Formulare &
Datenschutz
01 Rechtliche Grundlage
DSGVO Art. 6 – Rechtsgrundlage der Verarbeitung
Jede Verarbeitung personenbezogener Daten über ein Formular benötigt eine Rechtsgrundlage. Die relevantesten für Kontaktformulare:
DSGVO Art. 13 – Informationspflichten beim Formular
TTDSG § 25 – Cookies & Endgeräte-Zugriff
- EU Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung (DSGVO), vollständiger Gesetzestext
- DE Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TTDSG), Gesetzestext
- BfDI BfDI-Positionspapier zu Cookies und Tracking (§ 25 TTDSG)
- DSK Datenschutzkonferenz: Orientierungshilfe zu Cookies und Tracking (PDF)
02 Consent & Cookie-Banner
Was muss aktiv eingewilligt werden?
Google Analytics, Meta Pixel, Hotjar, Clarity – ohne vorige Einwilligung nicht erlaubt.
Formspree, Netlify Forms, HubSpot, Typeform – setzen Cookies/Requests auf Drittserver.
Überträgt Fingerprinting-Daten an Google-Server. Consent nötig, laut BfDI-Einschätzung und überwiegender Rechtsansicht.
Session-Cookies, CSRF-Token – kein Consent nötig laut § 25 Abs. 2 Nr. 2 TTDSG.
Consent-Management-Plattformen (CMP) – Kosten & Einordnung
| Tool | Kosten | Typ | Bemerkung |
|---|---|---|---|
| Borlabs Cookie | ~€ 39/Jahr/Domain | WP-Plugin | Sehr verbreitet, solide Agentur-Tauglichkeit |
| Alternativer Anbieter | ~€ 29–49/Jahr | WP-Plugin | Verschiedene Anbieter am Markt, DSGVO-Textvorlagen oft inklusive – Angebot vor Beauftragung prüfen |
| Complianz | ~€ 49/Jahr | WP-Plugin | Gute Dokumentation, Gutenberg-kompatibel |
| Cookiebot | ab ~€ 9/Monat | SaaS | IAB TCF-zertifiziert, eher enterprise |
| Usercentrics | ab ~€ 15/Monat | SaaS | Sehr konfigurierbar, für größere Kunden |
| Consentmanager | ab ~€ 0–12/Monat | SaaS / DE | Deutscher Hoster, gute WP-Integration |
03 Das Consent-Formular-Problem
Der vielleicht unterschätzteste UX- und Conversion-Killer auf datenschutzkonformen Websites: das Formular funktioniert erst nach Consent-Erteilung – oder gar nicht.
Typischer Ablauf ohne durchdachte Lösung
Ursachen im Überblick
Contact Form 7, WPForms, Gravity Forms binden reCAPTCHA v3 standardmäßig ein. Das CMP blockt es korrekt – bis Consent erteilt ist. Submit ohne gültige reCAPTCHA-Response schlägt serverseitig fehl.
Formspree, HubSpot-Formulare, Zapier-Integrationen – sobald Daten auf Drittserver wandern, greift Consent-Pflicht. Das CMP blockt Skripte, Submit wird funktionslos.
Schlecht konfigurierte CMPs blocken auch technisch notwendige Endpunkte. Die finale Verantwortung für eine korrekte CMP-Konfiguration liegt beim Kunden als Websitebetreiber – er ist rechtlich Verantwortlicher im Sinne der DSGVO. Die Agentur kann beraten und umsetzen, aber keine rechtsverbindliche Garantie übernehmen.
04 Technische Lösungsansätze
Option A – Server-seitiger Mailversand (Best Practice)
Formular-POST geht an eigene WP-Instanz → PHP verarbeitet → SMTP-Versand via eigenem Mailserver oder Transactional-Mail (Mailgun, Brevo, Postmark, Elementor Site Mailer). Kein externer JS nötig. Kein Consent für den Kernprozess.
