DSGVO beim Angebotsformular: was auf der Handwerker-Website gelten muss

Die Rechtsgrundlage: warum die Checkbox meistens falsch ist

Auf sehr vielen Handwerker-Websites steht unter dem Kontaktformular eine Checkbox: „Ich stimme zu, dass meine Daten zur Bearbeitung meiner Anfrage gespeichert werden." Sie ist gut gemeint und in den meisten Fällen die falsche Konstruktion.

Der Grund liegt in der Systematik der DSGVO. Art. 6 Abs. 1 lit. b erlaubt die Verarbeitung, wenn sie für die Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen. Genau das ist eine Angebotsanfrage: Jemand fragt nach einem Angebot, und dafür müssen seine Angaben verarbeitet werden. Eine Einwilligung nach lit. a ist dafür nicht nötig.

Schlimmer noch: Sie schafft ein Problem. Eine Einwilligung ist jederzeit widerrufbar. Widerruft jemand mitten im laufenden Angebotsprozess, müsste die Verarbeitung eigentlich enden — obwohl der Betrieb die Daten braucht, um die angefragte Leistung zu erbringen. Wer die Verarbeitung stattdessen auf lit. b stützt, hat dieses Problem nicht.

Was stattdessen ans Formular gehört, ist ein Hinweis, keine Zustimmung: zwei, drei Sätze darüber, wer die Daten verarbeitet, wofür, wie lange und wohin sie gehen, plus ein Link auf die vollständige Datenschutzerklärung. Das erfüllt die Informationspflicht nach Art. 13 DSGVO und kommt ohne Klickhürde aus.

Wo die Einwilligung tatsächlich gebraucht wird

Einwilligungspflichtig wird es, sobald die Daten für etwas anderes verwendet werden sollen als für die Beantwortung der konkreten Anfrage. Drei Fälle kommen bei Handwerksbetrieben regelmäßig vor.

Werbliche Ansprache

Wer Anfragende später in einen Newsletter aufnehmen oder mit Angeboten anschreiben will, braucht dafür eine separate, aktiv gesetzte Checkbox mit eigenem Text. Sie darf nicht vorausgewählt sein und das Absenden der Anfrage nicht blockieren. Eine Kopplung — „Anfrage nur absendbar, wenn Sie dem Newsletter zustimmen" — ist unzulässig.

Weitergabe an Dritte

Manche Betriebe geben Anfragen, die sie nicht bedienen können, an Kollegenbetriebe weiter. Das ist ein eigener Zweck und eine Übermittlung an einen anderen Verantwortlichen — dafür braucht es entweder eine Einwilligung oder zumindest eine transparente Information und eine tragfähige Interessenabwägung. Die saubere Lösung ist, den Interessenten zu fragen, statt die Daten stillschweigend weiterzureichen.

Speicherung über die Anfrage hinaus

Wenn eine Anfrage nicht zum Auftrag führt, endet der Zweck der Verarbeitung. Wer die Daten trotzdem behalten will — um in einem Jahr nachzufassen —, braucht dafür eine eigene Grundlage. In der Praxis wird das meist über ein berechtigtes Interesse gelöst, das aber sauber dokumentiert und zeitlich begrenzt sein muss.

Der Unterschied zwischen diesen Fällen und der reinen Anfragebearbeitung ist der Kern der ganzen Systematik: Ein Zweck, eine Rechtsgrundlage, eine Frist. Wer das trennt, hat wenig Aufwand; wer alles in eine große Einwilligung packt, hat eine, die im Zweifel unwirksam ist.

Datensparsamkeit im Konfigurator

Art. 5 Abs. 1 lit. c DSGVO verlangt, dass Daten auf das für den Zweck notwendige Maß beschränkt sind. Bei einem mehrstufigen Fragebogen ist das kein abstrakter Grundsatz, sondern eine konkrete Gestaltungsfrage — und praktischerweise fällt sie mit dem zusammen, was ohnehin gute Praxis ist.

Der erste Punkt betrifft die Reihenfolge. Ein Fragebogen, der Kalkulationsdaten zuerst und Kontaktdaten zuletzt abfragt, verarbeitet bei jedem Abbruch nur anonyme Angaben. Wer die Strecke bei Schritt vier verlässt, hat keine personenbezogenen Daten hinterlassen — der Betrieb hat nur die Information, dass jemand nach einer bestimmten Leistung gefragt hat. Diese Gestaltung erfüllt den Grundsatz von Privacy by Design nach Art. 25 DSGVO ganz nebenbei.

