Was Ihr Datenschutzhinweis zu einem Kontaktformular enthalten sollte
Artikel 13 der DSGVO verlangt, dass Sie Personen bestimmte Informationen zum Zeitpunkt der Datenerhebung mitteilen. Bei einem Kontaktformular ist dieser Zeitpunkt das Formular selbst, daher müssen die Informationen dort vorhanden oder einen Klick entfernt sein. Die gute Nachricht: Ein Kontaktformular braucht nur einen kurzen Abschnitt, und das meiste davon können Sie einmal schreiben und wiederverwenden.
Ein praktischer Leitfaden, keine Rechtsberatung. Für eine Entscheidung über Ihre eigene Verarbeitung wenden Sie sich an Ihren Datenschutzbeauftragten oder an einen Anwalt.
Was Artikel 13 für ein Kontaktformular verlangt
Nicht jeder Punkt gilt für jedes Formular, aber diese betreffen ein Kontaktformular in der Regel:
- Wer Sie sind
- Ihr Name oder Ihre Firma und Kontaktdaten sowie Ihr Datenschutzbeauftragter, falls Sie einen haben. Artikel 13 Absatz 1 Buchstabe a und b.
- Warum Sie die Daten erheben und auf welcher Grundlage
- Um die Nachricht zu beantworten, und die Rechtsgrundlage dafür. Meist berechtigte Interessen oder vorvertragliche Maßnahmen. Artikel 13 Absatz 1 Buchstabe c. Wenn Sie sich auf berechtigte Interessen stützen, nennen Sie diese, Artikel 13 Absatz 1 Buchstabe d.
- Wer die Daten erhält
- Ihr Formulardienst und Ihr E-Mail-Anbieter sowie alle, an die Sie Einsendungen weiterleiten, etwa ein CRM. Artikel 13 Absatz 1 Buchstabe e.
- Übermittlungen außerhalb der EU
- Ob ein Empfänger außerhalb der EU und des EWR sitzt und welche Garantie genutzt wird. Artikel 13 Absatz 1 Buchstabe f.
- Wie lange Sie die Daten aufbewahren
- Eine Dauer oder die Kriterien, nach denen sie bestimmt wird. Artikel 13 Absatz 2 Buchstabe a.
- Die Rechte der Person
- Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit, das Recht, eine erteilte Einwilligung zu widerrufen, sofern Sie sich darauf stützen, und das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Artikel 13 Absatz 2 Buchstabe b bis d.
- Ob sie die Angaben machen müssen
- Welche Felder Pflicht sind und was passiert, wenn sie leer bleiben. Artikel 13 Absatz 2 Buchstabe e.
Wenn das Formular automatisierte Entscheidungen mit erheblichen Auswirkungen auslöst, verpflichtet Artikel 13 Absatz 2 Buchstabe f zu einer Erläuterung. Ein einfaches Kontaktformular tut das selten.
Formulierungsbeispiel zum Anpassen
Dieses Beispiel ist für ein kleines Unternehmen gedacht, das Formward nutzt. Ersetzen Sie die Angaben in eckigen Klammern, die Zeiträume und die Kontaktadresse durch Ihre eigenen und entfernen Sie alles, was nicht zu Ihrer tatsächlichen Tätigkeit passt.
Kontaktformular. Wenn Sie uns über das Kontaktformular auf dieser Website eine Nachricht senden, verwenden wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht, um Ihnen zu antworten. Wenn Sie ein Angebot anfragen, verwenden wir die Angaben außerdem, um es zu erstellen. Unsere Rechtsgrundlage ist unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO), bei Angebotsanfragen Schritte, die Sie vor Abschluss eines Vertrags von uns verlangen (Art. 6 Abs. 1 lit. b DSGVO).
Das Formular wird für uns von Formward (EGF Fastighetsservice AB, Schweden) betrieben, das die Nachrichten in unserem Auftrag als unser Auftragsverarbeiter auf Servern in Schweden empfängt und speichert. Wir erhalten jede Nachricht per E-Mail in unserem Postfach bei [your email provider, location]. Wir verwenden Ihre Nachricht nicht für Werbezwecke.
Wir bewahren Nachrichten 12 Monate nach unserer letzten Antwort auf und löschen sie danach, es sei denn, die Nachricht führt zu einem Vertrag; dann bewahren wir sie zusammen mit den Vertragsunterlagen auf. Name, E-Mail-Adresse und Nachricht sind Pflichtangaben, da wir ohne sie nicht antworten können.
