Die DSGVO ist das Datenschutzgesetz für Europa. Wenn dein Formular irgendwelche Angaben von Besuchern in der Europäischen Union erfasst, selbst nur die E-Mail-Adresse, gilt die DSGVO für dich. Das betrifft nicht nur grosse Unternehmen oder bestimmte Branchen. Die DSGVO gilt für jedes Unternehmen auf der Welt, das Daten von Menschen mit Wohnsitz in Europa erhebt, und die Strafen bei Verstössen sind hart.
DSGVO und Einwilligung im Formular sind die rechtlichen Regeln dafür, welche Daten du von EU-Besuchern erheben darfst, wie du danach fragst und was du damit machst. Diese Regeln musst du verstehen, bevor du ein Formular baust, das Daten von Menschen in Europa sammelt.
Das lernst du: Was die DSGVO ist und für wen sie gilt, was rechtliche Einwilligung bedeutet, wie du Formularfelder und Checkboxen so aufbaust, dass sie die DSGVO erfüllen, und was passiert, wenn du dich nicht daran hältst.
Was ist die DSGVO, und gilt sie für deine Formulare?
Die DSGVO (Datenschutz-Grundverordnung) ist ein Gesetz der Europäischen Union, das regelt, wie Organisationen personenbezogene Daten erheben, speichern und nutzen. Sie gilt für jedes Unternehmen auf der Welt, das Angaben von Menschen mit Wohnsitz in der EU erhebt.
Deine Formulare fallen unter die DSGVO, wenn:
- Du Besucher aus der EU hast und dein Formular Angaben von ihnen erfasst
- Du E-Mail-Adressen, Namen, Telefonnummern, IP-Adressen oder andere identifizierende Angaben erhebst
- Du Angaben über Menschen mit Wohnsitz in der EU erhebst, auch wenn du nicht in der EU sitzt
Es spielt keine Rolle, ob dein Unternehmen gross oder klein ist, in welcher Branche du arbeitest oder ob du etwas verkaufst. Wenn du Daten von Menschen mit Wohnsitz in der EU erhebst, gilt die DSGVO.
Was verlangt die DSGVO von Formularen?
Die DSGVO legt mehrere konkrete Regeln für Formulare fest, die Daten erheben:
Transparenz: Sag Besuchern, was du erhebst
Bevor jemand dein Formular ausfüllt, muss er wissen, welche Daten du erhebst und warum. Du musst klar informieren über:
- Welche Daten du erhebst (E-Mail, Name usw.)
- Was du damit tust (E-Mails senden, in eine Mailingliste aufnehmen, für künftigen Kontakt speichern)
- Wer Zugriff darauf hat (dein Team, Dienste von Dritten usw.)
- Wie lange du sie aufbewahrst
Diese Informationen sollten für Besucher sichtbar sein, bevor sie das Formular absenden. Eine verlinkte Datenschutzerklärung reicht nicht. Du musst die wichtigsten Informationen direkt auf der Formularseite oder über dem Formular selbst angeben.
Einwilligung: Frag ausdrücklich, nimm nichts an
Für die meisten Datenerhebungen brauchst du die ausdrückliche Einwilligung des Besuchers. Er muss aktiv deinen Bedingungen zustimmen. Ein Kästchen anzuhaken ist eine Einwilligung. Schweigen nicht.
Das ist anders als vor der DSGVO. Du kannst nicht davon ausgehen, dass jemand, der ein Formular zur Kontaktaufnahme gesendet hat, automatisch auch in deine Marketing-Mailingliste aufgenommen werden will. Jede Nutzung der Daten braucht eine eigene Einwilligung.
Die Einwilligung muss freiwillig sein
Die Einwilligung darf keine Bedingung für die Nutzung deines Angebots sein, wenn die Daten dafür nicht nötig sind. Wenn jemand zum Beispiel ein Kontaktformular ausfüllt, um eine Frage zu stellen, brauchst du seine E-Mail, um zu antworten. Dafür brauchst du keine Einwilligung, weil es nötig ist. Wenn du ihn aber in deinen Marketing-Newsletter aufnehmen willst, ist das freiwillig, und du brauchst eine ausdrückliche Einwilligung.
