Kontaktformulare – datenschutzrechtlich aktuell betrachtet

Stand: Juli 2026

Kontaktformulare gehören zur Grundausstattung vieler Websites. Über sie werden Namen, E-Mail-Adressen, Telefonnummern, Unternehmensangaben und frei formulierte Nachrichten übermittelt. Sobald sich diese Informationen auf eine identifizierte oder identifizierbare natürliche Person beziehen, handelt es sich um personenbezogene Daten. Ihre Erhebung, Übermittlung, Speicherung und Bearbeitung unterliegt daher den Vorgaben der Datenschutz-Grundverordnung.
Im Mittelpunkt steht häufig die Frage, auf welche Rechtsgrundlage die Datenverarbeitung gestützt werden kann. Entgegen einer verbreiteten Annahme ist für ein gewöhnliches Kontaktformular nicht automatisch eine Einwilligung erforderlich. Entscheidend sind vielmehr der konkrete Zweck des Formulars und der Inhalt der jeweiligen Anfrage. Je nach Ausgestaltung kommen insbesondere eine vorvertragliche oder vertragliche Verarbeitung, ein berechtigtes Interesse oder – in bestimmten Fällen – eine Einwilligung in Betracht. Daneben müssen unter anderem die Grundsätze der Datenminimierung und Speicherbegrenzung, die Informationspflichten und die Anforderungen an die Datensicherheit berücksichtigt werden.

Der Inhalt im Überblick

• Welche Rechtsgrundlagen kommen für Kontaktformulare infrage?
• Wann greift die Vertragsanbahnung?
• Wann kann ein berechtigtes Interesse herangezogen werden?
• In welchen Fällen ist eine Einwilligung sinnvoll oder erforderlich?
• Kann der Websitebetreiber zwischen mehreren Rechtsgrundlagen wählen?
• Welche weiteren Datenschutzanforderungen gelten für Kontaktformulare?

Die Rechtsgrundlage richtet sich nach dem Zweck des Formulars
Die Rechtsgrundlage ist nicht abstrakt für das Kontaktformular als technische Funktion festzulegen. Maßgeblich ist vielmehr, zu welchem Zweck die eingegebenen Daten verarbeitet werden. Ein Formular zur Anforderung eines Angebots kann deshalb einer anderen Rechtsgrundlage unterliegen als ein allgemeines Beschwerdeformular, eine Presseanfrage oder die Anmeldung zu einem Newsletter.
Für privatwirtschaftliche Websitebetreiber kommen regelmäßig folgende Rechtsgrundlagen in Betracht:

• Art. 6 Abs. 1 lit. b DSGVO für vertragliche oder vorvertragliche Anfragen,
• Art. 6 Abs. 1 lit. f DSGVO zur Wahrung berechtigter Interessen und
• Art. 6 Abs. 1 lit. a DSGVO bei einer wirksamen Einwilligung.

Bei öffentlichen Stellen gelten teilweise andere Voraussetzungen. Insbesondere dürfen sie sich bei Verarbeitungen, die der Erfüllung ihrer öffentlichen Aufgaben dienen, grundsätzlich nicht auf Art. 6 Abs. 1 lit. f DSGVO stützen.

Das vorvertragliche oder vertragliche Verhältnis
Art. 6 Abs. 1 lit. b DSGVO ist einschlägig, wenn die Verarbeitung zur Durchführung eines Vertrags erforderlich ist oder auf eine Anfrage der betroffenen Person zurückgeht, die auf den möglichen Abschluss eines Vertrags gerichtet ist.
Typische Beispiele sind:

• die Anforderung eines individuellen Angebots,
• eine konkrete Produkt- oder Preisanfrage,
• eine Anfrage zur Verfügbarkeit einer Leistung,
• die Vereinbarung eines Beratungstermins,
• eine Supportanfrage zu einem bestehenden Vertrag,
• die Klärung von Liefer-, Leistungs- oder Vertragsbedingungen.