Option B – reCAPTCHA ersetzen
Proof-of-Work im Browser. Kein Cookie, kein Tracking. EU-Server. Consent in der Regel nicht nötig. Hosted ab € 9/Monat – Self-Hosting erfordert eigene Infrastruktur, deren Entwicklungs- und Betriebskosten den Monatstarif in der Regel übersteigen.
Verstecktes Feld. Bots füllen es aus, Menschen nicht. Kein Consent, kein Drittanbieter. Für viele Projekte vollkommen ausreichend.
Keine sichtbare Challenge. Datentransfer an Cloudflare – Consent im Einzelfall prüfen. Kostenfrei.
Datenschutzfreundlicher als Google. Consent weiterhin empfohlen, aber weniger kritisch. Kostenfrei.
Option C – Consent-aware Nachladen (Notlösung)
Wenn ein externer Dienst zwingend nötig ist: Submit initial deaktivieren, CMP-Callback nutzen (z.B. Borlabs Cookie JS-Events). Nachteil: User muss Consent vor Formularnutzung aktiv geben – UX-Problem bleibt bestehen, nur besser kommuniziert.
05 Formulare ohne Besucher-Zustimmung Empfehlung
Das Ziel: ein Formular, das für jeden Besucher funktioniert – unabhängig davon, ob er den Cookie-Banner akzeptiert, ablehnt oder ignoriert. Technisch gut lösbar, wenn von Anfang an die richtigen Entscheidungen getroffen werden.
(1) Das Formular lädt keine Drittanbieter-Skripte. (2) Daten werden nicht an externe Server gesendet. (3) Es werden keine Cookies gesetzt außer technisch zwingend notwendigen.
Sind alle drei Bedingungen erfüllt, greift die gesetzliche Ausnahme – kein Consent nötig. → DSGVO Art. 13 (Informationspflicht + Datenschutzhinweis am Formular) bleibt davon unberührt und ist immer Pflicht
Empfohlener Stack
Formular-Plugin: Fluent Forms, Elementor Forms oder WPForms – ohne reCAPTCHA-Option konfigurieren. Honeypot-Feld aktivieren (Fluent Forms hat es eingebaut).
Versand: WP Mail SMTP oder Elementor Site Mailer (kein eigenes SMTP-Setup nötig) mit eigenem SMTP-Endpunkt (Brevo, Mailgun, Postmark). Daten verlassen WP erst beim Mailversand – nicht beim Formular-Load.
Ergebnis: Kein externer JS, kein Drittserver-Request beim Laden, kein Cookie → vollständig Consent-frei betreibbar.
Frontend: Formular in Vue 3 / Nuxt. Kein externes Captcha-Skript. Honeypot-Feld als verstecktes Input, Zeitstempel-Prüfung.
API-Route: Nitro/Express-Endpunkt (/api/contact) auf eigenem Server. Validierung + Spam-Check server-seitig, Rate-Limiting per Middleware.
Mailversand: Nodemailer mit eigenem SMTP (Brevo, Mailgun, Postmark). Keine Drittanbieter-Skripte im Browser.
Funktionsweise: Proof-of-Work – Browser löst kryptografisches Puzzle. Keine Cookies, kein Fingerprinting, kein Tracking-Profil.
Datenschutz: Laut Anbieter und überwiegender Datenschutzexperten-Einschätzung kein Consent nach § 25 TTDSG nötig. WP-Plugin verfügbar, kompatibel mit Fluent Forms und CF7.
Kosten: Hosted ab € 9/Monat – empfohlen. Das Open-Source-Paket existiert, erfordert für Self-Hosting jedoch eigene Server-Infrastruktur und Wartung. Entwicklungs- und Betriebsaufwand übersteigen den Monatstarif des Hosted-Dienstes in der Regel deutlich. Self-Hosting daher nur für Projekte mit spezifischen Anforderungen sinnvoll.