Der zweite Punkt betrifft die Feldauswahl. Jedes Feld braucht eine Antwort auf die Frage, wofür es gebraucht wird. Die Adresse wird für ein Richtangebot nicht benötigt — die Postleitzahl reicht für die Anfahrtsberechnung. Das Geburtsdatum wird nie gebraucht. Die Telefonnummer ist nützlich, aber selten zwingend und gehört deshalb als optionales Feld gekennzeichnet.

Der dritte Punkt betrifft Freitextfelder. Sie sind datenschutzrechtlich die unangenehmsten Elemente eines Formulars, weil Nutzer dort alles hineinschreiben — auch Gesundheitsdaten, wenn es etwa um einen barrierefreien Umbau nach einem Unfall geht. Solche besonderen Kategorien nach Art. 9 DSGVO unterliegen strengeren Regeln. Ganz verhindern lässt sich das nicht, aber ein Hinweis am Feld („Bitte geben Sie hier keine Gesundheitsdaten oder besonders sensiblen Informationen an") reduziert das Risiko spürbar.

KI im Angebotsworkflow: was zusätzlich gilt

Sobald ein Sprachmodell die Anfragedaten verarbeitet — etwa um das Anschreiben zu formulieren oder Freitext zu strukturieren —, kommt eine weitere Verarbeitungsstufe hinzu. Sie ist zulässig, aber nicht voraussetzungslos.

Erforderlich ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter des Modells. Die großen Anbieter stellen solche Verträge für ihre Geschäftstarife bereit; die kostenlosen Consumer-Versionen in der Regel nicht. Wer Kundendaten über einen kostenlosen Zugang verarbeitet, hat keine tragfähige Grundlage. Ergänzend gehört der Anbieter in das Verzeichnis von Verarbeitungstätigkeiten und in die Auflistung der Empfänger in der Datenschutzerklärung.

Der zweite Hebel ist Datensparsamkeit gegenüber dem Modell. Das Modell braucht für die Formulierung eines Anschreibens nicht die vollständige Anfrage mit Name, Adresse und Telefonnummer. Es braucht die Leistungsdaten und den Anredennamen. Alles Weitere kann im eigenen System bleiben und erst nach der Textgenerierung eingesetzt werden. Diese Trennung ist im Workflow mit wenig Aufwand umsetzbar und reduziert die übermittelte Datenmenge erheblich.

Eine dritte Alternative ist der Verzicht auf externe Anbieter: Selbst gehostete Open-Source-Modelle auf einem Server in Deutschland verarbeiten die Daten im eigenen Verantwortungsbereich, sodass kein AVV nötig ist. Für die Textarbeit in einem Angebotsworkflow ist deren Qualität ausreichend; der Preis ist mehr technischer Aufwand. Eine Übersicht der Abwägung gibt der Artikel zur Modellauswahl für KMU.

Was ausdrücklich nicht passieren sollte: eine vollautomatische Entscheidung mit rechtlicher Wirkung ohne menschliche Beteiligung. Art. 22 DSGVO setzt dem enge Grenzen. In dem hier beschriebenen Aufbau stellt sich die Frage praktisch nicht, weil jedes Angebot vor dem Versand von einem Menschen geprüft und freigegeben wird — ein weiterer Grund, warum diese Freigabestufe nicht wegrationalisiert werden sollte.

Löschfristen, die tatsächlich greifen

Der häufigste Befund bei einer Überprüfung ist nicht eine falsche Rechtsgrundlage, sondern eine Löschfrist, die es nur auf dem Papier gibt. In der Datenschutzerklärung steht, dass Anfragen nach zwölf Monaten gelöscht werden. In der Datenbank liegen Datensätze aus 2019.

Praktikabel wird das nur, wenn die Löschung Teil des Systems ist. In einem n8n-basierten Aufbau ist das ein Workflow, der einmal monatlich läuft, alle Datensätze jenseits der Frist identifiziert und löscht — inklusive der hochgeladenen Fotos, die sonst gern im Dateisystem liegenbleiben. Vor dem Löschen kann eine anonymisierte Zusammenfassung in eine Statistiktabelle geschrieben werden, sodass die Auswertbarkeit erhalten bleibt, ohne dass Personenbezug bestehen bliebe.

