Braucht jedes Formular eine Einwilligungs-Checkbox?

Nein. Wenn du die Angaben nur nutzt, um zu tun, worum die Person gebeten hat, etwa ihre Frage zu beantworten oder sie zu einer Veranstaltung anzumelden, brauchst du dafür keine Einwilligung. Du musst aber erklären, was du mit den Daten machst. Für Extras wie einen Newsletter oder die Weitergabe an Partner brauchst du in der Regel eine Einwilligung.

Darf ich die Newsletter-Checkbox schon vorankreuzen?

Nein. Nach der DSGVO muss eine Einwilligung eine aktive Entscheidung sein, ein vorangekreuztes Kästchen zählt also nicht. Lass es leer, beschreib klar, wofür sich jemand anmeldet, und mach die Abmeldung später einfach.

Wie lange darf ich Formularantworten aufbewahren?

Die DSGVO nennt keine feste Zahl an Tagen oder Monaten. Du darfst personenbezogene Daten nur so lange speichern, wie du sie für den Zweck brauchst, für den du sie erhoben hast. Leg einen sinnvollen Zeitpunkt fest, etwa nach der Veranstaltung oder wenn eine Anfrage erledigt ist, nenn ihn in deiner Datenschutzerklärung und lösch die Daten dann auch wirklich.

Brauche ich einen Auftragsverarbeitungsvertrag mit meinem Formular-Tool?

Wenn das Tool die personenbezogenen Daten deiner Teilnehmenden in deinem Auftrag speichert oder verarbeitet, dann ja: Die DSGVO verlangt einen Auftragsverarbeitungsvertrag mit diesem Anbieter. Viele Anbieter haben einen Standardvertrag. Prüf, ob es ihn gibt, bevor du Antworten sammelst.

Ein DSGVO-freundliches Formular erstellen: die praktische Checkliste

Sobald ein Formular nach einem Namen, einer E-Mail-Adresse oder sonst etwas über eine Person fragt, ist die DSGVO im Spiel. Das klingt nach viel, gerade für ein kleines Team, das einfach Anmeldungen oder Feedback sammeln möchte. Die gute Nachricht: Für die meisten Formulare läuft es auf ein paar klare Gewohnheiten hinaus.

In diesem Artikel gehen wir sie Schritt für Schritt durch. Das sind praktische Hinweise, keine Rechtsberatung. Wenn deine Situation kompliziert ist oder du sensible Daten erhebst, lohnt sich ein Gespräch mit einer Datenschutzberatung.

Fang mit einem klaren Zweck an

Bevor du die erste Frage einfügst, schreib in einem Satz auf, wofür das Formular da ist. „Mit diesem Formular melden sich Leute für unseren Tag der offenen Tür an.“ „Mit diesem Formular beantworten wir Fragen von möglichen Kundinnen und Kunden.“

Dieser eine Satz leistet viel. Er zeigt dir, welche Fragen hineingehören, er ist der Kern dessen, was du den Leuten erklärst, und er verhindert, dass das Formular nach und nach zur allgemeinen Datensammelstelle wird. Nach der DSGVO erhebst du personenbezogene Daten für einen bestimmten Zweck und nutzt sie später nicht einfach für etwas ganz anderes.

Merkst du, dass das Formular zwei Aufgaben hat, zum Beispiel die Anmeldung zu einer Veranstaltung und den Aufbau einer Mailingliste? Dann behandle das als zwei getrennte Zwecke. Das wird gleich bei der Einwilligung wichtig.

Frag nur, was du wirklich brauchst

Datenminimierung ist einer der Grundsätze der DSGVO: Erhebe, was du für deinen Zweck brauchst, und nicht mehr. Für Formulare ist das eine sehr praktische Regel. Frag dich bei jeder Frage: Was machen wir mit dieser Antwort eigentlich?

Brauchst du die vollständige Adresse oder nur Postleitzahl und Ort?
Brauchst du das Geburtsdatum oder nur die Info, dass jemand volljährig ist?
Brauchst du eine Telefonnummer, wenn du sowieso nur per E-Mail antwortest?

Jede Frage, die du streichst, sind Daten, die du nicht schützen, speichern und später löschen musst. Und dein Formular wird kürzer und angenehmer. Mehr dazu findest du in Wie lang darf ein Formular sein?

