Ein DSGVO-konformes Kontaktformular, gehostet in der EU

Was das Kontaktformular DSGVO-konform macht

• Hosting in der EU. Anwendung und PostgreSQL-Datenbank laufen in Schweden auf Infrastruktur von Hostup AB – keine US-Cloud verarbeitet die Formularinhalte.
• Nur EU-Unterauftragsverarbeiter für Formulardaten. Benachrichtigungs-E-Mails laufen über Mailjet (Sinch) aus einem EU-Rechenzentrum in Frankreich, optionale KI-Anreicherung über Mistral AI ebenfalls in Frankreich. Jeder Unterauftragsverarbeiter, der Formularinhalte berührt, sitzt in der EU/EWR.
• AV-Vertrag nach Art. 28 DSGVO. Formward handelt als Ihr Auftragsverarbeiter, Sie bleiben Verantwortlicher. Ein Auftragsverarbeitungsvertrag ist auf Anfrage über privacy@formward.eu verfügbar.
• Pseudonymisierte IP-Adressen. Absender-IP-Adressen werden beim Eingang mit einem geheimen serverseitigen Schlüssel gehasht (HMAC-SHA-256). Rohe IP-Adressen werden nie gespeichert.
• Betroffenenrechte selbst bedienbar. Export und Löschung von Formulardaten erledigen Sie selbst über die Kontoeinstellungen, um Auskunfts- und Löschanfragen zeitnah zu erfüllen.
• Kein Drittlandtransfer zu prüfen. Speicherung und Verarbeitung bei Formward finden ausschließlich in der EU/EWR statt; insoweit entfällt die Prüfung nach Kapitel V DSGVO. Die Daten verlassen die EU nur dort, wohin Sie sie selbst leiten – darunter ein Benachrichtigungspostfach außerhalb der EU (etwa Gmail), der Autoresponder, der an die vom Absender angegebene Adresse antwortet, Google Sheets (USA) und jede Webhook-URL. Diese Ziele wählen Sie als Verantwortlicher, und den Transfer dorthin verantworten Sie.

Warum ein US-Formular-Backend hier zum Problem wird

Viele verbreitete Formular-Backends sind US-Unternehmen auf US-Infrastruktur. Für ein deutsches Unternehmen bedeutet das: Die über das Kontaktformular erhobenen personenbezogenen Daten verlassen die EU, und aus einem einfachen Kontaktformular wird eine Drittlandtransfer-Prüfung nach Kapitel V DSGVO – inklusive der Frage, ob nach dem Schrems-II-Urteil des EuGH ergänzende Maßnahmen zu den Standardvertragsklauseln nötig sind. Die deutschen Landesdatenschutzbehörden, die für private Unternehmen zuständig sind, prüfen genau solche Transfers zunehmend kritisch.

Häufig gestellte Fragen

Was macht ein Kontaktformular DSGVO-konform?

Ausschlaggebend sind der Serverstandort, die eingebundenen Unterauftragsverarbeiter und die vertragliche Grundlage. Formward hostet in Schweden, bindet ausschließlich EU-Unterauftragsverarbeiter für Formulardaten ein, hasht Absender-IPs beim Eingang und stellt einen AV-Vertrag nach Art. 28 DSGVO bereit.

Bin ich als Website-Betreiber Verantwortlicher oder Auftragsverarbeiter?

Als Betreiber der Website und Empfänger der Formulardaten sind Sie in aller Regel Verantwortlicher im Sinne der DSGVO. Formward handelt für Sie als Auftragsverarbeiter und verarbeitet die Daten nach Ihrer Weisung, nicht zu eigenen Zwecken.

Brauche ich einen AV-Vertrag mit Formward?

Ja, sobald Formward personenbezogene Daten in Ihrem Auftrag verarbeitet. Der AV-Vertrag ist über privacy@formward.eu erhältlich und regelt Umfang, Zweck und TOMs der Verarbeitung nach Art. 28 DSGVO.

Wie werden Betroffenenrechte erfüllt?

Sie exportieren oder löschen Formulardaten selbst über die Kontoeinstellungen und können Auskunfts-, Berichtigungs- und Löschanfragen damit direkt bedienen. Formward liefert die technische Grundlage, die rechtliche Verantwortung bleibt bei Ihnen als Verantwortlichem.

Haltet ihr eine SOC-2- oder ISO-27001-Zertifizierung?

Aktuell nicht. Wir behaupten keine Zertifizierungen, die wir nicht besitzen. Unsere technischen und organisatorischen Maßnahmen sind offen dokumentiert, eine SOC-2-Prüfung steht auf unserer Roadmap.