DSGVO beim Angebotsformular: was auf der Handwerker-Website gelten muss

Die Rechtsgrundlage: warum die Checkbox meistens falsch ist

Auf sehr vielen Handwerker-Websites steht unter dem Kontaktformular eine Checkbox: „Ich stimme zu, dass meine Daten zur Bearbeitung meiner Anfrage gespeichert werden." Sie ist gut gemeint und in den meisten Fällen die falsche Konstruktion.

Der Grund liegt in der Systematik der DSGVO. Art. 6 Abs. 1 lit. b erlaubt die Verarbeitung, wenn sie für die Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen. Genau das ist eine Angebotsanfrage: Jemand fragt nach einem Angebot, und dafür müssen seine Angaben verarbeitet werden. Eine Einwilligung nach lit. a ist dafür nicht nötig.

Schlimmer noch: Sie schafft ein Problem. Eine Einwilligung ist jederzeit widerrufbar. Widerruft jemand mitten im laufenden Angebotsprozess, müsste die Verarbeitung eigentlich enden — obwohl der Betrieb die Daten braucht, um die angefragte Leistung zu erbringen. Wer die Verarbeitung stattdessen auf lit. b stützt, hat dieses Problem nicht.

Was stattdessen ans Formular gehört, ist ein Hinweis, keine Zustimmung: zwei, drei Sätze darüber, wer die Daten verarbeitet, wofür, wie lange und wohin sie gehen, plus ein Link auf die vollständige Datenschutzerklärung. Das erfüllt die Informationspflicht nach Art. 13 DSGVO und kommt ohne Klickhürde aus.

Wo die Einwilligung tatsächlich gebraucht wird

Einwilligungspflichtig wird es, sobald die Daten für etwas anderes verwendet werden sollen als für die Beantwortung der konkreten Anfrage. Drei Fälle kommen bei Handwerksbetrieben regelmäßig vor.

Werbliche Ansprache

Wer Anfragende später in einen Newsletter aufnehmen oder mit Angeboten anschreiben will, braucht dafür eine separate, aktiv gesetzte Checkbox mit eigenem Text. Sie darf nicht vorausgewählt sein und das Absenden der Anfrage nicht blockieren. Eine Kopplung — „Anfrage nur absendbar, wenn Sie dem Newsletter zustimmen" — ist unzulässig.

Weitergabe an Dritte

Manche Betriebe geben Anfragen, die sie nicht bedienen können, an Kollegenbetriebe weiter. Das ist ein eigener Zweck und eine Übermittlung an einen anderen Verantwortlichen — dafür braucht es entweder eine Einwilligung oder zumindest eine transparente Information und eine tragfähige Interessenabwägung. Die saubere Lösung ist, den Interessenten zu fragen, statt die Daten stillschweigend weiterzureichen.

Speicherung über die Anfrage hinaus

Wenn eine Anfrage nicht zum Auftrag führt, endet der Zweck der Verarbeitung. Wer die Daten trotzdem behalten will — um in einem Jahr nachzufassen —, braucht dafür eine eigene Grundlage. In der Praxis wird das meist über ein berechtigtes Interesse gelöst, das aber sauber dokumentiert und zeitlich begrenzt sein muss.

Der Unterschied zwischen diesen Fällen und der reinen Anfragebearbeitung ist der Kern der ganzen Systematik: Ein Zweck, eine Rechtsgrundlage, eine Frist. Wer das trennt, hat wenig Aufwand; wer alles in eine große Einwilligung packt, hat eine, die im Zweifel unwirksam ist.

Datensparsamkeit im Konfigurator

Art. 5 Abs. 1 lit. c DSGVO verlangt, dass Daten auf das für den Zweck notwendige Maß beschränkt sind. Bei einem mehrstufigen Fragebogen ist das kein abstrakter Grundsatz, sondern eine konkrete Gestaltungsfrage — und praktischerweise fällt sie mit dem zusammen, was ohnehin gute Praxis ist.

Der erste Punkt betrifft die Reihenfolge. Ein Fragebogen, der Kalkulationsdaten zuerst und Kontaktdaten zuletzt abfragt, verarbeitet bei jedem Abbruch nur anonyme Angaben. Wer die Strecke bei Schritt vier verlässt, hat keine personenbezogenen Daten hinterlassen — der Betrieb hat nur die Information, dass jemand nach einer bestimmten Leistung gefragt hat. Diese Gestaltung erfüllt den Grundsatz von Privacy by Design nach Art. 25 DSGVO ganz nebenbei.

Der zweite Punkt betrifft die Feldauswahl. Jedes Feld braucht eine Antwort auf die Frage, wofür es gebraucht wird. Die Adresse wird für ein Richtangebot nicht benötigt — die Postleitzahl reicht für die Anfahrtsberechnung. Das Geburtsdatum wird nie gebraucht. Die Telefonnummer ist nützlich, aber selten zwingend und gehört deshalb als optionales Feld gekennzeichnet.

Der dritte Punkt betrifft Freitextfelder. Sie sind datenschutzrechtlich die unangenehmsten Elemente eines Formulars, weil Nutzer dort alles hineinschreiben — auch Gesundheitsdaten, wenn es etwa um einen barrierefreien Umbau nach einem Unfall geht. Solche besonderen Kategorien nach Art. 9 DSGVO unterliegen strengeren Regeln. Ganz verhindern lässt sich das nicht, aber ein Hinweis am Feld („Bitte geben Sie hier keine Gesundheitsdaten oder besonders sensiblen Informationen an") reduziert das Risiko spürbar.