Sinnvolle Fristen richten sich nach dem Verlauf. Anfragen ohne jede Reaktion des Interessenten: sechs Monate. Anfragen mit Angebot, aber ohne Auftrag: zwölf Monate, weil Interessenten erfahrungsgemäß auch nach Monaten zurückkommen. Anfragen, aus denen ein Auftrag wurde: hier greifen die handels- und steuerrechtlichen Aufbewahrungspflichten, die deutlich länger laufen und Vorrang haben.

Drei Fallstricke aus der Praxis

Die rechtlichen Anforderungen sind bekannt, die Lücken entstehen trotzdem. Nicht weil Betriebe sie ignorieren, sondern weil der Konfigurator über die Jahre gewachsen ist, der Webdesigner das Formular so geliefert hat und niemand mehr nachgeschaut hat. Drei typische Konstellationen, die sich so oder ähnlich häufig zeigen.

SHK-Betrieb mit Badkonfigurator: Kontaktdaten zu früh und kein AVV

Ein SHK-Betrieb mit zehn Mitarbeitern betreibt seit zwei Jahren einen Konfigurator, der Interessenten durch Fragen zu Badgröße, Ausstattung und Wunschtermin führt. Der Konfigurator läuft gut, die Anfragen werden mehr. Das Problem wird sichtbar, als der Betriebsinhaber den Ablauf einmal auf Papier bringt: Im zweiten Schritt fragt die Strecke Name, Adresse und E-Mail-Adresse ab — bevor der Interessent überhaupt weiß, ob er die Anfrage abschicken wird. Jeder Abbruch nach Schritt zwei hinterlässt Kontaktdaten im System, ohne dass dafür ein Zweck bestünde.

Dazu kommt ein zweites Problem: Die vollständigen Anfragen landen automatisch in einem cloudbasierten Angebots-Tool eines amerikanischen Anbieters. Einen Auftragsverarbeitungsvertrag gibt es nicht — der Anbieter stellt ihn nur im bezahlten Geschäftstarif bereit, der Betrieb nutzt den kostenlosen Zugang. Beide Punkte lassen sich lösen: Kontaktdaten wandern ans Ende der Strecke, und für das Angebots-Tool wird entweder auf den Geschäftstarif mit AVV gewechselt oder ein Werkzeug eingesetzt, das auf europäischen Servern läuft und einen DSGVO-konformen AVV mitbringt. Der Aufwand für beide Korrekturen liegt typischerweise bei einem halben Tag.

Elektrobetrieb mit falscher Rechtsgrundlage: die Einwilligung, die sich rächt

Ein Elektriker-Betrieb mit sechs Mitarbeitern hat sein Kontaktformular so übernommen, wie es der Webdesigner geliefert hat: mit einer Checkbox unter dem Absende-Button, die lautet: „Ich bin damit einverstanden, dass meine Daten zur Bearbeitung meiner Anfrage gespeichert werden." Drei Jahre lang hat das niemanden gestört. Dann schickt ein Interessent eine Anfrage für eine neue Unterverteilung, überlegt es sich am nächsten Tag anders und schreibt eine kurze Mail: „Ich widerrufe meine Einwilligung, bitte löschen Sie meine Daten." Der Betrieb hat die Anfrage da schon in den Kalender eingetragen und bearbeitet sie weiter. Der Interessent beschwert sich beim Landesdatenschutzbeauftragten.

Das Verfahren kostet mehrere Wochen Aufmerksamkeit, auch wenn am Ende kein Bußgeld ausgesprochen wird. Die Ursache ist die falsche Rechtsgrundlage: Wer die Verarbeitung auf eine Einwilligung nach Art. 6 Abs. 1 lit. a stützt, macht sie widerrufbar — und steht dann ohne Grundlage da, wenn die Bearbeitung eigentlich laufen soll. Art. 6 Abs. 1 lit. b hat dieses Problem nicht. Die Umstellung ist in einer Stunde erledigt: Checkbox entfernen, zwei Sätze Hinweistext direkt vor den Absende-Button.

Dachdeckerei mit Löschfrist auf Papier: dreitausend Datensätze aus vier Jahren

Eine Dachdeckerei mit fünfzehn Mitarbeitern läuft seit Jahren über ein einfaches Webformular. In der Datenschutzerklärung steht, dass Anfragedaten nach zwölf Monaten gelöscht werden. Passiert ist das nie, weil niemand einen Prozess dafür eingerichtet hat. Das Problem wird sichtbar, als ein ehemaliger Mitarbeiter, der jetzt bei einem Wettbewerber tätig ist, um Löschung seiner Anfrage aus dem Jahr 2022 bittet — und damit eine Prüfung auslöst. Im System liegen knapp dreitausend Datensätze aus vier Jahren, teils mit hochgeladenen Fotos von Dächern, auf denen Hauseingänge und Nachbargrundstücke zu sehen sind. Mehrere Arbeitstage gehen allein für Sichtung und manuelle Bereinigung drauf.

