Kontaktformular nur mit Einwilligung?
I. Einleitung und Problemaufriss
Kontaktformulare sind auf nahezu jeder Website zu finden und datenschutzrechtlich in mehrfacher Hinsicht relevant. Im Mittelpunkt steht regelmäßig die Frage nach einer tragfähigen Rechtsgrundlage für die Verarbeitung der übermittelten personenbezogenen Daten. Häufig wird hierfür eine Einwilligung angenommen und per Checkbox eingeholt.
Ähnlich stellt sich die Situation bei der Kontaktaufnahme per E-Mail dar. Auch hier stützen Verantwortliche die Verarbeitung nicht selten auf eine (vermeintlich konkludente) Einwilligung. Allerdings kommen rein rechtlich neben der Einwilligung regelmäßig eher andere Rechtsgrundlagen in Betracht und in der Praxis erscheint die Einwilligung nicht die zu empfehlende Option zu sein.
II. Mögliche Rechtsgrundlagen
Verantwortlichen aus dem Privatsektor stehen in der Regel drei Optionen zur Verfügung, wenn sie Daten verwenden möchten, die Betroffene in ein Kontaktformular eingeben oder mit diesem übermitteln.
Die erste Option ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Dabei ist zu beachten, dass weder das bloße Absenden des Formulars noch die Verwendung einer E-Mail-Adresse als Einwilligung im Sinne der DSGVO zu qualifizieren sind.¹ Eine separate Checkbox, die die betroffene Person aktiv ankreuzen muss, wäre in der Regel zwar ausreichend. Jedoch muss für eine wirksame Einwilligung auch beachtet werden, dass diese freiwillig zu erteilen ist. Die betroffene Person muss die Wahl haben, ob sie ihre Einwilligung erteilt, und sie muss diese auch verweigern können, ohne dabei Nachteile zu erleiden.² Diese Voraussetzung ist im Kontext von Kontaktformularen nicht erfüllt, wenn die Person keine Möglichkeit hat, den Verantwortlichen zu kontaktieren, ohne eine Einwilligung zu erteilen. Zudem muss aus dem beizufügenden Einwilligungstext klar erkennbar sein, in welche konkrete Verarbeitung die betroffene Person einwilligt und darüber informiert werden, dass ein Widerrufsrecht besteht.
Die zweite Option sind die Interessenabwägung und das berechtigte Interesse des Verantwortlichen nach Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht hierbei vor allem in der Beantwortung von Anfragen, die durch Betroffene selbst initiiert wurden. Die Verarbeitung ist für diese Kommunikation auch zwingend erforderlich. Erwägungsgrund 47 DSGVO hebt im Kontext von Art. 6 Abs. 1 lit. f DSGVO zwei Aspekte hervor: Die Verarbeitung muss den vernünftigen Erwartungen der betroffenen Person entsprechen und für sie absehbar sein. Bei Kontaktformularen ist den Betroffenen regelmäßig klar, dass die Angaben zur Kommunikation verarbeitet werden. Wer die Kontaktaufnahme selbst initiiert, muss mit dieser zweckbezogenen Verarbeitung auch rechnen.
Darüber hinaus können Verantwortliche in bestimmten Konstellationen auf die Anbahnung oder Durchführung eines Vertrags nach Art. 6 Abs. 1 lit. b DSGVO zurückgreifen. Diese Rechtsgrundlage kann beispielsweise einschlägig sein, wenn das Kontaktformular auf einer Produktseite bereitgestellt wird und etwa für Verfügbarkeits- oder Preisanfragen vorgesehen ist. Auch die Kontaktaufnahme mit einer Vertriebsabteilung, die auf den Abschluss eines Vertrags oder diesbezügliche Verhandlungen gerichtet ist, dürfte von Art. 6 Abs. 1 lit. b DSGVO erfasst sein.
Im öffentlichen Bereich scheidet die Berufung auf berechtigte Interessen in der Regel aufgrund der Vorgabe in Art. 6 Abs. 1 S. 2 DSGVO aus. Stattdessen besteht die Möglichkeit, entsprechende Verarbeitungen auf Art. 6 Abs. 1 lit. e DSGVO zu stützen, soweit es um die Wahrnehmung einer gesetzlich übertragenen Aufgabe (wie z. B. die Beratungs- und Auskunftspflicht nach § 25 VwVfG) geht.
III. Wahl der richtigen Rechtsgrundlage
Immer wieder begegnet einem die Auffassung, im Zweifel sei die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO vorzuziehen. Die dogmatische Herleitung hat ihre Wurzeln unter anderem in der Entscheidung des Europäischen Gerichtshofs in der Rechtssache Koninklijke Nederlandse Lawn Tennisbond. ³ Dort prüfte der Gerichtshof zunächst das Vorliegen einer Einwilligung und wendete sich erst im zweiten Schritt anderen Rechtsgrundlagen zu. Daraus folgt aber nicht automatisch ein „Vorrang der Einwilligung“. Art. 6 Abs. 1 DSGVO begründet keine Privilegierung der Einwilligung, sondern nennt diese gleichrangig neben den übrigen Erlaubnistatbeständen. ⁴ Darüber hinaus hat der EuGH in seiner Entscheidung zu Meta⁵ klargestellt, dass eine Verarbeitung auch ohne Einwilligung rechtmäßig sein kann, wenn die Voraussetzungen einer anderen Rechtsgrundlage erfüllt sind.