Spam-Schutz ohne Drittanbieter – Methodenvergleich
| Methode | Consent | Wirkung | Aufwand | Kosten |
|---|---|---|---|---|
| Honeypot-Feld | Nein | Mittel (einfache Bots) | Minimal | Kostenlos |
| Zeitbasierte Prüfung | Nein | Mittel (zu schnelle Submissions) | Gering | Kostenlos |
| Rate-Limiting (server) | Nein | Hoch (pro IP) | Mittel | Kostenlos |
| Friendly Captcha | Nein* | Hoch | Gering (hosted) | ab € 9/Monat |
| Cloudflare Turnstile | Im Einzelfall | Sehr hoch | Gering | Kostenlos |
| Google reCAPTCHA v3 | Ja | Sehr hoch | Gering | Kostenlos |
| Externer Formularanbieter | Ja | Je nach Anbieter | Minimal | € 0–50+/Monat |
* Friendly Captcha: Einschätzung der Mehrheit der Datenschutzexperten, nicht höchstrichterlich entschieden. Bei sensiblen Projekten juristische Absicherung empfehlen.
Honeypot – Implementierung
<!-- HTML: Honeypot unsichtbar per CSS -->
<div style="position:absolute;left:-9999px;opacity:0" aria-hidden="true">
<label for="website">Bitte leer lassen</label>
<input type="text" name="website" id="website" tabindex="-1" autocomplete="off">
</div>
# PHP: Serverseitige Prüfung
if (!empty($_POST['website'])) {
http_response_code(400);
exit; // Bot erkannt
}
// WordPress-Hook (Fluent Forms):
add_filter('fluentform/submission_requirements', function($req, $form) {
if (!empty($_POST['website'])) {
return new WP_Error('spam', 'Spam erkannt');
}
return $req;
});Zeitbasierte Prüfung
<!-- HTML: Timestamp beim Formular-Load -->
<input type="hidden" name="_form_time" id="_form_time">
<script>
document.getElementById('_form_time').value = Date.now();
</script>
# PHP: Unter 3 Sekunden = Bot
$elapsed = (time() * 1000) - intval($_POST['_form_time']);
if ($elapsed < 3000) { http_response_code(400); exit; }06 Anbieter & Tools
Formular-Plugins
reCAPTCHA v3 läuft seitenübergreifend. CMP muss blocken → Submit bricht ohne Consent. Ohne reCAPTCHA und mit eigenem SMTP aber Consent-frei nutzbar.
Gleiches Problem wie CF7 bei reCAPTCHA. Mit Addons (HubSpot, Salesforce) doppelte Consent-Pflicht. Ohne Drittdienste: Consent-frei möglich.
Honeypot integriert, Friendly Captcha Add-on verfügbar. SMTP-Versand nativ, keine Drittdienste erzwungen. Bestes Kosten-Nutzenverhältnis für diese Anforderung.
Direkt in Elementor integriert. Standard-Versand via WordPress-Mail. reCAPTCHA optional – weglassen = Consent-frei. Zusammen mit Site Mailer ideal.
Lädt HubSpot-Script nach. Daten auf HubSpot-Servern (USA). Standard Consent Framework + AVV erforderlich.
Open-Source Marketing Automation. Self-hosted = keine Drittdaten. Consent nur bei externen Trackern.
SMTP & Mailversand – Tools
Was es ist: Ein WordPress-Plugin von Elementor, das den nativen wp_mail()-Versand durch einen eigenen Transactional-Mail-Dienst ersetzt – ohne separates SMTP-Setup oder Drittanbieter-Account. Erfordert Verbindung zu einem Elementor-Account.
Funktionen: 30-Tage E-Mail-Log, Resend-Funktion, DKIM/DMARC/SPF-Support, Open-Rate-Tracking, Custom Domain per Website, kompatibel mit CF7, WPForms, WooCommerce und Elementor Forms.
DSGVO-Hinweis: Der Dienst wird von Elementor (Israel/Cloud) betrieben. E-Mail-Inhalte (From, To, Betreff, Body, Anhänge) werden über Elementors Infrastruktur geleitet. Ein Auftragsverarbeitungsvertrag (AVV) ist erforderlich. Für Consent am Formular selbst ändert das nichts – das Plugin ersetzt nur den Transportweg.
