Welche Kundendaten darfst du eigentlich erheben?

Der Reflex beim Bauen eines Kontaktformulars ist, nach allem zu fragen, was man irgendwann brauchen könnte. Firmenname, Telefon, Budget, wie sie dich gefunden haben, und ein Newsletter-Häkchen, das schon gesetzt ist.

Jedes dieser Felder kostet dich Einsendungen, und einige davon darfst du nicht erfragen. Die gute Nachricht: Die rechtliche und die kaufmännische Regel zeigen in dieselbe Richtung — frag weniger.

Die Regel in einem Satz

Die DSGVO verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind. Das ist Datenminimierung, Artikel 5 Absatz 1 Buchstabe c, und dieser Grundsatz entscheidet die meisten Fragen kleiner Unternehmen allein.

Auf ein Kontaktformular angewendet lautet die Prüfung: Kannst du diese Anfrage ohne dieses Feld beantworten? Wenn ja, gehört das Feld nicht dorthin. Du kannst in deiner Antwort danach fragen, wenn es ein Gespräch und einen Grund gibt.

Du brauchst auch einen Grund, sie zu behalten

Personenbezogene Daten zu verarbeiten verlangt eine Rechtsgrundlage — die DSGVO nennt sechs in Artikel 6. Für ein kleines Unternehmen decken drei nahezu alles ab:

• Vertrag — du brauchst die Adresse, um zu liefern, was jemand gekauft hat.
• Rechtliche Verpflichtung — du bewahrst die Rechnung auf, weil das Steuerrecht es vorschreibt.
• Einwilligung — jemand hat selbst ein Häkchen für deinen Newsletter gesetzt.

Einwilligung ist die schwächste der drei und wird am häufigsten falsch verwendet. Sie muss freiwillig, spezifisch und ebenso leicht widerrufbar wie erteilbar sein. Ein vorab gesetztes Häkchen ist keine Einwilligung. Einen Newsletter zur Bedingung für ein Angebot zu machen ebenfalls nicht.

Wie das auf einem echten Formular aussieht

Frag nach: einem Namen, einem Antwortweg und der Nachricht.

Frag standardmäßig nicht nach: Telefonnummer als Pflichtfeld, Firmendaten, Budgetklassen, wie sie von dir gehört haben, Geburtsdatum, Adresse.

Setz nie ungetrennt auf dasselbe Formular: eine bereits angehakte Newsletter-Anmeldung, oder eine Formulierung, die "Anfrage senden" mit "anmelden" bündelt.

Zwei Zeilen Text an der Schaltfläche erledigen den Großteil der restlichen Arbeit: wofür du die Daten nutzt, wie lange du sie aufbewahrst, und ein Link zu deiner Datenschutzerklärung.

Die vier Fragen, die du beantworten können musst

Wenn jemand mailt und fragt, was du über ihn gespeichert hast, musst du antworten können. Das ist das Auskunftsrecht, und es gilt für ein Einzelunternehmen genauso wie für eine Bank.

1. Was hast du? Formulareingänge, das Postfach, die Newsletter-Liste, dein Buchhaltungsprogramm, die Kontakte im Telefon.
2. Warum hast du es? Eine der Grundlagen oben, je Kategorie.
3. Wie lange bewahrst du es auf? Wähl je Kategorie eine Frist und schreib sie auf. "Anfragen, aus denen nichts wird: nach zwölf Monaten gelöscht" ist eine Richtlinie.
4. Wer kann sonst darauf zugreifen? Jeder Dienst, den du nutzt, steht auf dieser Liste — dein Mailanbieter, dein Newsletter-Werkzeug, deine Steuerkanzlei.

Die meisten kleinen Unternehmen können Frage vier nicht beantworten, und sie ist die, die einen Nachmittag kostet und dann erledigt bleibt.

Tu das zuerst

Öffne dein eigenes Kontaktformular und zähl die Felder. Lösch jedes, das du genauso gut in einer Antwort erfragen könntest. Schreib dann vier kurze Antworten auf die Fragen oben und leg sie zu deiner Datenschutzerklärung.

Das ist der größte Teil der Arbeit, dauert unter einer Stunde, und dein Formular konvertiert nebenbei besser. Wirklich komplizierte Fälle — besondere Kategorien, Kinder, Profiling, alles Medizinische — sind eine Stunde richtige Beratung wert statt eines Artikels.

Siehe auch: das andere Regelwerk, mit dem kleinen Unternehmen gedroht wird, ist Barrierefreiheit, und die meisten sind davon befreit. Markierst du Links, um die Herkunft zu sehen, tu es mit Einwilligung.

Quellen

• Regulation (EU) 2016/679 (General Data Protection Regulation) · EUR-Lex
• AVG algemeen · Autoriteit Persoonsgegevens

Häufige Fragen

Darf ich jemanden nach einem Kontaktformular in meinen Newsletter aufnehmen?

Nicht allein aufgrund der Anfrage. Ein Newsletter ist ein eigener Zweck und braucht eigene Einwilligung, aktiv gegeben und getrennt vom Absenden der Anfrage. Beides zu bündeln ist der häufigste Fehler auf Formularen kleiner Unternehmen.

Wie lange darf ich eine Anfrage aufbewahren, aus der nie ein Kunde wurde?

Die Verordnung nennt keine feste Zahl; du wählst eine Frist, die zum Zweck passt, und schreibst sie auf. Nicht umgewandelte Anfragen nach zwölf Monaten zu löschen ist vertretbare Praxis, und überhaupt eine schriftliche Regel zu haben setzt dich vor die meisten.