Das Problem: Formulare sammeln mehr Daten als nötig
Viele Kontaktformulare in mittelständischen Websites sind technisch gewachsene Sammlungen: Name, E-Mail, Nachricht – dazu IP-Adresse, User-Agent, Referer, Zeitstempel und oft ein Spam-Score. Für den Versand braucht es diese Metadaten nicht. Ein Kasseler Handwerksbetrieb mit 18 Mitarbeitern hatte genau dieses Muster: Das Formular eines CMS-Plugins speicherte jede Anfrage vollständig in der Datenbank, obwohl die Anfrage per E-Mail beantwortet wurde. Der Betrieb konnte nicht sagen, wie lange die Einträge lagen oder wer sie einsehen konnte. Datenschutz war damit ein akutes Betriebsrisiko, kein Aktenordner-Thema.
Die Ursache: Plugin-Defaults statt bewusster Formularlogik
Die Ursache liegt selten in böswilliger Datensammlung, sondern in Bequemlichkeit. Formular-Plugins liefern Spam-Schutz, Logging und Speicherung als Paket; jede Option ist standardmäßig aktiv oder wird beim Aktivieren mitgenommen. Wer nur ein Kontaktformular braucht, erbt so eine Datenfläche, die niemand mehr überblickt. Der Kasseler Webentwickler twindor setzt deshalb früher an: Die Formularlogik wird vom CMS entkoppelt, die Validierung serverseitig implementiert und die Speicherung auf das Minimum reduziert. Das ist keine Rechtsberatung, sondern eine technische Entscheidung, die Datenschutz überhaupt prüfbar macht.
Die Lösung: Minimierung, klare Löschfristen und nachvollziehbare Zustellung
Twindors Muster für Kontaktformulare besteht aus drei Teilen. Erstens werden nur die Felder erhoben, die für die Antwort nötig sind: Name, E-Mail und Nachricht; Pflichtfelder bleiben auf das Minimum beschränkt. Zweitens läuft die Spam-Abwehr über einen Honeypot und serverseitige Plausibilitätsprüfungen, nicht über ein externes Captcha, das Nutzerdaten an Dritte sendet. Drittens wird die Nachricht per SMTP an ein Postfach übergeben; eine optionale Datenbankspeicherung erhält eine feste Löschfrist von 30 Tagen. Ein Kasseler Einzelhändler reduzierte damit die gespeicherten Formulardatensätze von mehreren hundert auf wenige Wochenbestände. Die Zustellung blieb gleich, der Prüfaufwand sank messbar.
Prüfpunkte für Unternehmen mit bestehenden Formularen
- Felder: Welche Eingaben sind für die Bearbeitung wirklich erforderlich?
- Speicherung: Landen Formulardaten in CMS-Tabellen, Logs oder externen Diensten?
- Löschung: Gibt es eine technisch erzwungene Frist oder nur eine Notiz in der Datenschutzerklärung?
- Drittanbieter: Werden Captcha, Tracking oder Mailversand über externe Server abgewickelt?
- Zugriff: Welche Rollen können Einträge einsehen, exportieren oder löschen?
Wer diese Punkte prüft, erkennt schnell, ob das Formular nur einen Zweck erfüllt oder still Daten sammelt. Twindor behandelt das Kontaktformular als Teil der Anwendungslogik – nicht als Plugin, das man einmal aktiviert und dann vergisst. Für Kasseler Mittelständler ist das ein pragmatischer Hebel: weniger Daten, klarere Prozesse und eine Website, deren Formular sich im Ernstfall erklären lässt.