Empfehlung: Gute Wahl für Elementor-lastinge Projekte wo einfache Einrichtung wichtig ist. Für maximale Datensouveränität: eigener SMTP-Account bei Brevo oder Mailgun bevorzugen.
| Tool | Kosten | Consent am Formular | AVV nötig | Bemerkung |
|---|---|---|---|---|
| Elementor Site Mailer | Kostenfrei (Limits) / Elementor-Abo | Nein* | Ja (Elementor) | Kein extra SMTP-Setup, Elementor-Account nötig |
| WP Mail SMTP + eigener Server | Kostenlos (Plugin) | Nein | Nein | Maximale Datensouveränität |
| Brevo (SMTP) | Kostenlos bis 300/Tag | Nein* | Ja (Brevo) | EU-Hoster, gute DSGVO-Basis |
| Mailgun | Ab € 0 / Pay-per-use | Nein* | Ja (Mailgun) | US-Anbieter, SCCs prüfen |
| Postmark | Ab $ 15/Monat | Nein* | Ja (Postmark) | Hohe Deliverability, US-Anbieter |
* Kein Consent für das Formular selbst nötig – der SMTP-Versandweg ist technisch notwendig und consent-frei. AVV mit dem jeweiligen Mail-Anbieter separat abschließen.
- WP Elementor Site Mailer – Plugin-Seite auf WordPress.org (Datenschutzhinweise, Kompatibilität)
- Elementor Elementor: Einführungs-Blogpost zu Site Mailer (Features, Einsatzszenarien)
- Elementor Elementor Docs: Site Mailer installieren und einrichten
- Plugin Fluent SMTP – kostenlose SMTP-Alternative für WordPress
07 Kundenmitteilung
Vorlage für die Kommunikation mit Kunden – bewusst ohne Juristendeutsch, verständlich und handlungsorientiert.
08 Checkliste – Formular-Audit
Für neue Projekte und beim Review bestehender Websites. Klicken zum Abhaken.
09 Externe Dienste: Maps, Videos & Social Media
Neben Formularen sind eingebettete Drittinhalte der häufigste Datenschutz-Fallstrick auf gewerblichen Websites. Google Maps, YouTube-Videos, Instagram-Feeds oder Facebook-Buttons laden beim bloßen Seitenaufruf Skripte und setzen Cookies von Drittservern – ohne dass der Besucher das Formular ausfüllt oder einen Button drückt.
Betroffene Dienste im Überblick
Lädt Google-Skripte und setzt Tracking-Cookies beim Seitenaufruf. Überträgt IP-Adresse und ggf. Standortdaten an Google (USA). Betrifft auch die Maps Embed API.
Standard-Einbettung via iframe lädt sofort Player-Skripte und Cookies. YouTube überträgt Daten an Google auch ohne Play-Klick. Vimeo datenschutzfreundlicher, aber nicht consent-frei.
Facebook Like-Button, Instagram-Feed, LinkedIn Share, Twitter/X Embed – alle laden externe Skripte und ermöglichen Cross-Site-Tracking. Bereits das Laden = Datenweitergabe.
Werden Fonts direkt von Google-Servern geladen, wird die IP-Adresse des Besuchers an Google übermittelt. Lösung: Fonts lokal hosten (keine Consent-Pflicht).
Als datenschutzfreundlichere Maps-Alternative. Tile-Server überträgt IP – Consent-Pflicht je nach Einbettung und Tile-Provider. Eigener Tile-Server = consent-frei möglich.
Intercom, Drift, Zendesk Chat laden bei Initialisierung externe Skripte. Erst nach Consent laden oder durch datenschutzfreundliche Alternative ersetzen.
Die Lösung: 2-Klick-Lösung / Consent-Wrapper
Externe Inhalte dürfen standardmäßig nicht geladen werden. Stattdessen wird zunächst ein Platzhalter angezeigt, der den Nutzer informiert und um Zustimmung bittet. Erst nach aktivem Klick wird der eigentliche Inhalt geladen.
(1) Platzhalter mit Beschreibung anzeigen: „Hier ist eine Google Maps Karte eingebettet. Zum Laden stimmen Sie der Übertragung Ihrer Daten an Google zu."