In der Rechtssache Mousse⁶ führt der EuGH aus, dass die Verantwortlichen in einem solchen Fall nicht zusätzlich prüfen müssen, ob die Verarbeitung unter andere Tatbestände des Art. 6 Abs. 1 DSGVO fällt. Auch der Europäische Datenschutzausschuss (EDSA) stellt in den Leitlinien 01/2024⁷ ausdrücklich klar, dass es kein Rangverhältnis zwischen den Rechtsgrundlagen gibt. Die Einwilligung ist also nicht primär vorzuziehen.
Sind die Voraussetzungen mehrerer Rechtsgrundlagen erfüllt, kann der Verantwortliche daher entscheiden, welche Rechtsgrundlage am besten passt, und er nutzen möchte. Diese Entscheidung sollte aber durch praktische Erwägungen geleitet sein.
Die Verwendung einer Einwilligung ist mindestens mit zwei praktischen Herausforderungen verbunden. Zum einen muss die Einwilligung nachweisbar sein, was in der Praxis insbesondere bei Kontaktaufnahmen per E-Mail mit erheblichen Schwierigkeiten verbunden sein dürfte. Denn in diesem Fall liegt keine Einwilligungserklärung vor, der die Betroffenen aktiv zustimmen. Zum anderen kann die betroffene Person ihre Einwilligung jederzeit gemäß Art. 7 Abs. 3 DSGVO widerrufen und der Verarbeitung damit einseitig die Rechtsgrundlage entziehen. In diesem Fall muss der Verantwortliche die Daten löschen, soweit dem keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Bei anderen Rechtsgrundlagen ist vor allem die Prüfung der Erforderlichkeit zu dokumentieren. Soll die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden, ist auch das Ergebnis der Interessenabwägung im Fall einer Kontrolle durch eine Datenschutz-Aufsichtsbehörde nachzuweisen. Der damit verbundene Aufwand dürfte allerdings regelmäßig deutlich geringer sein als bei der Dokumentation von Einwilligungen. Die Datenschutz-Aufsichtsbehörden gehen davon aus, dass die Datenverarbeitung in Kontaktformularen nicht zwingend auf eine Einwilligung gestützt werden muss. Die hessische Aufsichtsbehörde hält Art. 6 Abs. 1 lit. f DSGVO für die passende Rechtsgrundlage und stellt ausdrücklich fest, dass eine Einwilligung „offensichtlich nicht notwendig“ ist.⁸ Auch das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) teilt diese Auffassung, weist aber darauf hin, dass bei der Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO eine Einwilligung in Betracht kommen kann.⁹ Eine ähnliche Position vertritt das Unabhängige Datenschutzzentrum (UDZ) Saarland, das neben den berechtigten Interessen auch die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) als einschlägig ansieht.¹⁰ Für produkt- oder dienstleistungsbezogene Anfragen hält auch der EDSA Art. 6 Abs. 1 lit. b DSGVO für passend.¹¹
IV. Empfehlungen für die Praxis
Neben der Bestimmung der einschlägigen Rechtsgrundlage sind weitere Anforderungen der DSGVO zu beachten. Im Zusammenhang mit Kontaktformularen prüfen Datenschutz-Aufsichtsbehörden regelmäßig insbesondere zwei Themen: Pflichtfelder und Verschlüsselung. Dass Pflichtfelder restriktiv zu handhaben sind, ergibt sich bereits aus dem Erforderlichkeitskriterium.¹² Nicht erforderliche Angaben (beispielsweise die Telefonnummer¹³) sind als „freiwillig“ zu kennzeichnen. Die Anzahl der Pflichtfelder ist generell auf das notwendige Minimum zu reduzieren und Freitextfelder sind möglichst zu vermeiden, um die Eingabe sensibler Informationen zu verhindern.¹⁴ Zudem ist die Übertragung der Informationen angemessen zu verschlüsseln. In der Regel genügt bei Kontaktformularen eine TLS-Verschlüsselung, sofern keine besonders sensiblen Informationen übermittelt werden.¹⁵
FAZIT
Im Vergleich zu anderen Rechtsgrundlagen bietet die Einwilligung keine Vorteile, ist aber mit einigen Risiken verbunden. Auch Datenschutz-Aufsichtsbehörden gehen überwiegend davon aus, dass andere Rechtsgrundlagen regelmäßig passender sind. Verantwortliche sollten daher entweder sorgfältig prüfen, ob sie im Fall einer Kontrolle die Einwilligungen tatsächlich nachweisen können, oder alternative Rechtsgrundlagen in Betracht ziehen. Wird die Rechtsgrundlage „gewechselt“, sind zudem die entsprechenden Angaben in der Datenschutzerklärung anzupassen.
1 EDSA, Leitlinien 05/2020 Rn. 79.
2 EDSA, Leitlinien 05/2020 Rn. 13.
3 EuGH, Urt. v. 04.10.2024, C-621/22 Rn. 30.
4 Piltz/Weiss, DSB 2024, 291.
5 EuGH, Urt. v. 04.07.2023, C-252/21 Rn. 92.
6 EuGH, Urt. v. 09.01.2025, C-394/23 Rn. 28.
7 EDSA, Leitlinien 01/2024 Rn. 1.
8 HessBfDI, Tätigkeitsbericht 2024, S. 127.
9 BayLDA, Tätigkeitsbericht 2017/2018, S. 56.
10 UDZ Saarland, Tätigkeitsbericht 2017/2018, S. 109.
11 EDSA, Leitlinien 02/2019, Rn. 46.
12 EuGH, Urt. v. 09.01.2025, C-394/23 Rn. 28, 48 f.
13 SDTB, Tätigkeitsbericht 2023, S. 39.
14 ULD Schleswig-Holstein, Tätigkeitsbericht 2023, S. 119.
15 VG Hannover, Urt. v. 05.06.2025 – 10 A 4017/23; LDI NRW, Tätigkeitsbericht 2023, S. 109.
