Was Du für Dein Kontaktformular in der Datenschutzerklärung beachten musst

Aktualisiert am 10. August 2026

Abmahnfalle: Kontaktformular und Registrierung auf Deiner Website

von Rechtsanwalt Dr. Ronald Kandelhard

Was der Datenschutzgenerator verschweigt: Verschlüsselung, Rechtsgrundlage und Information beim Kontaktformular

Melden sich Nutzer auf Deiner Website für einen geschlossenen Mitgliederbereich an, registrieren sie sich für besondere Dienste oder füllen sie ein Kontaktformular aus, sind vielfache Anforderungen des Datenschutzes zu beachten. Es reicht nicht aus, wenn Du einfach in der Datenschutzerklärung darauf hinweist, wie diese Daten verwendet werden.

Kurz gesagt — die vier Punkte, auf die es ankommt:

• Verschlüsselung: TLS (https://) ist Pflicht. Die tragende Norm ist Art. 32 DSGVO, nicht das TDDDG.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Eine Einwilligung brauchst Du in aller Regel nicht.
• Checkbox: rechtlich nicht erforderlich — und in der üblichen Form ("Ich habe die Datenschutzerklärung gelesen") sogar eher schädlich.
• Information: Art. 13 DSGVO. Ein gut sichtbarer Link auf die Datenschutzerklärung genügt, am besten mit Sprungmarke.

Achtung: Seit dem 04.10.2024 können Mitbewerber Datenschutzverstöße wettbewerbsrechtlich abmahnen (EuGH C-21/23). Das ist die eigentliche Risikoverschiebung gegenüber der Rechtslage, als dieser Beitrag zuerst erschien. Dazu unten Abschnitt 6.

1. Verschlüsselung

Hier stand in der ursprünglichen Fassung dieses Beitrags eine falsche Norm — und die kursiert bis heute in vielen Ratgebern. Deshalb der Punkt ausführlich.

Nicht § 25 TDDDG. § 25 TDDDG regelt den Schutz der Endeinrichtungen, also die Einwilligung für Cookies und vergleichbare Zugriffe auf das Gerät des Nutzers. Mit Verschlüsselung hat die Vorschrift nichts zu tun.

Sondern § 19 Abs. 4 TDDDG. Die Nachfolgevorschrift des früheren § 13 Abs. 7 TMG ist § 19 TDDDG. Dort heißt es in Absatz 4 Satz 3 ausdrücklich:

"Eine Vorkehrung nach Satz 1 ist insbesondere die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens."

Dass § 19 die Nachfolge von § 13 Abs. 7 TMG antritt, steht so in der Gesetzesbegründung (BT-Drs. 19/27441).

Achte auf zwei Einschränkungen, die gern unterschlagen werden: § 19 Abs. 4 TDDDG gilt nur für geschäftsmäßig angebotene digitale Dienste, und er steht unter dem Vorbehalt "soweit dies technisch möglich und wirtschaftlich zumutbar ist". Verschlüsselung ist dort ein Regelbeispiel, keine starre Pflicht.

Und das Bußgeld? Auch hier hatte die alte Fassung dieses Beitrags eine zu große Zahl. Der Bußgeldkatalog steht in § 28 TDDDG. Rechne selbst nach:

Merke: Die 300.000 Euro, die im Zusammenhang mit Kontaktformularen oft genannt werden, gehören zur Cookie-Vorschrift — nicht zur Verschlüsselung. Der eigentliche Hebel gegen unverschlüsselte Formulare ist Art. 32 DSGVO. Dort ist die Verschlüsselung in Absatz 1 lit. a ausdrücklich als Maßnahme genannt, und der Bußgeldrahmen ist um Größenordnungen höher.

Heißt für dich: Können auf Deiner Website personenbezogene Daten eingegeben werden, muss die entsprechende Seite mit TLS verschlüsselt sein (https://). Das ist heute technisch trivial — kostenlose Zertifikate sind Standard, jeder gängige Hoster liefert sie mit. Da verschlüsselte Seiten auch beim Ranking bevorzugt werden, gibt es ohnehin keinen Grund, darauf zu verzichten.

Rat: Prüfe nicht nur die Startseite. Es kommt regelmäßig vor, dass die Hauptdomain sauber verschlüsselt ist, ein altes Formular auf einer Unterseite aber noch über http läuft oder Inhalte unverschlüsselt nachlädt (Mixed Content). Genau solche Seiten findet ein Abmahner mit einem Crawler in Sekunden.

2. Rechtsgrundlage: Brauchst Du eine Einwilligung?

In der Regel nicht — und das ist der Punkt, an dem die meisten Generatoren und Ratgeber danebenliegen.

• Art. 6 Abs. 1 lit. b DSGVO trägt die Verarbeitung, wenn die Anfrage auf einen Vertrag zielt oder vorvertraglicher Natur ist. Also bei der klassischen Angebotsanfrage, der Terminbuchung, der Registrierung für einen Dienst.
• Art. 6 Abs. 1 lit. f DSGVO trägt die allgemeine Kontaktanfrage, die keinen Vertragsbezug hat. Dein berechtigtes Interesse ist es, auf Anfragen antworten zu können.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) ist für ein einfaches Kontaktformular nicht der Regelfall.