(2) Button: „Karte laden" – erst nach Klick wird der iframe eingebettet.
(3) Optional: Checkbox „Immer erlauben" speichert die Einwilligung per Cookie für den aktuellen Besuch.
Technische Umsetzung
Borlabs Cookie (und vergleichbare CMPs) können externe Inhalte automatisch blocken und durch einen Consent-Wrapper ersetzen. Konfiguration pro Dienst möglich.
YouTube: Privacy-Enhanced Mode (youtube-nocookie.com) reduziert Tracking, ist aber kein vollständiger Verzicht. Besser: Thumbnails lokal, Video auf Klick nachladen.
Komponente prüft beim Mount den CMP-Status. iframe-src wird erst gesetzt wenn Consent für den jeweiligen Dienst vorliegt. CMP-Callback bei nachträglicher Zustimmung nachladen.
Für einfache Standortkarten: statisches Kartenbild verlinkt auf maps.google.com (kein iframe, kein Tracking). Oder: OpenStreetMap mit eigenem Tile-Server.
- LG München LG München I, 20.01.2022 – 3 O 17493/20: Google Fonts ohne Einwilligung = DSGVO-Verstoß (Urteilstext)
- DSK DSK Orientierungshilfe: Social Media Plugins und externe Einbettungen
- BfDI BfDI: Anforderungen an Einwilligung für Drittinhalte
- Google Google Maps Embed API – Datenschutzhinweise und Nutzungsbedingungen
10 Barrierefreiheit: WCAG & BFSG
Barrierefreiheit und Datenschutz werden in Projekten oft getrennt gedacht – dabei betreffen beide dieselben Websites und denselben Personenkreis. Ab 2025 gelten für viele gewerbliche Websites verbindliche Anforderungen, die auch Formulare direkt betreffen.
Was ist WCAG?
Die Web Content Accessibility Guidelines (WCAG) sind ein international anerkannter Standard des W3C, der beschreibt, wie Webinhalte barrierefrei gestaltet werden. Die Anforderungen sind in vier Prinzipien gegliedert:
Inhalte müssen von allen Sinnen wahrnehmbar sein. Bilder brauchen Alt-Texte, Videos Untertitel, Kontraste müssen ausreichend sein.
Alle Funktionen müssen per Tastatur bedienbar sein. Kein Inhalt darf nur per Maus erreichbar sein. Formulare müssen vollständig per Tab navigierbar sein.
Sprache, Struktur und Verhalten müssen vorhersehbar sein. Fehlermeldungen in Formularen müssen klar benennen, was falsch ist und wie man es korrigiert.
Inhalte müssen mit aktuellen und zukünftigen Hilfstechnologien (Screenreader, Braille-Zeile) kompatibel sein. Korrekte HTML-Semantik ist Pflicht.
Konformitätsstufen
| Stufe | Bedeutung | Relevanz |
|---|---|---|
| A | Minimalanforderungen – Basiszugänglichkeit | Absolute Untergrenze, immer einhalten |
| AA | Standard – von BFSG und EN 301 549 gefordert | Zielstandard für gewerbliche Websites |
| AAA | Höchstsanforderungen – nicht immer erreichbar | Empfehlung für öffentliche Stellen, Bildung |
Konkrete Anforderungen an Formulare
Jedes Eingabefeld braucht ein programmatisch verknüpftes <label>. Placeholder-Text allein ist kein ausreichendes Label – er verschwindet beim Tippen.
Fehler müssen in Text beschrieben werden – nicht nur durch Farbe oder ein Icon. Die Meldung muss erklären was falsch ist und idealerweise einen Korrekturvorschlag enthalten.
Text zu Hintergrund muss mindestens 4,5:1 betragen (AA). Für große Schrift (18pt / 14pt fett) mindestens 3:1. Eingabefelder, Buttons und Fokus-Indikatoren sind ebenfalls betroffen.
Alle Formularelemente müssen per Tab erreichbar sein. Der Fokus muss sichtbar sein – das standardmäßige Browser-Outline nicht einfach per CSS entfernen.
