ENAnmelden

DSGVO-konformes Kontaktformular: Checkliste

Ein Kontaktformular verarbeitet personenbezogene Daten, also gilt die DSGVO. Die Liste unten geht die Punkte durch, die bei einem Formular auf einer deutschen oder europäischen Website fast immer anfallen.

Stand 2. November 2026. Das ist keine Rechtsberatung. Für deinen Einzelfall frag deine Datenschutzbeauftragte oder eine Anwältin.

Die Checkliste

  1. Rechtsgrundlage festlegen. Für eine normale Anfrage brauchst du keine Einwilligung. Geht es um ein Angebot oder einen Vertrag, greift Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Fragen meist lit. f (berechtigtes Interesse, die Anfrage zu beantworten). Eine Einwilligung nach lit. a brauchst du erst, wenn du die Daten für mehr nutzen willst, etwa für einen Newsletter.
  2. Nur nötige Felder zur Pflicht machen. Art. 5 Abs. 1 lit. c verlangt Datenminimierung. Für eine Antwort reichen meist E-Mail-Adresse und Nachricht. Name, Telefon oder Firma kannst du anbieten, aber nicht erzwingen.
  3. Am Formular auf den Datenschutz hinweisen. Art. 13 verlangt, dass du beim Erheben informierst: wer verantwortlich ist, wozu die Daten dienen, auf welcher Grundlage, an wen sie gehen und wie lange du sie speicherst. Ein kurzer Satz mit Link zur Datenschutzerklärung direkt über dem Button reicht dafür.
  4. Nur über HTTPS senden. Art. 32 fordert eine angemessene Sicherheit. Seite und Ziel-URL des Formulars laufen deshalb über HTTPS.
  5. AVV mit dem Formular-Dienst abschließen. Verarbeitet ein Dienst die Einsendungen für dich, ist er Auftragsverarbeiter. Nach Art. 28 brauchst du mit ihm einen Vertrag zur Auftragsverarbeitung.
  6. Drittlandtransfer prüfen. Sitzt der Dienst außerhalb der EU oder nutzt er dort Server, gelten die Art. 44 ff. Du brauchst dann eine Grundlage wie einen Angemessenheitsbeschluss oder Standardvertragsklauseln und musst den Transfer in der Datenschutzerklärung nennen.
  7. Löschfrist festlegen. Nach Art. 5 Abs. 1 lit. e speicherst du Daten nicht länger als nötig. Leg fest, wann Anfragen gelöscht werden, im Formular-Dienst und in deinem Postfach.
  8. Captcha ohne Tracking wählen. Liest ein Captcha Informationen vom Gerät aus oder lädt es Skripte eines Drittanbieters, brauchst du dafür nach § 25 TDDDG oft eine Einwilligung. Ein Honeypot-Feld oder ein Captcha, das ohne Drittanbieter auskommt, vermeidet das.
  9. Einwilligungs-Häkchen nie vorausfüllen. Brauchst du doch eine Einwilligung, muss die Person das Häkchen selbst setzen. Ein vorausgefülltes Kästchen ist keine wirksame Einwilligung (EuGH, Urteil vom 1. Oktober 2019, C-673/17, Planet49).

Mustertext für den Hinweis am Formular

Setz den Satz direkt über den Absende-Button und pass den Link zu deiner Datenschutzerklärung an:

<p>Mit dem Absenden verarbeiten wir deine Angaben, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Mehr dazu in der <a href="/datenschutz">Datenschutzerklärung</a>.</p>

Was Mailiy davon übernimmt

Den Hinweis am Formular, die Rechtsgrundlage und deine Datenschutzerklärung musst du selbst festlegen. Das kann kein Dienst für dich erledigen.

Häufige Fragen

Brauche ich für ein Kontaktformular eine Einwilligungs-Checkbox?

Meist nicht. Beantwortest du nur die Anfrage, stützt du dich auf Art. 6 Abs. 1 lit. b oder f DSGVO. Ein Hinweis mit Link zur Datenschutzerklärung reicht dann.

Ist Google reCAPTCHA im Kontaktformular erlaubt?

reCAPTCHA lädt Skripte von Google und wertet Daten über das Gerät aus. Dafür brauchst du in der Regel eine Einwilligung, und es gibt einen Datentransfer in die USA. Ein Honeypot oder ein Captcha ohne Drittanbieter ist einfacher.

Wie lange darf ich Kontaktanfragen aufbewahren?

So lange, wie du sie für die Anfrage brauchst. Wird daraus ein Auftrag, gelten die Aufbewahrungsfristen für Geschäftsbriefe. Eine feste Zahl nennt die DSGVO nicht.

Einbau-Schritte für WordPress, Webflow, React und andere findest du in den Anleitungen.

Kostenlos starten