Voraussetzung ist allerdings ein hinreichend konkreter Zusammenhang mit einem bestehenden oder zumindest angestrebten Vertragsverhältnis. Nicht jede Nachricht an eine Vertriebsabteilung ist automatisch eine vorvertragliche Maßnahme. Die Verarbeitung muss vielmehr objektiv erforderlich sein, um auf eine vom Interessenten ausgehende Vertragsanfrage zu reagieren.
Der Europäische Gerichtshof legt den Begriff der Erforderlichkeit eng aus. Eine Datenverarbeitung kann nur dann auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden, wenn sie für den Vertragszweck objektiv notwendig ist. Dass eine Verarbeitung für das Unternehmen wirtschaftlich nützlich, organisatorisch bequem oder in der Branche üblich ist, genügt nicht.
Für ein Kontaktformular bedeutet dies: Fordert eine Person beispielsweise ein Angebot für eine bestimmte Dienstleistung an, dürfen die hierfür erforderlichen Kontaktdaten regelmäßig auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO verarbeitet werden. Eine zusätzliche Einwilligung ist für die Bearbeitung dieser konkreten Anfrage grundsätzlich nicht erforderlich.

Das berechtigte Interesse
Bei allgemeinen Kontaktanfragen ohne hinreichend konkreten Vertragsbezug kann Art. 6 Abs. 1 lit. f DSGVO eine geeignete Rechtsgrundlage sein. Das berechtigte Interesse des Websitebetreibers kann darin bestehen, erreichbar zu sein, eingehende Mitteilungen zu bearbeiten, Fragen zu beantworten oder Beschwerden entgegenzunehmen.
Die Rechtsgrundlage ist jedoch kein pauschaler Auffangtatbestand. Nach der Rechtsprechung des Europäischen Gerichtshofs müssen drei Voraussetzungen erfüllt sein:
1. Der Verantwortliche oder ein Dritter verfolgt ein rechtmäßiges und gegenwärtiges Interesse.
2. Die Verarbeitung ist zur Verwirklichung dieses Interesses erforderlich.
3. Die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person überwiegen nicht.
Diese Voraussetzungen müssen für den konkreten Verarbeitungsvorgang geprüft werden. Dabei sind insbesondere der Umfang der erhobenen Daten, der Zweck der Anfrage, die vorhersehbaren Folgen der Verarbeitung und die vernünftigen Erwartungen der betroffenen Person zu berücksichtigen.
Wer selbst über ein Kontaktformular eine Nachricht versendet, muss grundsätzlich damit rechnen, dass die angegebenen Daten zur Bearbeitung und Beantwortung dieser Nachricht verwendet werden. Bei einem üblichen, auf das notwendige Maß beschränkten Kontaktformular wird die Interessenabwägung deshalb häufig zugunsten des Websitebetreibers ausfallen.
Dies gilt jedoch nicht automatisch für weitergehende Zwecke. Die Verwendung der Kontaktdaten für Werbung, Profilbildung, die Übermittlung an andere Unternehmen oder eine dauerhafte Aufnahme in Vertriebsdatenbanken ist nicht allein deshalb zulässig, weil die Daten ursprünglich über ein Kontaktformular übermittelt wurden. Für solche zusätzlichen Zwecke ist eine gesonderte rechtliche Prüfung erforderlich.
Wird Art. 6 Abs. 1 lit. f DSGVO herangezogen, sollte die Interessenabwägung nachvollziehbar dokumentiert werden. Zudem muss der konkrete berechtigte Zweck in den Datenschutzhinweisen benannt werden. Die betroffene Person ist außerdem über ihr Widerspruchsrecht nach Art. 21 DSGVO zu informieren.

