Ratgeber · 6 Min. Lesezeit
DSGVO-konformes Formular erstellen: Tool mit Hosting in der EU
Kurz gesagt
Ein DSGVO-konformes Formular fragt nur ab, was nötig ist, informiert klar über die Verarbeitung, holt aktive Einwilligung ein, wo sie nötig ist, und läuft auf einer Infrastruktur, die Sie einordnen können.
Ein Kontakt- oder Umfrageformular verarbeitet personenbezogene Daten, damit greift die DSGVO. Dieser Leitfaden fasst zusammen, was das in der Praxis bedeutet, mit einer Checkliste zum Abhaken, und wie sich ein Formular-Tool mit Hosting in der EU einfügt. Hinweis: Dies ist keine Rechtsberatung, bei Unsicherheit ziehen Sie eine Datenschutz-Fachperson hinzu.
Was die DSGVO von einem Formular verlangt
Die Zweckbindung verlangt, dass Sie vorab festlegen, wofür die Daten aus dem Formular verwendet werden, und sie nicht später für einen anderen Zweck zweckentfremden. Die Datenminimierung verlangt, nur die Felder abzufragen, die für diesen Zweck tatsächlich nötig sind: ein Kontaktformular braucht selten Geburtsdatum oder Adresse.
Wo Sie sich nicht auf ein berechtigtes Interesse oder einen Vertrag stützen können, etwa bei Newsletter-Anmeldungen oder Marketing-Umfragen, brauchen Sie eine aktive Einwilligung (Opt-in), keine vorausgefüllte Checkbox. Die Informationspflicht nach Art. 13 DSGVO verlangt einen Hinweis oder Link zur Datenschutzerklärung direkt am Formular, der erklärt, wer verarbeitet, wofür, und wie lange.
Auftragsverarbeitung, Löschfristen und Drittlandtransfer
Wenn ein externer Anbieter das Formular hostet oder Daten verarbeitet, ist er in der Regel Auftragsverarbeiter, und dafür braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwischen Ihnen und dem Anbieter. Prüfen Sie beim jeweiligen Tool, ob ein solcher Vertrag angeboten wird, und fragen Sie direkt nach, falls das nicht klar dokumentiert ist.
Legen Sie Löschfristen fest: Antworten sollten nicht unbegrenzt aufbewahrt werden, sondern nach einer definierten Zeit gelöscht oder anonymisiert werden, abgestimmt auf den Zweck. Ein Drittlandtransfer, also die Übermittlung von Daten außerhalb der EU/des EWR, etwa an einen KI-Anbieter in den USA für eine Auswertungsfunktion, muss in der Datenschutzerklärung offengelegt werden und braucht eine passende Rechtsgrundlage, zum Beispiel Standardvertragsklauseln.
Checkliste
Vor der Veröffentlichung eines Formulars lohnt sich ein kurzer Abgleich mit den wichtigsten Punkten.
- Zweck des Formulars vorab festgelegt und nur nötige Felder abgefragt.
- Datenschutzhinweis nach Art. 13 direkt am Formular verlinkt.
- Aktive Einwilligung eingeholt, wo keine andere Rechtsgrundlage greift.
- Auftragsverarbeitungsvertrag mit jedem externen Anbieter, der Daten verarbeitet.
- Löschfristen für Antworten festgelegt und dokumentiert.
- Jeder Drittlandtransfer (z. B. an einen KI-Anbieter) in der Datenschutzerklärung benannt.
Wie YeetForm sich einfügt
Formulare und Antworten werden bei YeetForm in der EU gehostet (Hetzner, Deutschland). Nutzen Sie eine KI-Funktion (Formular erstellen, bearbeiten, übersetzen oder Antworten analysieren), wird der jeweilige Inhalt zur Verarbeitung an Anthropic in den USA gesendet, ohne dass diese Daten für das Training der Modelle verwendet werden; bei besonders sensiblen Antworten lässt sich die Analysefunktion einfach nicht nutzen.
YeetForm bietet aktuell keinen fertigen Auftragsverarbeitungsvertrag zum Download an, prüfen Sie das direkt, wenn Ihre Organisation zwingend einen braucht. Ein Passwortschutz fürs Formular, ein anpassbarer Datenschutzhinweis-Text im Formular und die Möglichkeit, Felder frei zu wählen, unterstützen die Zweckbindung und Datenminimierung in der Praxis.