Persönliche Eingabefelder (Name, E-Mail, Adresse) sollten das autocomplete-Attribut nutzen. Das hilft besonders Menschen mit kognitiven Einschränkungen.
BFSG – Wen betrifft es konkret?
Entscheidungsbaum: Bin ich vom BFSG betroffen?
Der folgende Entscheidungsbaum hilft bei der ersten Einschätzung. Er ersetzt keine rechtliche Prüfung, gibt aber eine praxisnahe Orientierung.
- W3C WCAG 2.2 – Vollständiger Standard (W3C, englisch)
- W3C WCAG 2.2 Quick Reference – gefilterte Checkliste nach Stufe und Thema
- BFSG Barrierefreiheitsstärkungsgesetz (BFSG) – Volltext auf gesetze-im-internet.de
- EU European Accessibility Act – Richtlinie 2019/882/EU (EU-Gesetzestext)
- BMAS BMAS: Erläuterungen zum BFSG und betroffenen Produktgruppen
- Tool WAVE – kostenloses Browser-Tool zur Barrierefreiheitsprüfung (WebAIM)
- Tool axe DevTools – Browser-Extension für automatisierte Accessibility-Tests
- DE Aktion Mensch: Praxisguide Barrierefreiheit im Web (deutsch, anschaulich)
11 Weiterführende Links & Quellen
Kuratierte Linkliste zu den wichtigsten Themen rund um Datenschutz, Formulare und Websiterecht – vorrangig von eRecht24 als verlässlicher deutschsprachiger Quelle für Internetrecht, ergänzt durch offizielle Stellen.
eRecht24 – Formulare & Datenschutz
- eRecht24 Kontaktformular: Datenschutz & Verschlüsselung – SSL-Pflicht, Datenschutzhinweis, Abmahnrisiken
- eRecht24 Datenschutz bei Gewinnspielen – gesetzliche Vorgaben, Einwilligung, Teilnahmebedingungen
- eRecht24 Datenschutzerklärung für Newsletter – Double-Opt-in, Widerruf, Textbaustein
- eRecht24 Datenschutzerklärung einbinden – Pflicht zur leichten Erreichbarkeit, Abmahnrisiko
- eRecht24 Kostenloser Datenschutzerklärung-Generator von eRecht24
eRecht24 – Cookies & Tracking
- eRecht24 Cookie-Hinweispflicht rechtssicher umsetzen – was muss wann angezeigt werden?
- eRecht24 Cookie Consent Banner & Abmahnung – häufige Fehler und rechtssichere Umsetzung
- eRecht24 Google Fonts lokal einbinden – DSGVO-konformes Vorgehen, LG München Urteil
- eRecht24 Datenschutzerklärung für Google Web Fonts – Textbaustein und Hinweispflichten
eRecht24 – Für Agenturen & Überblick
- eRecht24 Rechtssichere Website für Agenturen – Verantwortlichkeit, AVV, Haftung gegenüber Kunden
- eRecht24 Top 7 DSGVO-Vorgaben für Webseitenbetreiber – kompakte Übersicht der Pflichten
- eRecht24 Impressumspflicht – Pflichtangaben, häufige Fehler, Abmahnrisiko
- eRecht24 eRecht24 Website-Scanner – kostenloser Check auf Datenschutz- und Rechtskonformität
- eRecht24 eRecht24 Google Fonts Scanner – prüft, ob Fonts extern oder lokal geladen werden
Offizielle Rechtsquellen & Behörden
- EU DSGVO – Volltext der Datenschutz-Grundverordnung (EU) 2016/679
- DE TTDSG – Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, Volltext
- BfDI BfDI: Positionspapier zu Cookies und § 25 TTDSG
- DSK Datenschutzkonferenz: Orientierungshilfe zu Cookies und Tracking (PDF)
- LG München LG München I, 20.01.2022 – 3 O 17493/20: Google Fonts ohne Einwilligung ist DSGVO-Verstoß
- Blog Dr. Schwenke: Praxisanalyse § 25 TTDSG – Consent-Pflicht und Ausnahmen verständlich erklärt