DSGVO für Web-Formulare
Ein Kontaktformular wirkt wie eine Kleinigkeit, doch jede darüber eingehende Einsendung enthält personenbezogene Daten, und die DSGVO verlangt, dass Sie als Seitenbetreiber einige Entscheidungen dazu treffen. Dieser Leitfaden führt Sie durch diese Entscheidungen in der Reihenfolge, in der eine Einsendung ihren Weg nimmt: vor der Erhebung, wohin sie geht, wie lange sie aufbewahrt wird und was passiert, wenn die Person Auskunft verlangt.
Jeder Schritt verweist auf eine ausführlichere Seite. Wo Formward für den Schritt eine Einstellung bietet, erklären wir, was sie tut und was nicht.
Ein praktischer Leitfaden, keine Rechtsberatung. Für eine Entscheidung über Ihre eigene Verarbeitung wenden Sie sich an Ihren Datenschutzbeauftragten oder an einen Anwalt.
Vor der Erhebung: Rechtsgrundlage und Hinweis
Jede Verarbeitung personenbezogener Daten benötigt eine der sechs Rechtsgrundlagen aus Artikel 6 Absatz 1 der DSGVO. Bei einem Kontaktformular beruht die Rechtsgrundlage häufig nicht auf einer Einwilligung: Wer Ihnen eine Frage gestellt hat, dem können Sie auf Grundlage von Maßnahmen antworten, die auf seine Anfrage hin getroffen wurden, oder auf Grundlage berechtigter Interessen. Eine Einwilligung kommt ins Spiel, wenn Sie etwas tun möchten, worum die Person nicht gebeten hat, etwa sie in einen Newsletter aufzunehmen. Wann eine Einwilligungscheckbox nötig ist und was sie enthalten sollte.
Artikel 13 verlangt an der Stelle der Erhebung einen kurzen Hinweis: wer Sie sind, warum Sie die Daten erheben, auf welcher Rechtsgrundlage, wer die Daten erhält und wie lange Sie sie aufbewahren. Ein Link zu Ihrer Datenschutzerklärung neben dem Absendeknopf reicht meist aus (was der Hinweis enthalten sollte, mit Formulierungsbeispielen). Fragen Sie nur die Felder ab, die Sie für die Antwort benötigen (Datenminimierung, Artikel 5 Absatz 1 Buchstabe c). Ein Telefonfeld, das Sie nie nutzen, ist ein Risiko, kein Komfort.
Wohin die Daten gehen: Auftragsverarbeiter und Übermittlungen
Der Dienst, der Ihren Formular-POST empfängt, ist ein Auftragsverarbeiter. Artikel 28 verlangt dafür einen Vertrag, den Auftragsverarbeitungsvertrag (AVV), und Sie sind dafür verantwortlich, zu wissen, welche Unterauftragsverarbeiter eingesetzt werden und wo sie sich befinden. Speichert einer davon die Daten außerhalb des EU/EWR, gelten zusätzlich die Übermittlungsregeln aus Kapitel V. Der Einsatz eines US-Formularanbieters nach der DSGVO behandelt Schrems II, das Data Privacy Framework und die Fragen, die Sie einem Anbieter stellen sollten.
Formward speichert Einsendungen in Schweden, und das Verzeichnis der Unterauftragsverarbeiter führt jeden Dritten mit Standort und Zweck auf. Der AVV ist vollständig veröffentlicht und kann im Dashboard akzeptiert werden. Zur Übermittlung lesen Sie wo die einzelnen Teile der Daten liegen und die Erklärung zu Schrems II.
Benachrichtigungen und Kopien
Die gespeicherte Einsendung ist selten die einzige Kopie. Eine Benachrichtigungs-E-Mail landet in einem Postfach, ein Webhook überträgt die Daten in ein CRM, eine Synchronisierung füllt eine Tabelle. Jede dieser Kopien hat einen eigenen Speicherort und eine eigene Lebensdauer, und die Aufbewahrungsfrist, die Sie für das Formular festlegen, gilt nicht für sie.
Liegt Ihre Benachrichtigungsadresse in einem Postfach außerhalb der EU, kann die E-Mail Inhalte der Einsendung aus der EU hinaus übertragen. Der Nur-Link-Modus von Formward verschickt eine E-Mail ohne Feldwerte, ohne Betreff und ohne Namen von Anhängen. Die Einsendung lesen Sie dann stattdessen im Dashboard, das in der EU gehostet wird. Mehr zur Einrichtung der Benachrichtigungen finden Sie unter Formular an E-Mail.