Sie können uns per E-Mail an privacy@example.com bitten, Ihnen eine Kopie Ihrer Nachricht zu übermitteln, sie zu berichtigen oder zu löschen, oder der Nutzung Ihrer Nachricht widersprechen. Sie können sich außerdem bei Ihrer Datenschutzaufsichtsbehörde beschweren; in Schweden ist das die Integritetsskyddsmyndigheten (IMY).
Wenn Sie eine Checkbox für den Newsletter ergänzen, beschreiben Sie diesen Zweck separat, mit Einwilligung als Rechtsgrundlage und einer Möglichkeit zur Abmeldung. Wenn Sie Cloudflare Turnstile aktivieren, ergänzen Sie einen Satz, dass Cloudflare, Inc. (USA) die Bot-Prüfung durchführt und technische Daten wie die IP-Adresse erhält.
Den Formulardienst als Auftragsverarbeiter nennen
Der Dienst, der Ihr Formular empfängt, ist Ihr Auftragsverarbeiter nach Artikel 28, und Sie benötigen einen Vertrag mit ihm. Im Hinweis gilt er als Empfänger. Die Leitlinien zur Transparenz (WP260 rev.01) der Artikel-29-Datenschutzgruppe, die der EDSA übernommen hat, sehen vor, dass Empfänger grundsätzlich namentlich genannt werden sollten, und wenn nur Kategorien angegeben werden, sollten diese möglichst genau sein.
Halten Sie den Hinweis mit Ihrer Einrichtung aktuell. Wenn Einsendungen per Webhook an ein CRM weitergeleitet werden oder Ihr Benachrichtigungspostfach außerhalb der EU gehostet wird, sind das ebenfalls Empfänger und gegebenenfalls Übermittlungen, und beides gehört ebenfalls in den Hinweis. Das Unterauftragsverarbeiter-Verzeichnis und der AVV von Formward enthalten die Angaben, die Sie eintragen müssen.
Wo der Hinweis platziert wird
Ein Link zum Hinweis direkt neben dem Absenden-Button erfüllt für die meisten Formulare die Anforderung „zum Zeitpunkt der Erhebung“. Eine Zeile genügt, zum Beispiel: „Wir verwenden Ihre Angaben, um Ihnen zu antworten. Hier erfahren Sie, wie wir mit Ihren Daten umgehen.“ Die Leitlinien zur Transparenz empfehlen dieses mehrstufige Vorgehen: die wichtigsten Fakten direkt am Formular, die vollständigen Details einen Klick entfernt.
Auf einer gehosteten Formward-Seite setzen Sie denselben Link in die Formularbeschreibung, damit Besucher ihn sehen, bevor sie absenden.
Fragen
- Braucht ein Kontaktformular eine eigene Datenschutzerklärung?
- Nein. Es muss von Ihrem Datenschutzhinweis abgedeckt sein, und der Hinweis sollte vom Formular aus leicht erreichbar sein. Üblich ist ein kurzer Abschnitt zum Kontaktformular in Ihrer Datenschutzerklärung, der neben dem Absende-Button verlinkt ist.
- Muss ich meinen Formularanbieter nennen?
- Artikel 13 verlangt die Empfänger oder Kategorien von Empfängern. Die Nennung des Anbieters ist die eindeutigste Option, und die Leitlinien der Artikel-29-Datenschutzgruppe, die vom EDSA bestätigt wurden, betrachten die Nennung als Regelfall. Wenn Sie Kategorien verwenden, machen Sie sie konkret, etwa als Formularverarbeitungsdienst in Schweden.
- Sollen Besucher ein Kästchen ankreuzen, um die Datenschutzerklärung zu akzeptieren?
- Nein. Ein Datenschutzhinweis informiert, er ist nichts, dem Personen zustimmen. Ein Kästchen mit der Aussage „Ich akzeptiere die Datenschutzerklärung“ bringt nichts und kann mit einer Einwilligung verwechselt werden. Verlinken Sie stattdessen den Hinweis, und verwenden Sie Einwilligungscheckboxen nur für Zwecke, die tatsächlich eine Einwilligung erfordern.
- Was ist, wenn mein Formular ein CAPTCHA verwendet?
- Erwähnen Sie es. Nennen Sie den Dienst, der die Prüfung durchführt, und sagen Sie, dass er technische Daten wie die IP-Adresse erhält und wo er ansässig ist. Bei Formward gilt das nur, wenn Sie Cloudflare Turnstile aktivieren.
Ein Kontaktformular, das Ihr Hinweis in einem Satz beschreiben kann
Formward speichert Einsendungen als Ihr Auftragsverarbeiter in Schweden, mit veröffentlichtem AVV und Liste der Unterauftragsverarbeiter.