Sag, was mit den Antworten passiert

Menschen haben ein Recht darauf zu wissen, was du mit ihren Daten machst. Dafür brauchst du keine Textwand im Formular. Ein kurzer, klarer Satz beim Absenden-Button und ein Link zu deiner Datenschutzerklärung reichen meistens aus.

In der Datenschutzerklärung steht das ganze Bild: wer du bist und wie man dich erreicht, warum du die Daten erhebst und auf welcher Rechtsgrundlage, wer sie bekommt, wie lange du sie speicherst und welche Rechte die Leute haben, etwa auf Auskunft und Löschung. Der Satz im Formular ist die freundliche Kurzfassung. Zum Beispiel:

„Wir nutzen deine Angaben nur für deine Anmeldung zum Tag der offenen Tür und für praktische Infos dazu. Zwei Monate nach der Veranstaltung löschen wir sie. Mehr dazu in unserer Datenschutzerklärung.“

Schreib das nur, wenn es stimmt. Ein kurzes, ehrliches Versprechen, das du hältst, schafft viel mehr Vertrauen als ein langes, das niemand überprüfen kann.

Einwilligungs-Checkboxen: wann du sie brauchst und wann nicht

Nicht jedes Formular braucht eine Einwilligungs-Checkbox. Schickt dir jemand eine Frage, darfst du die Angaben nutzen, um sie zu beantworten: Genau deshalb hat die Person sich ja gemeldet. Meldet sich jemand zu einer Veranstaltung an, darfst du die Angaben nutzen, um den Platz zu organisieren. Informieren musst du trotzdem, aber du musst nicht um Erlaubnis für genau das bitten, worum die Person dich selbst gebeten hat.

Wichtig wird die Einwilligung bei den Extras, also bei allem, wofür die Leute nicht gekommen sind:

jemanden in einen Newsletter oder in Marketing-Mails aufnehmen;
Angaben an Partner oder Sponsoren weitergeben;
eine Antwort, einen Namen oder ein Foto veröffentlichen, etwa als Kundenstimme.

Wenn du um eine Einwilligung bittest, sorgen ein paar Regeln dafür, dass sie gültig und fair ist:

Nicht vorangekreuzt. Schweigen oder ein vorab angehaktes Kästchen ist keine Einwilligung.
Ein Zweck pro Checkbox. „Schick mir den Newsletter“ und „gib meine Daten an Sponsoren weiter“ sind zwei verschiedene Entscheidungen.
Keine Bedingung für etwas anderes. Mach die Newsletter-Checkbox nicht zur Pflicht für die Anmeldung zu einer Veranstaltung.
Einfache Sprache. Sag in einem Satz, den alle verstehen, wozu jemand Ja sagt.
Leicht zu widerrufen. Aufhören muss so einfach sein wie Anmelden, und du sagst, wie es geht.
Dokumentieren. Halte fest, wann jemand eingewilligt hat und wie der Text in dem Moment lautete.

Eine Checkbox „Ich habe die Datenschutzerklärung gelesen“ ist meistens nicht nötig. Informieren ist deine Aufgabe, und ein klarer Link erledigt das. Checkboxen sind für echte Entscheidungen da.

Vorsicht bei sensiblen Fragen

Manche Daten sind nach der DSGVO besonders geschützt, die sogenannten besonderen Kategorien personenbezogener Daten: zum Beispiel Angaben zur Gesundheit, zu Religion oder Weltanschauung, zur ethnischen Herkunft, zu politischen Meinungen, zur sexuellen Orientierung oder zur Gewerkschaftszugehörigkeit. Für ihre Erhebung gelten deutlich strengere Regeln.

Ganz normale Formulare können das berühren, ohne dass es jemand beabsichtigt. Eine Frage nach Essenswünschen kann etwas über Gesundheit oder Glauben verraten. Eine Frage zur Barrierefreiheit kann etwas über eine Behinderung verraten. Das heißt nicht, dass du solche Fragen nicht stellen darfst, denn sie helfen Menschen, sich willkommen zu fühlen. Es heißt aber, dass du eine Ausnahme nach Art. 9 DSGVO brauchst, in der Praxis meist die ausdrückliche Einwilligung der Person, und dass du:

sie nur stellst, wenn du die Antwort wirklich nutzt, etwa für das Catering oder die Sitzplanung;
die Frage wenn möglich freiwillig machst und erklärst, warum du fragst;
einschränkst, wer die Antworten sehen kann;
die Antworten löschst, sobald sie ihren Zweck erfüllt haben, zum Beispiel nach der Veranstaltung.

