Ein Kontaktformular braucht in den meisten Fällen gar keine Einwilligung. Wo doch, muss sie nachweisbar sein, und genau dieser Nachweis fehlt in fast jeder Installation.
Die Rechtsgrundlage
Für eine Anfrage, die auf einen Vertrag zielt, ist die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen erforderlich. Eine gesonderte Einwilligung ist dafür nicht nötig.
Eine Einwilligung wird gebraucht, wo darüber hinaus verarbeitet wird: Aufnahme in einen Verteiler, Werbung, Weitergabe. Diese Zwecke sind getrennt abzufragen und getrennt zu protokollieren.
Verwechseln Sie deshalb nicht Pflichthinweis und Einwilligung. Der Hinweis auf die Datenschutzinformationen ist eine Information, kein Kreuz, das gesetzt werden muss.
Die Datensparsamkeit
Fragen Sie ab, was Sie zur Beantwortung brauchen. Bei einer Anfrage sind das üblicherweise 3 Felder: Name, Kontaktweg, Anliegen.
Telefonnummer, Anschrift und Firma sind in den meisten Fällen keine Pflichtfelder. Jedes zusätzliche Pflichtfeld senkt die Zahl der Absendungen und erhöht zugleich die Datenmenge, die zu schützen ist.
Rechnen Sie mit einem spürbaren Rückgang der Absendungen je zusätzlichem Pflichtfeld. Bei einem Formular mit 7 Feldern statt 3 gehen erfahrungsgemäß deutlich weniger Anfragen ein.
| Punkt | Regel oder Wert |
|---|---|
| Anfrage zum Vertrag | vorvertragliche Maßnahme, keine Einwilligung nötig |
| Einwilligung nötig für | Verteiler, Werbung, Weitergabe |
| Getrennt | abfragen und protokollieren |
| Kein Kreuz nötig für | den Hinweis auf die Datenschutzinformationen |
| Pflichtfelder | üblicherweise 3 |
| Feld 1 bis 3 | Name, Kontaktweg, Anliegen |
| Meist entbehrlich | Telefon, Anschrift, Firma |
| Protokoll Angabe 1 | Zeitpunkt |
| Protokoll Angabe 2 | Wortlaut des Einwilligungstextes |
| Protokoll Angabe 3 | Fassung der Datenschutzinformationen |
| Protokoll Angabe 4 | abgesendete Felder |
| Protokoll Angabe 5 | technische Kennung |
| Fehlt fast immer | der damalige Wortlaut |
| Ebenfalls zu protokollieren | der Widerruf |
| Löschfrist | etwa 12 Monate nach Abschluss |
Das Protokoll
Wo eine Einwilligung erforderlich ist, muss nachgewiesen werden können, dass sie erteilt wurde. Protokollieren Sie deshalb 5 Angaben: Zeitpunkt, Wortlaut des Einwilligungstextes, Fassung der Datenschutzinformationen, abgesendete Felder, technische Kennung des Vorgangs.
Der zweite Punkt ist der, der fast immer fehlt. Wird der Text später geändert, lässt sich ohne Speicherung des damaligen Wortlauts nicht mehr sagen, worin eingewilligt wurde.
Bewahren Sie das Protokoll so lange auf, wie die Einwilligung genutzt wird, und darüber hinaus für die Dauer möglicher Nachweispflichten. Ein Widerruf ist ebenfalls zu protokollieren.
Die Technik
Übertragung nur verschlüsselt, Speicherung nur, soweit nötig, und keine Weitergabe an fremde Server ohne Vertrag zur Auftragsverarbeitung.
Prüfen Sie, ob das Formular Anfragen zusätzlich in der Datenbank ablegt. Viele Erweiterungen tun das voreingestellt, und damit entsteht ein Bestand personenbezogener Daten, den niemand geplant hat.
Legen Sie eine Löschfrist fest, etwa 12 Monate nach Abschluss des Vorgangs, und lassen Sie sie automatisch laufen. Bei 40 Anfragen im Monat sind das nach 3 Jahren über 1.400 Datensätze ohne Zweck.
Prüfen Sie zuletzt den Versandweg. Wird die Anfrage per elektronischer Post an ein Postfach beim selben Anbieter geleitet, bleibt sie in derselben Hand; geht sie an ein Postfach eines fremden Anbieters, kommt eine weitere Verarbeitung hinzu, die im Verzeichnis auftauchen muss. Zwei Wege, die auf der Oberfläche gleich aussehen und rechtlich verschieden sind.
Quellen
Häufige Fragen
Braucht ein Kontaktformular eine Einwilligung?
Für die Beantwortung einer Anfrage in der Regel nicht, für Verteiler und Werbung schon.
Wie viele Pflichtfelder sind sinnvoll?
Drei: Name, Kontaktweg und Anliegen.
Was gehört ins Einwilligungsprotokoll?
Zeitpunkt, Wortlaut, Fassung der Datenschutzinformationen, Felder und technische Kennung.
Welche Löschfrist ist üblich?
Etwa zwölf Monate nach Abschluss des Vorgangs, automatisch ausgeführt.