Dieser Artikel ist keine Rechtsberatung. Er beschreibt die Rechtslage in der Schweiz und in der EU nach dem Stand vom 31.10.2026.
Ein Kontaktformular braucht in der Schweiz und in der EU einen kurzen Hinweis, wofür du die Angaben nutzt, mit Link zur Datenschutzerklärung. Eine Checkbox zum Ankreuzen ist in der Regel nicht nötig. Frag nur ab, was du für die Antwort brauchst, speichere die Einträge sicher und lösche sie, wenn die Anfrage erledigt ist.
Zu den Mustertexten Direkt zur Checkliste
Kaum ein Teil einer Website wirft so viele Datenschutzfragen auf wie das Kontaktformular. Braucht es ein Häkchen? Muss die Telefonnummer freiwillig sein? Wohin gehen die Daten, wenn man Google Forms nutzt? Die Antworten sind einfacher, als viele Vorlagen vermuten lassen.
Dieser Artikel behandelt das Schweizer Datenschutzgesetz (DSG) und die DSGVO nebeneinander. Was eine Website allgemein braucht, etwa zu Cookies und eingebundenen Diensten, steht im Artikel Cookie-Banner: Pflicht in der Schweiz und in der EU?.
Was das Recht verlangt
Schweiz. Das DSG verlangt für eine Bearbeitung keine Rechtsgrundlage, solange sie rechtmässig, verhältnismässig und für die betroffene Person erkennbar ist. Wer Personendaten beschafft, muss nach Art. 19 DSG informieren: wer verantwortlich ist, wofür die Daten bearbeitet werden, an wen sie gehen und, falls ins Ausland, in welches Land. Für ein Kontaktformular heisst das: ein Hinweis beim Formular und ein Abschnitt in der Datenschutzerklärung.
EU. Die DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage nach Art. 6. Bei einem Kontaktformular ist das meist die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b), wenn jemand nach einem Angebot fragt, oder das berechtigte Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f). Dazu kommt die Informationspflicht nach Art. 13: wer verantwortlich ist, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und die Rechte der betroffenen Person.
In beiden Rechten gilt derselbe Grundsatz: nur so viele Daten wie nötig, nur so lange wie nötig und sicher aufbewahrt.
Checkbox: ja oder nein?
Die häufigste Frage zum Kontaktformular ist die nach dem Häkchen „Ich habe die Datenschutzerklärung gelesen und stimme zu“. Die kurze Antwort: In der Regel brauchst du es nicht, und manchmal schadet es sogar.
Wer dir eine Anfrage schickt, will eine Antwort. Um die Anfrage zu beantworten, brauchst du in der EU keine Einwilligung, weil Vertragsanbahnung oder berechtigtes Interesse als Grundlage genügen. In der Schweiz brauchst du ohnehin keine Rechtsgrundlage. Eine Zustimmung zur Datenschutzerklärung verlangt keines der beiden Gesetze. Die Erklärung muss man zur Kenntnis nehmen können, zustimmen muss man ihr nicht.
Problematisch wird das Häkchen, wenn du dich tatsächlich auf eine Einwilligung stützen willst. Eine Einwilligung muss freiwillig sein. Ist das Häkchen Pflicht, damit das Formular abgeschickt werden kann, ist sie das kaum. Zudem kann jemand eine Einwilligung jederzeit widerrufen, und du müsstest die Anfrage dann löschen, obwohl du sie vielleicht noch für ein laufendes Angebot brauchst.
Eine Checkbox ist dagegen richtig, wenn du zusätzlich etwas willst, das über die Antwort hinausgeht, etwa den Newsletter. Dann ist sie freiwillig, nicht vorausgewählt, und das Formular funktioniert auch ohne sie.
Pflichtfelder und Datensparsamkeit
Frag nur ab, was du für die Antwort wirklich brauchst. Für eine Kontaktanfrage sind das meist zwei Dinge: eine Möglichkeit, zu antworten, und die Nachricht selbst.