Die Einwilligung
Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist möglich, aber bei einem gewöhnlichen Kontaktformular häufig weder notwendig noch die rechtlich zweckmäßigste Lösung. Sie kommt insbesondere dann in Betracht, wenn die Daten für einen zusätzlichen, nicht zur Bearbeitung der eigentlichen Anfrage erforderlichen Zweck verwendet werden sollen.
Das kann beispielsweise der Fall sein bei:

• einer freiwilligen Newsletteranmeldung,
• einer werblichen Kontaktaufnahme über die ursprüngliche Anfrage hinaus,
• der Veröffentlichung einer übermittelten Bewertung,
• einer freiwilligen Aufnahme in einen Interessentenverteiler oder
• der Verarbeitung besonderer Kategorien personenbezogener Daten, sofern Art. 9 Abs. 2 lit. a DSGVO einschlägig ist und ausdrücklich eingewilligt wird.

Eine wirksame Einwilligung muss freiwillig, zweckbezogen, informiert und eindeutig erteilt werden. Sie muss auf einer aktiven Handlung beruhen. Bereits vorausgewählte Checkboxen, bloße Untätigkeit oder missverständlich formulierte Erklärungen genügen nicht. Außerdem muss der Verantwortliche nachweisen können, dass die Einwilligung wirksam erteilt wurde.
Wird eine Checkbox verwendet, darf sie nicht vorangekreuzt sein. Der Text neben der Checkbox muss den konkreten Verarbeitungszweck verständlich beschreiben. Eine pauschale Formulierung wie „Ich stimme der Verarbeitung meiner Daten zu“ ist regelmäßig zu unbestimmt.
Problematisch ist zudem eine zwingende Einwilligung in Datenverarbeitungen, die für die Bearbeitung der Anfrage gar nicht erforderlich sind. Kann das Formular nur abgesendet werden, wenn zugleich einer werblichen Nutzung zugestimmt wird, kann die erforderliche Freiwilligkeit fehlen.
Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Über diese Widerrufsmöglichkeit muss bereits vor Erteilung der Einwilligung informiert werden. Der Widerruf muss grundsätzlich ebenso einfach möglich sein wie die Erteilung.

Keine Zustimmung zur Datenschutzerklärung verlangen
Eine häufig anzutreffende Formulierung lautet:
„Ich habe die Datenschutzerklärung gelesen und stimme ihr zu.“
Eine solche verpflichtende Checkbox ist bei einem gewöhnlichen Kontaktformular regelmäßig nicht erforderlich. Die Datenschutzerklärung erfüllt eine gesetzliche Informationsfunktion. Die betroffene Person muss über die Verarbeitung informiert werden, muss die Datenschutzhinweise aber nicht als vertragliche Bedingungen „akzeptieren“.
Sachgerechter ist ein gut sichtbarer Hinweis unmittelbar am Formular, beispielsweise:
„Informationen zur Verarbeitung Ihrer personenbezogenen Daten finden Sie in unseren Datenschutzhinweisen.“
Nur wenn tatsächlich eine Verarbeitung auf eine Einwilligung gestützt wird, sollte hierfür eine gesonderte und inhaltlich präzise Einwilligungserklärung vorgesehen werden.