Der Einwilligungsmechanismus selbst muss klar sein
Wenn du für die Einwilligung eine Checkbox nutzt, muss sie leer beginnen. Besucher müssen sie aktiv anhaken. Vorausgewählte Kästchen zählen nicht als Einwilligung. Die Sprache muss klar und einfach sein und darf nicht in Juristendeutsch versteckt sein.
Formulare für die Einwilligung nach DSGVO aufbauen
Notwendige und freiwillige Daten
Trenne zuerst die Daten, die du unbedingt brauchst, von denen, die freiwillig sind:
- Notwendig: Angaben, die du brauchst, um die Anfrage zu erfüllen (E-Mail, um auf ein Kontaktformular zu antworten, Adresse, um eine Bestellung zu versenden)
- Freiwillig: Angaben, die du für Marketing oder Analysen willst (über welchen Kanal kam die Person, was ist ihre Berufsbezeichnung)
Kennzeichne freiwillige Felder deutlich mit "(freiwillig)", damit Besucher wissen, dass sie sie nicht ausfüllen müssen.
Getrennte Einwilligungs-Checkboxen
Wenn du Daten für mehrere Zwecke nutzen willst, nutze getrennte Checkboxen. Eine für "Ich bin einverstanden, per E-Mail kontaktiert zu werden" und eine andere für "Ich bin einverstanden, Marketing-E-Mails zu erhalten." Fass sie nicht in einer Checkbox zusammen.
<label> <input type="checkbox" name="contact_consent" required> Du bist damit einverstanden, dass wir dich kontaktieren, um auf diese Anfrage zu antworten </label> <label> <input type="checkbox" name="marketing_consent"> Ich bin einverstanden, Marketing-E-Mails zu neuen Produkten und Sonderangeboten zu erhalten </label>Beachte: Die erste Checkbox ist Pflicht (für die Leistung nötig), aber standardmässig leer. Die zweite ist freiwillig (Marketing ist nicht nötig) und ebenfalls standardmässig leer.
Klare, lesbare Einwilligungstexte
Der Text der Checkbox muss klar und konkret sein. Allgemeine Sätze wie "Ich stimme deinen Geschäftsbedingungen zu" erfüllen die DSGVO nicht. Sei konkret, wozu der Besucher zustimmt.
Schlecht: "Ich stimme zu"
Besser: "Ich bin einverstanden, Marketing-E-Mails zu erhalten"
Am besten: "Ich bin einverstanden, etwa zweimal im Monat Marketing-E-Mails zu Produkten und Angeboten zu erhalten"
Je konkreter, desto besser. Sag Besuchern genau, wozu sie einwilligen.
Verlinke deine Datenschutzerklärung
Setze nach den Einwilligungs-Checkboxen einen Link zu deiner vollständigen Datenschutzerklärung. So können Besucher, wenn sie wollen, alle Einzelheiten lesen, wie du mit ihren Daten umgehst.
<p>Mit dem Absenden dieses Formulars stimmst du unserer <a href="/glossar/datenschutzerklaerung">Datenschutzerklärung</a> zu.</p>Datenspeicherung und DSGVO
Die DSGVO verlangt auch, dass du personenbezogene Daten nur so lange behältst, wie es nötig ist. Du musst eine Richtlinie zur Aufbewahrung festlegen und einhalten.
- Wie lange bewahrst du Einsendungen von Kontaktformularen auf? (30 Tage? 6 Monate? Bis die Anfrage erledigt ist?)
- Wie lange behältst du Menschen auf einer Marketing-Mailingliste? (Bis sie sich abmelden?)
- Wie lange bewahrst du Kundendaten nach einem Kauf auf? (7 Jahre für steuerliche Unterlagen, dann löschen)
Dokumentiere deine Aufbewahrungsrichtlinie und setze sie durch. Richte einen Zeitplan ein, um alte Einsendungen und Daten automatisch zu löschen.