- Pflicht: E-Mail-Adresse (oder Telefonnummer, wenn du zurückrufst) und Nachricht.
- Freiwillig: Name, Firma, Telefon, Ort. Markiere sie als freiwillig, statt sie stillschweigend zu verlangen.
- Weglassen: Geburtsdatum, Adresse, Anrede, alles, was du für die Antwort nicht brauchst.
Für Formulare mit einem klaren Zweck darfst du mehr fragen, wenn der Zweck es verlangt. Eine Anfrage für Kinderbetreuung an einem Fest braucht das Datum und die Zahl der Kinder, ein Kontaktformular für allgemeine Fragen nicht. Wie man so ein Formular auf einer Landingpage aufbaut, zeigt eine eigene Anleitung.
Vorsicht bei Feldern für besonders schützenswerte Daten, etwa Gesundheit, Religion oder politische Meinungen. Dafür braucht es in beiden Rechten besondere Gründe und meist eine ausdrückliche Einwilligung. Ein offenes Nachrichtenfeld lädt manche Leute ein, mehr zu erzählen, als nötig ist. Ein Satz wie „Bitte schick uns hier keine Gesundheitsdaten“ hilft.
Mustertexte
Die folgenden Texte sind Vorlagen für ein einfaches Kontaktformular. Ersetze die Angaben in eckigen Klammern und passe die Texte an, wenn dein Formular mehr tut, etwa Einträge an ein anderes Werkzeug weiterleitet.
Hinweis direkt beim Formular
Der Hinweis steht unter oder über dem Knopf „Senden“. Er ist kurz und verlinkt die Datenschutzerklärung.
Muster Schweiz
Muster EU
Abschnitt für die Datenschutzerklärung
Dieser Abschnitt gehört in deine Datenschutzerklärung, unter einer Überschrift wie „Kontaktformular“.
Muster Schweiz
Muster EU
Wo die Einträge landen
Ein Formular ist nur so datenschutzfreundlich wie der Ort, an dem seine Einträge landen. Drei Wege sind üblich.
Per E-Mail. Das Formular schickt jeden Eintrag als Mail an dich. Das ist einfach, aber die Einträge liegen dann in deinem Postfach, oft über Jahre, und gehen über den Mailanbieter. Das Postfach gehört dann in die Datenschutzerklärung, und das Löschen musst du selbst organisieren.
Bei einem Formulardienst. Dienste wie Google Forms, Jotform, Typeform oder Tally speichern die Einträge für dich. Prüfe bei jedem Dienst drei Dinge: Wo stehen die Server, und lässt sich ein Ort in der EU oder der Schweiz wählen? Gibt es einen Vertrag zur Auftragsverarbeitung? Nutzt der Anbieter die Daten auch für eigene Zwecke? Google Forms speichert in den Rechenzentren von Google. Unternehmen können über Google Workspace einen Vertrag zur Auftragsverarbeitung abschliessen.
Auf der eigenen Website. Manche Baukästen und Hosting-Dienste speichern Einträge direkt beim Hoster. Dann gilt dasselbe wie beim Formulardienst: Ort, Vertrag, Zweck.
Für Daten in den USA gilt seit 2023 in der EU und seit dem 15. September 2024 in der Schweiz das Data Privacy Framework. Es erlaubt die Übermittlung an zertifizierte US-Firmen. Das Gericht der EU hat es im September 2025 bestätigt (T-553/23), eine Berufung beim Gerichtshof der EU ist hängig. Wer sichergehen will, wählt einen Anbieter mit Servern in der EU oder der Schweiz.
Das Formular muss verschlüsselt übertragen werden, also über eine Adresse mit https://. Das klingt selbstverständlich, ist aber nicht überall so. Ohne Verschlüsselung können Dritte im selben Netz mitlesen, etwa in einem öffentlichen WLAN. Ein Formular auf einer Seite ohne HTTPS ist in beiden Rechten ein Verstoss gegen die Pflicht zur Datensicherheit.