Gibt es eine freie Wahl zwischen den Rechtsgrundlagen?
Zwischen den Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO besteht grundsätzlich kein allgemeines Rangverhältnis. Daraus folgt jedoch nicht, dass der Verantwortliche beliebig die für ihn bequemste Rechtsgrundlage auswählen darf.
Die tatsächlichen Voraussetzungen der gewählten Rechtsgrundlage müssen objektiv erfüllt sein. Eine rein allgemeine Anfrage ohne Vertragsbezug kann nicht allein deshalb auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden, weil der Websitebetreiber langfristig auf einen Vertragsabschluss hofft. Ebenso wenig darf vorsorglich eine Einwilligung verlangt werden, wenn die Verarbeitung bereits zur Erfüllung einer konkreten Anfrage erforderlich ist.
Der Europäische Gerichtshof hat in der Rechtssache C-394/23 klargestellt, dass nicht zusätzlich geprüft werden muss, ob noch eine weitere Rechtsgrundlage eingreifen könnte, wenn die Verarbeitung bereits auf einer der Rechtsgrundlagen des Art. 6 Abs. 1 lit. b bis f DSGVO erforderlich und rechtmäßig ist. Daraus ergibt sich aber kein freies Wahlrecht unabhängig von den gesetzlichen Voraussetzungen. Vielmehr muss mindestens eine Rechtsgrundlage vollständig und nachweisbar erfüllt sein.
Die Rechtsgrundlage sollte daher vor Beginn der Verarbeitung bestimmt und in den Datenschutzhinweisen zutreffend angegeben werden. Ein nachträglicher Wechsel der Rechtsgrundlage ist rechtlich problematisch, insbesondere wenn dadurch die ursprünglichen Erwartungen der betroffenen Person oder deren Rechte beeinträchtigt werden.

Datenminimierung: Nur notwendige Angaben abfragen
Auch bei einer tragfähigen Rechtsgrundlage dürfen nicht beliebig viele Daten erhoben werden. Nach Art. 5 Abs. 1 lit. c DSGVO müssen personenbezogene Daten angemessen, erheblich und auf das für den jeweiligen Zweck notwendige Maß beschränkt sein.
Bei einem allgemeinen Kontaktformular reichen häufig folgende Angaben aus:

• eine Kontaktmöglichkeit, insbesondere eine E-Mail-Adresse,
• ein Nachrichtenfeld,
• gegebenenfalls ein Betreff oder eine Themenauswahl.

Ob der Name, die Telefonnummer, die Anschrift, das Unternehmen oder die Position innerhalb eines Unternehmens zwingend erforderlich sind, muss für jedes Feld gesondert beurteilt werden. Nicht zwingend benötigte Angaben sollten als freiwillig gekennzeichnet werden.
Insbesondere Telefonnummer, Geburtsdatum, vollständige Postanschrift oder Unternehmensfunktion sollten nicht ohne konkreten Grund als Pflichtfelder ausgestaltet werden. Der Europäische Gerichtshof hat wiederholt hervorgehoben, dass die Erforderlichkeit einer Datenverarbeitung nicht allein aus Praktikabilität oder üblichen Geschäftspraktiken abgeleitet werden kann.

Vorsicht bei Freitextfeldern und sensiblen Daten
In Freitextfeldern können Nutzer unbeabsichtigt Gesundheitsdaten, Angaben zur ethnischen Herkunft, religiöse oder politische Überzeugungen, Gewerkschaftszugehörigkeiten oder andere besondere Kategorien personenbezogener Daten eintragen.
Für die Verarbeitung solcher Daten reicht eine Rechtsgrundlage nach Art. 6 DSGVO allein nicht aus. Zusätzlich muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen. Allgemeine Kontaktformulare sollten daher nicht gezielt zur Übermittlung sensibler Informationen auffordern, sofern diese für den vorgesehenen Zweck nicht erforderlich sind.
Je nach Anwendungsbereich kann ein Hinweis sinnvoll sein, keine vertraulichen Gesundheitsdaten, Zugangsdaten, Zahlungsinformationen oder sonstigen besonders schutzbedürftigen Angaben in das freie Nachrichtenfeld einzutragen.

Informationspflichten nach Art. 13 DSGVO
Zum Zeitpunkt der Datenerhebung müssen die Nutzer transparent über die Verarbeitung informiert werden. Die Datenschutzhinweise sollten insbesondere folgende Angaben enthalten:

• Name und Kontaktdaten des Verantwortlichen,
• gegebenenfalls Kontaktdaten des Datenschutzbeauftragten,
• Zweck der Verarbeitung,
• einschlägige Rechtsgrundlage,
• bei Art. 6 Abs. 1 lit. f DSGVO das verfolgte berechtigte Interesse,
• Empfänger oder Kategorien von Empfängern,
• mögliche Übermittlungen in Drittländer,
• vorgesehene Speicherdauer oder Kriterien für ihre Festlegung,
• Betroffenenrechte,
• Widerspruchs- und Widerrufsmöglichkeiten,
• Beschwerderecht bei einer Datenschutzaufsichtsbehörde,
• Angaben dazu, ob die Bereitstellung bestimmter Daten erforderlich ist.