Wichtig: Anders liegt es, wenn Du die Adresse anschließend für Werbung verwenden willst. Dann brauchst Du eine echte Einwilligung, und zwar nach den Regeln des Double Opt-in: aktives Anhaken plus Bestätigungsmail. Aber wirklich nur dann. Dient das Formular allgemeinen Anfragen oder dem Support, ist ein Opt-in nicht erforderlich.

3. Die "Ich habe die Datenschutzerklärung gelesen"-Checkbox

Weit verbreitet, rechtlich nicht erforderlich — und bei näherem Hinsehen eher ein Problem als eine Absicherung.

Warum sie nicht nötig ist: Art. 13 DSGVO verlangt, dass Du informierst. Er verlangt nicht, dass der Nutzer die Information bestätigt. Eine Kenntnisnahme ist keine Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO.

Warum sie schaden kann: Die Checkbox suggeriert, die Verarbeitung beruhe auf einer Einwilligung. Tut sie aber nicht — sie beruht auf lit. b oder lit. f. Damit entsteht ein Widerspruch zwischen dem, was Du dem Nutzer signalisierst, und dem, was in Deiner Datenschutzerklärung als Rechtsgrundlage steht. Widerruft der Nutzer später "seine Einwilligung", müsstest Du erklären, warum die Verarbeitung trotzdem weiterläuft. Das ist eine unnötige Angriffsfläche.

Rat: Statt einer Bestätigungs-Checkbox lieber ein schlichter, gut sichtbarer Hinweissatz direkt am Formular mit Link auf die Datenschutzerklärung. Das erfüllt Art. 13 DSGVO und erzeugt keine Scheineinwilligung.

Anders ist es, wenn Du im selben Formular ein Newsletter-Opt-in anbietest. Dann gehört dort eine eigene, nicht vorangekreuzte Checkbox hin, die ausschließlich die Werbeeinwilligung betrifft — getrennt von der Kontaktanfrage.

4. IP-Adressen und die Kommentarfunktion

Man findet immer wieder den Hinweis, die Kommentarfunktion von WordPress müsse anonymisiert werden, weil sie standardmäßig die IP-Adresse speichert.

Richtig ist: Die dynamische IP-Adresse ist für den Websitebetreiber ein personenbezogenes Datum, wenn er über rechtliche Mittel verfügt, sie einer Person zuordnen zu lassen (EuGH, Urt. v. 19.10.2016, C-582/14 "Breyer"). Der EuGH hat diesen relativen Ansatz zuletzt bestätigt: Maßgeblich ist die Perspektive der konkret verarbeitenden Stelle und ob sie mit vernünftigerweise verfügbaren Mitteln re-identifizieren kann (EuGH, Urt. v. 04.09.2025, C-413/23 P).

Daraus folgt aber gerade kein Anonymisierungszwang. Die Speicherung zur Abwehr von Spam und Angriffen lässt sich auf Art. 6 Abs. 1 lit. f DSGVO stützen; Erwägungsgrund 49 DSGVO nennt die Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse. Und Spam in Kommentaren ist so verbreitet, dass eine zeitlich begrenzte Speicherung sachlich gut begründbar ist.

Merke: Nicht die Speicherung ist das Problem, sondern die fehlende Begrenzung. Lege eine Löschfrist fest, dokumentiere sie und schreib sie in die Datenschutzerklärung. Eine Anonymisierung ist nicht zwingend, für Vorsichtige aber weiterhin eine saubere Lösung.

5. Informationen zur Nutzung der Daten

Bei einem Kontaktformular musst Du angeben, zu welchem Zweck die Daten verwendet werden — etwa allein zur Beantwortung einer Support-Anfrage. Das folgt heute unmittelbar aus Art. 13 DSGVO.

Der Hinweis muss nicht vollständig neben dem Formular stehen. Es genügt ein Link auf die Datenschutzerklärung, die ihrerseits genauer angibt, wie die Daten verwendet werden. Sinnvoll ist, diesen Verweis mit einer Sprungmarke direkt auf die einschlägige Stelle zu setzen.

Dieser Tipp hat inzwischen Rückendeckung von den Aufsichtsbehörden: Die Datenschutzkonferenz verlangt in ihrer Orientierungshilfe für Anbieter digitaler Dienste (Version 1.2, Stand November 2024), dass Nutzende nicht erst eine Datenschutzerklärung aufrufen und dann darin zur richtigen Stelle scrollen müssen.

Heißt für dich: Ein Link mit dem Text "Datenschutz" ganz unten im Footer reicht nicht. Ein Satz am Formular mit einem Link, der direkt zum Abschnitt "Kontaktformular" springt, ist die saubere Umsetzung.