Eine Löschfrist solltest du in jedem Fall festlegen und einhalten. Zwölf Monate nach der letzten Nachricht sind für allgemeine Anfragen üblich. Was zu einem Vertrag wird, bewahrst du nach den Fristen für Geschäftsunterlagen auf.
Schutz vor Spam
Jedes offene Formular zieht früher oder später Spam an. Der übliche Schutz ist ein Captcha, und dort steckt eine weitere Falle für den Datenschutz.
Google reCAPTCHA ist weit verbreitet, aber ein Dienst von Google. Es lädt Code von Google, wertet das Verhalten im Browser aus und überträgt dabei Daten in die USA. In der EU braucht es dafür nach verbreiteter Ansicht eine Einwilligung, in der Schweiz mindestens einen Hinweis und eine Ablehnungsmöglichkeit. Ein Formular, das nur nach einer Einwilligung funktioniert, ist für Kontaktanfragen unpraktisch.
Es gibt sparsamere Wege:
- Honeypot: ein unsichtbares Feld, das Menschen nicht sehen und deshalb leer lassen. Füllt ein Programm es aus, wird der Eintrag verworfen. Kein Dienst von Dritten, keine Daten.
- Zeitsperre: Wer das Formular schneller als in drei Sekunden abschickt, ist kaum ein Mensch.
- Begrenzung pro Absender: Der Server nimmt von derselben IP-Adresse nur wenige Einträge pro Minute an und vergisst die Adresse danach.
- Captchas mit weniger Daten: Dienste wie Friendly Captcha aus Deutschland oder Turnstile von Cloudflare werben damit, ohne Cookies und ohne Profil zu arbeiten. Auch sie gehören in die Datenschutzerklärung.
Für ein normales Kontaktformular reichen Honeypot, Zeitsperre und Begrenzung meistens aus. Ein Captcha lohnt sich erst, wenn trotzdem viel Spam durchkommt.
Besondere Fälle
Newsletter-Anmeldung. Hier ist eine Einwilligung nötig, und in der Praxis ist das Double-Opt-in üblich: Nach der Anmeldung kommt eine Mail mit einem Bestätigungslink, erst danach schickst du den Newsletter. So belegst du, dass die Adresse wirklich der Person gehört, die sich angemeldet hat. Wie du eine Warteliste oder Newsletter-Anmeldung baust, zeigt eine eigene Anleitung.
Anmeldeformulare für Anlässe. Frag nur, was du für den Anlass brauchst, und lösche die Liste nach dem Anlass. Fragst du nach Essenswünschen, können Allergien oder Religion mitschwingen: Formuliere die Frage offen und freiwillig.
Bewerbungen. Lebensläufe enthalten viele Daten, oft auch schützenswerte. Ein normales Kontaktformular ist dafür nicht der richtige Weg. Nutze ein eigenes Formular mit kurzer Löschfrist nach Abschluss des Verfahrens.
Gesundheit, Zahlungen, Passwörter. Solche Daten gehören nicht in ein einfaches Kontaktformular. Viele Formulardienste schliessen das in ihren Bedingungen aus.
Kontaktformular mit sharepa
sharepa stellt Seiten aus dem KI-Chat online, auch mit Formular, das du mit dem Chat bauen kannst. Ein Formular, das an /__sharepa/formular sendet, speichert jeden Eintrag für dich:
- Gespeichert wird nur, was das Formular abfragt, dazu der Zeitpunkt und der Name des Formulars. Zu einem Eintrag speichert sharepa weder die IP-Adresse noch Land oder Gerät.
- Die Einträge liegen in der EU, bei Cloudflare, und nach zwölf Monaten löscht sharepa sie automatisch. Du kannst sie vorher einzeln oder gesamthaft löschen und als Datei herunterladen.
- Die Benachrichtigung enthält keinen Inhalt. Du bekommst eine Mail mit der Anzahl neuer Einträge, die Einträge selbst siehst du in der App.