Wenn du nach noch Sensiblerem fragen möchtest, hol dir vorher Rat.

Leg fest, wer die Antworten sieht und wie lange

Formularantworten verbreiten sich gern: hier ein Export, da eine weitergeleitete Tabelle, irgendwo noch eine Kopie im Download-Ordner. Klär deshalb vor dem Veröffentlichen zwei Dinge.

Wer die Antworten sehen darf. Nur die Leute, die sie für den Zweck brauchen. Das Catering braucht die Essenswünsche, nicht die Telefonnummern aller Gäste.

Wie lange du sie aufbewahrst. Die DSGVO nennt keine feste Frist. Du speicherst Daten, solange du sie für den Zweck brauchst, und löschst sie danach. Such dir also einen passenden Zeitpunkt aus: nach der Veranstaltung, wenn eine Anfrage beantwortet und erledigt ist, oder wenn eine Bewerbungsrunde abgeschlossen ist. Schreib ihn auf und trag dir eine Erinnerung in den Kalender ein. Eine Löschfrist funktioniert nur, wenn auch wirklich jemand löscht.

Wähl ein Formular-Tool, das offen mit Daten umgeht

Speichert ein Formular-Tool die Antworten deiner Teilnehmenden für dich, verarbeitet es personenbezogene Daten in deinem Auftrag. Die DSGVO verlangt dann einen Auftragsverarbeitungsvertrag (AVV) mit diesem Anbieter, und du solltest wissen, was mit den Daten passiert. Das lohnt sich zu prüfen:

Wo werden die Daten gespeichert, und steht das klar dabei?
Bietet der Anbieter einen Auftragsverarbeitungsvertrag an?
Welche weiteren Dienste (Unterauftragsverarbeiter) sind beteiligt?
Kannst du Antworten selbst exportieren und vollständig löschen?
Kannst du steuern, wer in deinem Team Zugriff hat?

Ein Anbieter, der diese Fragen in einfacher Sprache beantwortet, macht dir das Schreiben deiner eigenen Datenschutzerklärung deutlich leichter.

Kurze Checkliste vor dem Veröffentlichen

Das Formular hat einen klaren Zweck, in einem Satz aufgeschrieben.
Jede Frage hat einen Grund, „Für alle Fälle“-Fragen sind raus.
Es gibt einen kurzen Satz dazu, was mit den Antworten passiert, plus Link zur Datenschutzerklärung.
Einwilligungen holst du nur für Extras ein, mit leeren, getrennten Checkboxen.
Sensible Fragen sind freiwillig, erklärt und wirklich nötig, und du holst dafür eine ausdrückliche Einwilligung ein.
Du weißt, wer die Antworten sehen kann.
Du hast entschieden, wann die Antworten gelöscht werden, und jemand macht das auch.
Dein Formular-Tool bietet einen AVV und sagt klar, wo die Daten gespeichert werden.

Wie wir bei Cuppaform darüber denken

Cuppaform ist noch im Aufbau, und Datenschutz wollen wir von Anfang an richtig machen, statt ihn später irgendwie dranzuhängen. Unsere Live-Demo arbeitet mit festen Regeln und läuft komplett in deinem Browser, was du dort eintippst, geht also nirgendwohin. Während wir das richtige Produkt bauen, arbeiten wir daran, dass du ganz leicht nur fragst, was du brauchst, und den Leuten, die deine Formulare ausfüllen, klar sagst, was passiert. Unsere Datenschutzerklärung erklärt schon jetzt, wie wir auf dieser Website mit Daten umgehen, etwa bei der Warteliste, dem Kontaktformular und, nur wenn du Cookies akzeptierst, Google Analytics. Bevor der Formular-Builder live geht, ergänzen wir sie um genau das, was mit den Daten deiner Teilnehmenden passiert.

Probier die Demo aus und spür selbst, wie sich ein kurzes, freundliches Formular anfühlt.