Was muss beim Kontaktformular datenschutzrechtlich beachtet werden?

Die Rechtsgrundlage ist die Anfrage selbst

Wer dir über das Formular schreibt, will eine Antwort, eine Wertermittlung oder ein Angebot. Die Verarbeitung dafür stützt sich auf Art. 6 Abs. 1 lit. b DSGVO: Sie ist nötig für Maßnahmen vor einem Vertrag, die auf Anfrage der Person erfolgen. Bei allgemeinen Fragen ohne Vertragsbezug trägt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f.

Die verbreitete Checkbox „Ich willige in die Verarbeitung meiner Daten ein“ macht die Sache deshalb nicht sicherer, sondern schwächer: Eine Einwilligung kann jederzeit widerrufen werden, und dann stehst du ohne Grundlage da — obwohl du von Anfang an keine Einwilligung gebraucht hättest. Ein Hinweissatz mit Link zur Datenschutzerklärung direkt über dem Absende-Knopf erfüllt Art. 13.

Die Datenschutzerklärung selbst muss nach Art. 13 DSGVO nennen, wer verantwortlich ist, wofür und auf welcher Grundlage die Daten verarbeitet werden, an wen sie gehen, wie lange sie gespeichert werden und welche Rechte der Anfragende hat. Ein Textbaustein vom Generator passt dazu nur, wenn er die Werkzeuge nennt, die du wirklich einsetzt.

Weniger Felder sind auch Datenschutz

Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung: nur, was für den Zweck nötig ist. Das deckt sich mit dem, was ein Formular ohnehin erfolgreich macht. Geburtsdatum, Einkommen oder die vollständige Anschrift gehören nicht in die erste Anfrage — sie kosten Anfragen und erzeugen Pflichten.

Bei Maklern lohnt ein zweiter Blick auf das Formular zur Wertermittlung: Die Objektadresse zusammen mit dem Namen des Eigentümers ist ein personenbezogenes Datum. Das ist erlaubt, wenn du es für die Einschätzung brauchst, aber es muss in der Datenschutzerklärung stehen.

Wohin die Daten nach dem Absenden gehen

• Übertragung nur verschlüsselt über HTTPS — Art. 32 DSGVO verlangt angemessene technische Sicherheit
• Läuft das Formular über einen fremden Dienst, brauchst du mit ihm einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
• Spamschutz wie reCAPTCHA greift auf das Gerät des Besuchers zu und braucht nach § 25 TDDDG in der Regel eine Einwilligung; ein verstecktes Prüffeld leistet oft dasselbe ohne sie
• Newsletter-Anmeldung nie im selben Häkchen wie die Anfrage — die Einwilligung dafür muss getrennt und freiwillig sein (Art. 7 DSGVO)

Wie lange du die Anfrage behalten darfst

Wird aus der Anfrage nichts, löschst du sie, sobald der Zweck erledigt ist. Wird ein Geschäft daraus, ändern sich die Regeln: Kaufleute müssen empfangene Handelsbriefe nach § 257 Abs. 4 HGB sechs Jahre aufbewahren. Leg deshalb fest, wann eine Anfrage in welchen Ordner wandert, und schreib die Speicherdauer in die Datenschutzerklärung. Das ist keine Rechtsberatung; für die Formulierung deiner Datenschutzerklärung entscheidet im Einzelfall ein Anwalt.