Die Informationen sollten unmittelbar am Formular erreichbar und in klarer, verständlicher Sprache formuliert sein.

Speicherdauer und Löschung
Kontaktdaten dürfen nicht unbegrenzt gespeichert werden. Die über das Formular eingegangenen Informationen sind grundsätzlich zu löschen, sobald die Anfrage abschließend bearbeitet wurde und keine nachvollziehbaren Gründe für eine weitere Aufbewahrung bestehen.
Eine längere Speicherung kann beispielsweise erforderlich sein, wenn:

• sich aus der Anfrage ein Vertragsverhältnis entwickelt,
• gesetzliche Aufbewahrungspflichten eingreifen,
• Gewährleistungs- oder Haftungsfragen bestehen,
• die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.

Die Speicherdauer sollte nach dem jeweiligen Zweck differenziert werden. Eine pauschale unbegrenzte Speicherung sämtlicher Kontaktanfragen ist mit dem Grundsatz der Speicherbegrenzung nicht vereinbar.

Technische und organisatorische Sicherheit
Kontaktformulare müssen so betrieben werden, dass die übermittelten Daten angemessen geschützt sind. Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die sich am jeweiligen Risiko orientieren.
Zu den regelmäßig zu prüfenden Maßnahmen gehören:

• eine verschlüsselte Übertragung über HTTPS,
• eine sichere serverseitige Verarbeitung,
• angemessene Zugriffs- und Berechtigungskonzepte,
• Schutz vor unbefugtem Zugriff und automatisierten Angriffen,
• regelmäßige Aktualisierung der eingesetzten Software,
• sichere Protokollierung und Fehlerbehandlung,
• geregelte Lösch- und Aufbewahrungsprozesse,
• Schutz der Empfängerpostfächer und nachgelagerten Systeme.

Werden externe Formular-, Hosting-, CRM- oder Helpdesk-Dienstleister eingesetzt, muss außerdem geprüft werden, ob eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt. Bei Anbietern außerhalb des Europäischen Wirtschaftsraums sind zusätzlich die Anforderungen für Drittlandübermittlungen zu beachten.

Fazit
Für ein gewöhnliches Kontaktformular ist eine Einwilligung nicht automatisch erforderlich. Maßgeblich ist der konkrete Verarbeitungszweck:

• Konkrete Vertrags-, Angebots- oder Leistungsanfragen können regelmäßig auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden.
• Allgemeine Mitteilungen und Anfragen ohne Vertragsbezug kommen häufig für Art. 6 Abs. 1 lit. f DSGVO in Betracht.
• Freiwillige Zusatzverarbeitungen, insbesondere Newsletter oder weitergehende Werbung, können eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erfordern.

Die Rechtsgrundlage darf nicht allein nach praktischer Bequemlichkeit gewählt werden. Sie muss zum tatsächlichen Zweck der Verarbeitung passen und bereits vor der Datenerhebung feststehen. Darüber hinaus sind insbesondere Datenminimierung, transparente Datenschutzhinweise, angemessene Löschfristen und eine sichere technische Umsetzung zu gewährleisten.
Ein rechtssicher gestaltetes Kontaktformular benötigt daher nicht möglichst viele Checkboxen. Entscheidend sind vielmehr eine klare Zweckbestimmung, die zutreffende Rechtsgrundlage und eine datenschutzfreundliche technische und organisatorische Gestaltung.