Was hier geholfen hätte: ein automatischer Löschlauf, der einmal im Monat alle Datensätze jenseits der festgelegten Frist entfernt — ohne manuellen Eingriff. Dabei müssen ausdrücklich auch hochgeladene Dateien im Dateisystem erfasst werden, nicht nur die Tabellenzeilen in der Datenbank. Wer nur die Datenbank bereinigt, übersieht erfahrungsgemäß die Fotos.

Wie sich das in der Praxis ordnen lässt

Die drei Beispiele zeigen: Es sind selten komplizierte Rechtsfragen, die Probleme verursachen, sondern fehlende Prozesse. Die Anforderungen lassen sich in drei überschaubaren Schritten aufräumen.

Der erste Schritt ist eine Bestandsaufnahme der eigenen Website: Welche Formulare gibt es, was erfassen sie, in welcher Reihenfolge, und wohin gehen die Daten danach? Welche externen Dienste sind eingebunden — E-Mail-Versand, CRM, Angebots-Tool, KI-Dienst — und liegt für jeden ein Auftragsverarbeitungsvertrag vor? Fehlt er, ist das der dringendste Punkt.

Der zweite Schritt betrifft das Formular selbst: Rechtsgrundlage klar benennen, Kontaktdaten ans Ende des Fragebogens, unnötige Felder entfernen, kurzen Hinweistext direkt vor den Absende-Button. In einem gut strukturierten Konfigurator ist das in der Regel an einem halben Tag erledigt.

Der dritte Schritt ist die Löschfrist. Eine Frist, die nur in der Datenschutzerklärung steht, schützt nicht vor dem Befund, den die Dachdeckerei erlebt hat. Wer einen Anfrage-Workflow betreibt, baut den Löschlauf dort fest ein — automatisch, monatlich, inklusive aller hochgeladenen Dateien. Wer keinen Workflow hat, kann dasselbe mit einem einfachen Script oder Cronjob erreichen.

Wer eine neue Website mit datenschutzkonformem Anfrageprozess von Grund auf neu aufbauen will, findet auf der Seite für Handwerker-Websites Informationen zum Festpreis-Angebot.

Eine kurze Checkliste

Wer einen Konfigurator und einen automatisierten Angebotsworkflow betreibt, sollte diese Punkte einmal schriftlich beantwortet haben: Auf welcher Rechtsgrundlage werden die Formulardaten verarbeitet, und steht das so auch am Formular? Gibt es separate Einwilligungen für Zwecke jenseits der Anfragebearbeitung, und sind sie ungekoppelt? Ist jedes Feld begründbar, und stehen die Kontaktdaten am Ende der Strecke? Existiert ein AVV mit jedem eingesetzten Dienst — Modellanbieter, Hoster, Rechnungssoftware, E-Mail-Versand? Sind diese Dienste im Verarbeitungsverzeichnis und in der Datenschutzerklärung genannt? Gibt es eine Löschfrist, und läuft sie automatisch? Werden Fotouploads davon erfasst? Und wird jedes Angebot vor dem Versand von einem Menschen freigegeben?

Keine dieser Fragen erfordert großen Aufwand, solange sie beim Aufbau gestellt wird. Nachträglich in ein laufendes System eingebaut, kosten dieselben Punkte deutlich mehr Zeit.

Wie der Workflow aufgebaut ist, an dem diese Anforderungen ansetzen, beschreibt der Artikel Vom Web-Formular zum PDF-Angebot. Der Fragebogen davor ist im Artikel zum Angebotskonfigurator für Handwerksbetriebe beschrieben.

Eine weitere gesetzliche Pflicht, die Betriebe ab 10 Mitarbeitenden betrifft, ist das Barrierefreiheitsstärkungsgesetz — seit 28. Juni 2025 in Kraft. Was genau es verlangt und wen die Kleinstunternehmen-Ausnahme schützt, erklärt der Artikel Barrierefreiheitsstärkungsgesetz: Was Handwerksbetriebe über ihre Website wissen müssen.

Häufige Fragen