Rechte, die die DSGVO betroffenen Personen gibt
Wenn jemand ein Formular auf deiner Website sendet, hat er nach der DSGVO Rechte:
- Auskunftsrecht: Er kann fragen, welche Daten du über ihn hast
- Recht auf Vergessenwerden: Er kann verlangen, dass du seine Daten löschst (mit Ausnahmen, etwa bei steuerlichen Unterlagen)
- Recht auf Berichtigung: Er kann verlangen, dass du falsche Daten korrigierst
- Recht auf Datenübertragbarkeit: Er kann verlangen, dass du ihm seine Daten in einem übertragbaren Format gibst
- Recht auf Widerruf der Einwilligung: Er kann seine Einwilligung zu Marketing-E-Mails oder anderen Nutzungen jederzeit widerrufen
Du solltest darauf vorbereitet sein, diese Anfragen zu bearbeiten. Das heisst meist: Es gibt einen Weg, wie Menschen diese Anfragen stellen können (eine E-Mail-Adresse, ein Formular usw.), und eine Möglichkeit, innerhalb von 30 Tagen zu antworten.
DSGVO-Bussgelder und Folgen
Verstösse gegen die DSGVO haben erhebliche Strafen:
- Bis zu 20 Millionen Euro oder 4 % deines weltweiten Jahresumsatzes (je nachdem, was höher ist) bei den schwersten Verstössen
- Bis zu 10 Millionen Euro oder 2 % des Umsatzes bei weniger schweren Verstössen
- In der Praxis drohen selbst kleinen Unternehmen sechsstellige Bussgelder bei Datenpannen oder Verstössen gegen die Einwilligung
Neben Bussgeldern kann ein DSGVO-Verstoss deinem Ruf schaden, dich Kunden kosten und rechtliche Haftung schaffen, wenn Daten missbraucht werden.
DSGVO-Checkliste für Formulare
- [ ] Du weisst, welche Daten du erhebst
- [ ] Du hast eine klare Datenschutzerklärung
- [ ] Du zeigst die wichtigsten Datenschutzinformationen über oder im Formular an
- [ ] Alle Checkboxen sind zu Beginn leer
- [ ] Einwilligungs-Checkboxen nutzen klare, konkrete Sprache
- [ ] Du hast getrennte Checkboxen für getrennte Nutzungen der Daten (Kontakt vs. Marketing)
- [ ] Dein Formular erklärt die Aufbewahrung (wie lange du Einsendungen behältst)
- [ ] Du hast eine Aufbewahrungsrichtlinie und setzt sie durch (alte Daten löschen)
- [ ] Du hast einen Ablauf, mit dem Menschen Auskunft, Löschung oder Berichtigung ihrer Daten verlangen können
- [ ] Du kannst Menschen leicht von Marketing-E-Mails abmelden
- [ ] Du weisst, wo Besucherdaten gespeichert sind und wer Zugriff darauf hat
Was WEMASY für die DSGVO-Konformität tut
WEMASY-Formulare enthalten Funktionen zur Verwaltung von Einwilligungen, die dir helfen, die DSGVO einzuhalten. Du kannst deinen Formularen Einwilligungs-Checkboxen hinzufügen, und WEMASY hält fest, welchen Optionen jeder Besucher zugestimmt hat. Einsendungen enthalten Zeitstempel, damit du weisst, wann die Einwilligung gegeben wurde. Die Aufbewahrung regelst du selbst, indem du alte Einsendungen löschst, die du nicht mehr brauchst.
Deine Marke braucht trotzdem eine Datenschutzerklärung und muss entscheiden, wie sie mit Auskunftsanfragen umgeht, aber WEMASY übernimmt die technische Grundlage für Einwilligung und Datenverwaltung.
Mehr zu den Compliance-Funktionen in deinem Tarif findest du auf der Preisseite.