So wählen Sie einen DSGVO-freundlichen Formulardienst
Kein Formulardienst macht Ihr Formular von allein DSGVO-konform: Sie bleiben der Verantwortliche und entscheiden über Rechtsgrundlage, Datenschutzhinweis und die Dauer, für die Sie Antworten aufbewahren. Was ein Dienst dagegen entscheidet, ist, wohin die Daten Ihrer Besucher gehen und was Sie darüber belegen können. Diese sieben Fragen trennen einen Anbieter, den Sie dokumentieren können, von einem, dem Sie vertrauen müssen.
Ein praktischer Leitfaden, keine Rechtsberatung. Für eine Entscheidung über Ihre eigene Verarbeitung wenden Sie sich an Ihren Datenschutzbeauftragten oder an einen Anwalt.
1. Wo werden Einsendungen gespeichert?
Suchen Sie nach der eigenen Angabe des Anbieters, wo Datenbank und Dateispeicher laufen, nicht nach einem Marketingsatz. „EU-Hosting verfügbar“ bedeutet oft eine Option in einem höheren Tarif, während der Standard in den USA bleibt. Werden Einsendungen außerhalb der EU gespeichert, haben Sie für jede einzelne eine Übermittlung zu dokumentieren.
2. Gibt es eine öffentliche Liste der Unterauftragsverarbeiter?
Eine Liste der Unterauftragsverarbeiter nennt jeden Dritten, der mit den Daten in Berührung kommt, mit Standort und Zweck. Ohne sie lässt sich nicht beurteilen, ob E-Mail, Spam-Prüfungen oder KI-Funktionen Daten anderswohin senden.
3. Ist der AVV veröffentlicht?
Artikel 28 der DSGVO verlangt einen Vertrag mit jedem Auftragsverarbeiter. Ein AVV, den Sie vor der Registrierung lesen und im Produkt akzeptieren können, ist leichter zu dokumentieren als einer, der nur auf Anfrage erhältlich ist.
4. Können Sie die Aufbewahrung festlegen, und was gilt für Backups?
Prüfen Sie, ob Sie pro Formular eine Aufbewahrungsdauer festlegen können, ob sie automatisch greift und wie lange gelöschte Daten in Backups bleiben. Standardmäßig alles für immer zu behalten widerspricht der Datenminimierung.
5. Was geschieht mit IP-Adressen?
Eine IP-Adresse ist ein personenbezogenes Datum. Ein Dienst, der rohe IPs zu jeder Einsendung speichert, behält mehr als nötig; einer, der sie für die Ratenbegrenzung hasht, behält weniger.
6. Wohin gehen Kopien?
Benachrichtigungs-E-Mails, Webhooks und Integrationen kopieren Einsendungen dorthin, wo diese Ziele gehostet werden. Die EU-Speicherung beim Anbieter erreicht kein Postfach, das in den USA gehostet wird.
7. Halten die Aussagen stand?
Vergleichen Sie die Marketingseite mit dem AVV und der Datenschutzerklärung. Widersprechen sie sich bei Standort oder Aufbewahrung, sind die Rechtsdokumente das, worauf Sie sich verlassen können.
Wie Formward antwortet
- Gespeichert in Schweden; E-Mail über das EU-Rechenzentrum von Mailjet; KI bei Mistral AI in Frankreich (Datenspeicherung in der EU).
- Ein öffentliches Verzeichnis der Unterauftragsverarbeiter; der einzige optionale Nicht-EU-Dienst im Einsendungspfad ist Cloudflare Turnstile, ausgeschaltet, sofern ein Formular es nicht aktiviert.
- Der AVV ist vollständig veröffentlicht und wird im Dashboard akzeptiert.
- Free-Formulare löschen nach 30 Tagen; bezahlte Tarife legen eine Dauer pro Formular fest; Backups sind innerhalb von 30 Tagen weg (Aufbewahrung).
- Rohe IPs werden nie gespeichert, nur ein Schlüssel-Hash (IP-Adressen).
Fragen
- Macht ein in der EU gehosteter Formulardienst mein Formular DSGVO-konform?
- Nein. Er beseitigt eine Übermittlung aus der eigenen Verarbeitung des Anbieters, aber Sie brauchen weiterhin eine Rechtsgrundlage, einen Datenschutzhinweis, eine sinnvolle Aufbewahrungsdauer und einen AVV, und Kopien, die Sie anderswohin senden, folgen ihren eigenen Regeln.
- Ist ein US-Formulardienst mit Standardvertragsklauseln erlaubt?
- Das kann rechtmäßig sein, aber jede Einsendung ist dann eine Übermittlung, die Sie dokumentieren und bewerten. Ein in der EU gehosteter Dienst erspart diesen Aufwand für die eigene Verarbeitung des Anbieters.
- Was ist die häufigste Lücke?
- Die Benachrichtigungs-E-Mail. Viele Teams speichern Einsendungen in der EU, senden aber jede Antwort an ein in den USA gehostetes Postfach.