KI im Angebotsworkflow: was zusätzlich gilt

Sobald ein Sprachmodell die Anfragedaten verarbeitet — etwa um das Anschreiben zu formulieren oder Freitext zu strukturieren —, kommt eine weitere Verarbeitungsstufe hinzu. Sie ist zulässig, aber nicht voraussetzungslos.

Erforderlich ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter des Modells. Die großen Anbieter stellen solche Verträge für ihre Geschäftstarife bereit; die kostenlosen Consumer-Versionen in der Regel nicht. Wer Kundendaten über einen kostenlosen Zugang verarbeitet, hat keine tragfähige Grundlage. Ergänzend gehört der Anbieter in das Verzeichnis von Verarbeitungstätigkeiten und in die Auflistung der Empfänger in der Datenschutzerklärung.

Der zweite Hebel ist Datensparsamkeit gegenüber dem Modell. Das Modell braucht für die Formulierung eines Anschreibens nicht die vollständige Anfrage mit Name, Adresse und Telefonnummer. Es braucht die Leistungsdaten und den Anredennamen. Alles Weitere kann im eigenen System bleiben und erst nach der Textgenerierung eingesetzt werden. Diese Trennung ist im Workflow mit wenig Aufwand umsetzbar und reduziert die übermittelte Datenmenge erheblich.

Eine dritte Alternative ist der Verzicht auf externe Anbieter: Selbst gehostete Open-Source-Modelle auf einem Server in Deutschland verarbeiten die Daten im eigenen Verantwortungsbereich, sodass kein AVV nötig ist. Für die Textarbeit in einem Angebotsworkflow ist deren Qualität ausreichend; der Preis ist mehr technischer Aufwand. Eine Übersicht der Abwägung gibt der Artikel zur Modellauswahl für KMU.

Was ausdrücklich nicht passieren sollte: eine vollautomatische Entscheidung mit rechtlicher Wirkung ohne menschliche Beteiligung. Art. 22 DSGVO setzt dem enge Grenzen. In dem hier beschriebenen Aufbau stellt sich die Frage praktisch nicht, weil jedes Angebot vor dem Versand von einem Menschen geprüft und freigegeben wird — ein weiterer Grund, warum diese Freigabestufe nicht wegrationalisiert werden sollte.

Löschfristen, die tatsächlich greifen

Der häufigste Befund bei einer Überprüfung ist nicht eine falsche Rechtsgrundlage, sondern eine Löschfrist, die es nur auf dem Papier gibt. In der Datenschutzerklärung steht, dass Anfragen nach zwölf Monaten gelöscht werden. In der Datenbank liegen Datensätze aus 2019.

Praktikabel wird das nur, wenn die Löschung Teil des Systems ist. In einem n8n-basierten Aufbau ist das ein Workflow, der einmal monatlich läuft, alle Datensätze jenseits der Frist identifiziert und löscht — inklusive der hochgeladenen Fotos, die sonst gern im Dateisystem liegenbleiben. Vor dem Löschen kann eine anonymisierte Zusammenfassung in eine Statistiktabelle geschrieben werden, sodass die Auswertbarkeit erhalten bleibt, ohne dass Personenbezug bestehen bliebe.

Sinnvolle Fristen richten sich nach dem Verlauf. Anfragen ohne jede Reaktion des Interessenten: sechs Monate. Anfragen mit Angebot, aber ohne Auftrag: zwölf Monate, weil Interessenten erfahrungsgemäß auch nach Monaten zurückkommen. Anfragen, aus denen ein Auftrag wurde: hier greifen die handels- und steuerrechtlichen Aufbewahrungspflichten, die deutlich länger laufen und Vorrang haben.

Eine kurze Checkliste

Wer einen Konfigurator und einen automatisierten Angebotsworkflow betreibt, sollte diese Punkte einmal schriftlich beantwortet haben: Auf welcher Rechtsgrundlage werden die Formulardaten verarbeitet, und steht das so auch am Formular? Gibt es separate Einwilligungen für Zwecke jenseits der Anfragebearbeitung, und sind sie ungekoppelt? Ist jedes Feld begründbar, und stehen die Kontaktdaten am Ende der Strecke? Existiert ein AVV mit jedem eingesetzten Dienst — Modellanbieter, Hoster, Rechnungssoftware, E-Mail-Versand? Sind diese Dienste im Verarbeitungsverzeichnis und in der Datenschutzerklärung genannt? Gibt es eine Löschfrist, und läuft sie automatisch? Werden Fotouploads davon erfasst? Und wird jedes Angebot vor dem Versand von einem Menschen freigegeben?

Keine dieser Fragen erfordert großen Aufwand, solange sie beim Aufbau gestellt wird. Nachträglich in ein laufendes System eingebaut, kosten dieselben Punkte deutlich mehr Zeit.

Wie der Workflow aufgebaut ist, an dem diese Anforderungen ansetzen, beschreibt der Artikel Vom Web-Formular zum PDF-Angebot. Der Fragebogen davor ist im Artikel zum Angebotskonfigurator für Handwerksbetriebe beschrieben.

Häufige Fragen