Wie lange Sie die Daten aufbewahren
Der Grundsatz der Speicherbegrenzung (Artikel 5 Absatz 1 Buchstabe e) besagt, dass personenbezogene Daten nicht länger aufbewahrt werden sollten, als es der Zweck erfordert. Die DSGVO legt keine Zahl für Sie fest. Sie wählen eine, dokumentieren sie und halten sich daran. Formward löscht Einsendungen automatisch nach dem Zeitraum, den Sie je Formular festlegen, und beim Free-Tarif sind es fest 30 Tage. So wählen Sie eine Aufbewahrungsfrist.
Wenn Personen nach ihren Daten fragen
Jede Person, die Ihr Formular ausgefüllt hat, kann eine Kopie ihrer Daten verlangen (Artikel 15) oder deren Löschung (Artikel 17). Sie haben in der Regel einen Monat für die Antwort (Artikel 12 Absatz 3). Schwierig ist, jede Einsendung zu finden, in der die Person vorkommt. Die DSAR-Konsole von Formward durchsucht alle Formulare in Ihren Arbeitsbereichen nach der E-Mail-Adresse, exportiert die Treffer und löscht sie mit einem Löschzertifikat. So bearbeiten Sie eine Betroffenenanfrage.
Dokumentation erstellen
Viele Organisationen führen ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30. Für ein Formular ist das ein Eintrag: Zweck, Felder, Rechtsgrundlage, Aufbewahrung, Empfänger und Auftragsverarbeiter. Wenn Ihr Formular an Formward sendet, finden Sie die benötigten Angaben zu den Auftragsverarbeitern in unserem Verzeichnis nach Artikel 30 und im Verzeichnis der Unterauftragsverarbeiter. Das Honeypot-Feld _gotcha und das schlüsselbasierte Hashing von IP-Adressen sind auf der Sicherheitsseite dokumentiert, falls Sie die technischen Maßnahmen beschreiben möchten.
Weitere Themen
- IP-Adressen: ob sie personenbezogene Daten sind, warum ein einfacher Hash nicht anonym ist und wie lange Sie sie aufbewahren sollten.
- Datei-Uploads: Lebensläufe, Fotos und Dokumente, mit Datenminimierung, Aufbewahrung und Zugriffskontrolle.
- US-Formularanbieter: Übermittlungen, Schrems II, das Data Privacy Framework und Standardvertragsklauseln.
- Datenschutzhinweis für ein Kontaktformular: die Punkte nach Artikel 13 und Formulierungen, die Sie anpassen können.
- Formulardienst wählen: sieben Fragen an jeden Anbieter, bevor die Daten Ihrer Besucher darin landen.
Fragen
- Fällt ein einfaches Kontaktformular unter die DSGVO?
- In der Regel ja. Name und E-Mail-Adresse identifizieren eine Person, das Formular erhebt also personenbezogene Daten, und Sie als Website-Betreiber sind dafür der Verantwortliche. Die Pflichten sind jedoch verhältnismäßig: Bei einem kleinen Kontaktformular bestehen sie meist aus einer kurzen Datenschutzerklärung, einer angemessenen Aufbewahrungsdauer und einer Möglichkeit, die Nachrichten einer Person zu finden und zu löschen.
- Ist Formward Verantwortlicher oder Auftragsverarbeiter?
- Formward verarbeitet Formular-Einsendungen in Ihrem Auftrag als Auftragsverarbeiter nach Artikel 28. Sie entscheiden, warum es das Formular gibt und was mit den Daten geschieht, daher bleiben Sie Verantwortlicher. Die Bedingungen stehen im Auftragsverarbeitungsvertrag unter formward.eu/dpa.
- Macht ein Formular-Backend mit EU-Hosting mein Formular DSGVO-konform?
- Kein Tool kann das allein leisten. EU-Hosting klärt eine Frage (Übermittlungen gespeicherter Daten außerhalb der EU), aber Rechtsgrundlage, Datenschutzerklärung, Aufbewahrungsdauer und der Umgang mit Anfragen sind Entscheidungen, die Sie als Verantwortlicher treffen. Formward stellt für einige davon Einstellungen bereit; die Entscheidungen bleiben bei Ihnen.
Mit den Standardeinstellungen starten
Die Einwilligungserfassung ist in jedem Tarif enthalten, auch im Free-Tarif. Aufbewahrung, die DSAR-Konsole und der Auftragsverarbeitungsvertrag stehen bereit, wenn Sie sie brauchen.