir nutzen deine Angaben nur, um deine Anfrage zu beantworten. Mehr in der Datenschutzerklärung.“
- HTTPS prüfen
Seite im Browser öffnen, Schloss-Symbol und https:// in der Adresse kontrollieren.
- Weg der Anfrage klären
Wohin geht die E-Mail, wer hat Zugriff, gibt es einen Vertrag zur Auftragsverarbeitung mit dem Formular-Anbieter?
- Löschfrist festlegen
Frist für Anfragen ohne Auftrag bestimmen und in die Datenschutzerklärung schreiben.
Der kostenlose Website-Check zeigt dir ohne Anmeldung in unter einer Minute, welche Fehler auf deiner Startseite Anfragen kosten. Dein Formular prüfst du mit den fünf Schritten oben selbst, oder wir schauen es uns im Erstgespräch gemeinsam an.
Häufige Fragen
Nicht ohne Weiteres. Wer eine Anfrage schickt, hat damit nicht in Newsletter oder Werbung eingewilligt. Dafür brauchst du eine eigene, ausdrückliche Einwilligung, am besten mit Bestätigung per E-Mail.
Grundsätzlich ja, wenn keine Aufbewahrungspflicht entgegensteht. Art. 17 DSGVO gibt ein Recht auf Löschung. Ist aus der Anfrage ein Auftrag geworden, darfst du die steuerlich relevanten Unterlagen für die gesetzliche Frist behalten.
Dann gelten für die Bilder dieselben Regeln wie für die Nachricht. Lösch sie mit der Anfrage, wenn kein Auftrag zustande kommt. Handyfotos können außerdem Standortdaten enthalten, die du nicht brauchst.
Wenn die Daten über Server eines Dienstleisters laufen, etwa eines Formular- oder Mailanbieters, brauchst du einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei Formularen, die nur über deinen eigenen Hoster laufen, deckt das meist dessen Vertrag ab.
Datenschutzrechtlich sind beide in Ordnung. Ein Formular hat den Vorteil, dass du die nötigen Angaben gezielt abfragst. Die E-Mail-Adresse gehört trotzdem ins Impressum.
Quellen
- DSGVO, Art. 5, 6, 13, 32 (EUR-Lex), abgerufen am 04.11.2026
- § 147 AO: Ordnungsvorschriften für die Aufbewahrung von Unterlagen, abgerufen am 04.11.2026
- § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen, abgerufen am 04.11.2026
- DSK: Orientierungshilfe für Anbieter digitaler Dienste, Version 1.2 (November 2024), abgerufen am 04.11.2026