- Kein Abfluss an fremde Server. Formulare einer sharepa-Seite können nur an die Seite selbst senden. Felder, die nach Passwort oder Kreditkarte aussehen, weist sharepa ab.
Zwei Dinge liegen bei dir. Richtest du im Einmal-Plan einen Webhook ein, etwa zu n8n, Make oder Zapier, gehen die Einträge auch dorthin, und dieser Dienst gehört in deine Datenschutzerklärung. Und für die Daten der Personen, die dein Formular ausfüllen, bist du verantwortlich; sharepa bearbeitet sie in deinem Auftrag, wie im Anhang Auftragsverarbeitung beschrieben. Die Seiten selbst liefert Cloudflare aus, eine US-Firma, die dabei die IP-Adresse verarbeitet.
Checkliste
Checkliste
Fragen
Braucht ein Kontaktformular eine Checkbox für den Datenschutz?
In der Regel nicht. Für die Antwort auf eine Anfrage brauchst du in der EU keine Einwilligung, und in der Schweiz verlangt das DSG keine Rechtsgrundlage. Nötig ist ein Hinweis beim Formular mit Link zur Datenschutzerklärung. Eine Checkbox brauchst du nur für Zusätzliches wie den Newsletter.
Was muss im Datenschutzhinweis beim Kontaktformular stehen?
Wofür du die Angaben nutzt und ein Link zur Datenschutzerklärung. In der EU ist es üblich, auch die Rechtsgrundlage zu nennen. Die ausführlichen Angaben wie Empfänger, Speicherort und Löschfrist gehören in die Datenschutzerklärung selbst.
Welche Felder darf ich als Pflichtfeld markieren?
Nur, was du für die Antwort brauchst: meist die E-Mail-Adresse und die Nachricht. Name und Telefon kannst du freiwillig anbieten. Verlangst du mehr, als nötig ist, verstösst das gegen den Grundsatz der Datensparsamkeit, in der Schweiz wie in der EU.
Ist Google Forms DSGVO-konform?
Das hängt von deiner Einrichtung ab. Google speichert die Einträge in eigenen Rechenzentren, auch in den USA, gestützt auf das Data Privacy Framework. Für Unternehmen gibt es einen Vertrag zur Auftragsverarbeitung über Google Workspace. Wer keine Daten in die USA geben will, wählt einen Dienst mit Servern in der EU oder der Schweiz.
Wie lange darf ich Anfragen aus dem Kontaktformular speichern?
So lange, wie du sie für die Anfrage brauchst. Für allgemeine Anfragen sind zwölf Monate nach der letzten Nachricht üblich. Wird daraus ein Auftrag, gelten die Aufbewahrungsfristen für Geschäftsunterlagen, in der Schweiz zehn Jahre, in Deutschland je nach Art der Unterlage sechs bis zehn Jahre.
Quellen
- Bundesgesetz über den Datenschutz (DSG), Art. 6 und 19, Fedlex, abgerufen am 31.10.2026
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 6 und 13, EUR-Lex, abgerufen am 31.10.2026
- EDÖB: Bekanntgabe von Personendaten ins Ausland (Swiss-U.S. Data Privacy Framework), abgerufen am 31.10.2026
- Gericht der EU, Urteil vom 03.09.2025, T-553/23, Latombe gegen Kommission, Curia, abgerufen am 31.10.2026
- Kontaktformular DSGVO-konform gestalten, IT-Recht Kanzlei (Kanzlei, keine amtliche Quelle), abgerufen am 31.10.2026
- Kontaktformulare – aber mit welcher Rechtsgrundlage?, Dr. Datenschutz (Beratung, keine amtliche Quelle), abgerufen am 31.10.2026
- Google Workspace: Datenschutz und Datenverarbeitungsbedingungen, abgerufen am 31.10.2026
- Friendly Captcha: Datenschutz, abgerufen am 31.10.2026