Zwei ältere Entscheidungen, die in diesem Zusammenhang oft zitiert werden — OLG Köln, Urt. v. 11.03.2016, Az. 6 U 121/15, und LG Berlin, Urt. v. 04.02.2016, Az. 52 O 394/15 — stützten sich noch auf § 13 TMG. Diese Norm gibt es nicht mehr: Das TMG ist mit Beginn des 14.05.2024 vollständig außer Kraft getreten und durch das Digitale-Dienste-Gesetz (DDG) abgelöst worden. Die Frage der Abmahnbarkeit beantwortet sich heute anders — und zwar so:

6. Neu und wichtig: Mitbewerber dürfen Datenschutzverstöße abmahnen

Das ist die größte Änderung seit der ersten Fassung dieses Beitrags.

EuGH, Urteil vom 04.10.2024, C-21/23 ("Lindenapotheke"): Die DSGVO steht einer nationalen Regelung nicht entgegen, die Mitbewerbern erlaubt, wegen Datenschutzverstößen wettbewerbsrechtlich vorzugehen. Der BGH hat das mit Urteilen vom 27.03.2025 (I ZR 222/19 und I ZR 223/19) für das deutsche Recht umgesetzt.

Wichtig — das heißt nicht, dass jetzt jeder Datenschutzverstoß abmahnfähig ist. Es bleibt bei den Voraussetzungen des UWG: Die verletzte Norm muss eine Marktverhaltensregelung sein (§ 3a UWG), und der Verstoß muss spürbar sein. Aber die Tür, die viele Gerichte jahrelang zugehalten hatten, ist damit auf.

Dazu kommt die Schadensersatz-Linie:

• EuGH, Urt. v. 04.05.2023, C-300/21: Der bloße Verstoß genügt nicht, es braucht einen tatsächlichen Schaden — aber es gibt keine Erheblichkeitsschwelle.
• EuGH, Urt. v. 14.12.2023, C-340/21: Auch die begründete Befürchtung eines künftigen Missbrauchs kann ein ersatzfähiger immaterieller Schaden sein. Die Darlegungslast für die Geeignetheit der technischen Maßnahmen liegt beim Verantwortlichen.
• BGH, Urt. v. 18.11.2024, VI ZR 10/24: Schon der kurzzeitige Verlust der Kontrolle über eigene Daten ist ein immaterieller Schaden. Einen Betrag hat der BGH nicht zugesprochen, aber ausgeführt, dass gegen eine Größenordnung von rund 100 Euro für den bloßen Kontrollverlust von Rechts wegen keine Bedenken bestehen.

Heißt für dich: Das Risiko liegt heute nicht mehr in erster Linie beim Bußgeld der Aufsichtsbehörde, sondern bei Mitbewerbern und bei Betroffenen. Und beides skaliert: Ein Formularfehler betrifft nicht einen Nutzer, sondern alle.

7. Umsetzung in der Datenschutzerklärung

Sämtliche dieser Anforderungen sind anschließend in der Datenschutzerklärung abzubilden. Für jede konkrete Nutzung muss angegeben werden, wofür die Daten verwendet werden, auf welcher Rechtsgrundlage und wie lange sie gespeichert bleiben.

Das ist nicht nur von Website zu Website unterschiedlich, sondern sogar von Formular zu Formular. Ein Kontaktformular ist etwas anderes als eine Webinar-Anmeldung und wieder etwas anderes als die Registrierung für einen Mitgliederbereich. Genau deshalb löst ein reiner Generator dieses Thema oft nicht sauber — er kennt Deine Zwecke nicht.

Eine Checkliste für den Durchgang:

• Läuft jede Seite mit Formular über https, ohne Mixed Content?
• Ist die Rechtsgrundlage je Formular benannt (lit. b oder lit. f), und stimmt sie mit dem überein, was am Formular steht?
• Steht am Formular ein Hinweis mit Sprungmarke in die Datenschutzerklärung?
• Gibt es eine Löschfrist — und hält sie jemand ein?
• Wird die Adresse für Werbung genutzt? Dann getrenntes, nicht vorangekreuztes Opt-in plus Bestätigungsmail.
• Läuft ein Spam-Schutz oder Captcha mit, das Cookies setzt oder Daten an Dritte sendet? Dann ist zusätzlich § 25 TDDDG im Spiel — und dort geht es dann tatsächlich um Einwilligung.

Mehr zur DSGVO auf der Website findest Du hier. Wie Du eine vollständige Datenschutzerklärung aufbaust, steht in diesem Beitrag. Warum die "Ich habe die Datenschutzerklärung gelesen"-Checkbox mehr schadet als nützt, habe ich hier ausführlich aufgeschrieben.

Stand: 09.08.2026

Wichtiger Hinweis: Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Bei konkreten Fragen zu Deiner Website wende Dich an einen Fachanwalt für IT-Recht.

Dr. Ronald Kandelhard, Rechtsanwalt und Mediator. Ronald war lange Zeit an der Universität, in der Rechtsberatung von Staaten und als Rechtsanwalt tätig. Jetzt entwickelt er mit seinem Startup Paragraf7 automatisierte Lösungen für rechtliche Probleme von Unternehmen.