Das Kontaktformular ist die Stelle, an der eine Website zum ersten Mal wirklich personenbezogene Daten erhebt – nicht nebenbei über ein Cookie, sondern ausdrücklich: Name, E-Mail, Anliegen. Entsprechend klar sind die Regeln, und entsprechend alt: Datenschutzhinweis an der Erhebung, Einwilligung für den Newsletter, keine vorangehakten Kästchen, verschlüsselter Versand. Wir haben nachgesehen, wie die Praxis 2026 aussieht. Das Ergebnis ist zweigeteilt: Die Fehler von 2018 sind fast weg. Zwei neue sind geblieben.
haben mindestens einen eindeutigen Fehler
ohne erkennbares Einwilligungsfeld
der Klassiker ist praktisch verschwunden
Wie wir gemessen haben
Der Formular-Check läuft im selben Browserfenster wie der Tracking-Scan, vor jeder Interaktion mit dem Cookie-Banner. Das ist entscheidend: Ob ein Kästchen vorangehakt ist oder ob reCAPTCHA schon Daten sendet, lässt sich nur vor dem ersten Klick ehrlich beantworten. Erfasst werden die Formulare der Startseite und, wenn der Check einzeln läuft, bis zu zwei Kontakt- oder Newsletter-Seiten; je Seite höchstens zehn Formulare, wiederkehrende Kopf- und Fußformulare werden zusammengefasst.
Grundlage sind 88.189 Websites aus unserem Bestand – überwiegend .de-Unternehmensseiten, dazu die Branchen-Korpora – mit auswertbarem Formular-Check zwischen dem 8. und 17. August 2026, eine Zufallsauswahl aus dem vollen Bestand. 36.698 davon, 41,6 %, haben mindestens ein Formular. Jedes Formular wird nach seinem Zweck eingeordnet: 9.680 Websites haben ein Kontaktformular, 3.707 eine Newsletter-Anmeldung, der Rest sind Suchfelder, Logins und Sonstiges. Die Prüfpunkte folgen Art. 13 (Information bei der Erhebung), Art. 7 (Einwilligung), Art. 5 (Datenminimierung) und Art. 32 DSGVO (Verschlüsselung).
Der Check ist konservativ: Was er nicht sicher entscheiden kann, markiert er zur manuellen Prüfung. Diese Fälle zählen unten nicht als Fehler, erscheinen aber im Gesamtbild, weil sie Handlungsbedarf sind. Von den 36.698 Websites mit Formular haben 29,9 % mindestens einen Fehler oder einen Prüfpunkt, den ein Mensch ansehen muss; 0,6 % haben einen kritischen Fehler.
Die Befunde
Anteil der Websites mit Formular, auf denen der jeweilige Prüfpunkt fehlschlägt oder zur manuellen Prüfung markiert ist. Basis: 36.698 Websites mit mindestens einem Formular.
Newsletter ohne Einwilligungsfeld (5,8 % aller Websites mit Formular, 59,1 % der Newsletter-Formulare). Das ist der größte harte Befund. Von 3.707 Websites mit Newsletter-Anmeldung hat bei 2.191 das Formular kein erkennbares Einwilligungsfeld: E-Mail eintragen, absenden, fertig. Werbung per E-Mail braucht eine Einwilligung (§ 7 UWG, Art. 6 DSGVO), und die muss dokumentierbar sein. Ein Double-Opt-in nach dem Absenden heilt das nur, wenn es die Einwilligung auch textlich einholt; ob das passiert, sehen wir von außen nicht. Sichtbar ist nur: Auf dem Formular selbst willigt niemand in etwas ein.
Captcha mit Drittlandtransfer (5,6 %). Auf 2.037 Websites ist ein Captcha aktiv, bevor irgendjemand etwas eingegeben oder eingewilligt hat. In 88 % der Fälle ist es Google reCAPTCHA, in 9 % Cloudflare Turnstile. reCAPTCHA lädt beim Seitenaufruf, setzt Cookies und übermittelt Verhaltensdaten an Google – nach Auffassung mehrerer Aufsichtsbehörden nur mit Einwilligung zulässig. Betroffen sind vor allem Kontaktformulare (1.883) und Newsletter-Anmeldungen (396). Die Alternative sind Captchas ohne Profilbildung oder ein simples Honeypot-Feld.
Datenschutz-Hinweis nicht am Formular (2,7 % eindeutig, 16,4 % manuell prüfen). Art. 13 verlangt die Information zum Zeitpunkt der Erhebung. Auf 991 Websites fehlt am Formular jeder Hinweis, auf 6.027 gibt es zwar eine Datenschutzerklärung irgendwo auf der Seite, aber keinen Link direkt am Formular. Ob der Fußzeilen-Link „nah genug" ist, ist Auslegungssache; wir zählen es nicht als Fehler, sondern als Punkt zum Hinsehen.
Kopplung der Einwilligung (5,3 %, manuell prüfen). Ein Kästchen, das Newsletter und Kontaktanfrage zusammen abhakt, oder eine Einwilligung als Pflichtfeld für eine simple Anfrage. Art. 7 Abs. 4 DSGVO nennt das Koppelungsverbot; ob es greift, hängt vom Wortlaut ab, den wir nur teilweise auswerten.
Die Klassiker sind erledigt. Unverschlüsselter Versand (0,4 %) und vorangehakte Einwilligung (0,2 %) waren 2018 die Standardbefunde jeder Abmahnung. Heute finden wir sie noch auf 135 beziehungsweise 74 Websites. Das ist der Teil der Geschichte, der Mut macht: Was jahrelang erklärt wurde, ist angekommen.
Warum ausgerechnet Newsletter und Captcha
Beide Befunde haben dieselbe Ursache: Sie entstehen nicht im Formular, sondern im Werkzeug, das es liefert. Der Newsletter-Dienst stellt ein Einbettungs-Snippet bereit, das nur ein E-Mail-Feld enthält; die Einwilligung soll die Bestätigungsmail erledigen. Das Formular-Plugin bringt reCAPTCHA als Spamschutz mit, ein Haken in den Einstellungen, fertig. In beiden Fällen hat niemand entschieden, personenbezogene Daten ohne Einwilligung zu verarbeiten. Es ist einfach passiert, weil die Voreinstellung so war.
Das erklärt auch, warum die Fehler von 2018 verschwunden sind: Vorangehakte Kästchen und HTTP-Formulare waren Entscheidungen des Betreibers, und die wurden korrigiert. Die neuen Fehler sind Entscheidungen der Anbieter, und die korrigiert der Betreiber nur, wenn er weiß, dass er sie getroffen hat.
Was diese Zahlen nicht sagen
- Nicht „25 % der Kontaktformulare sind rechtswidrig". Wir messen technische Sachverhalte: kein Einwilligungsfeld, ein Captcha vor der Interaktion, kein Hinweis am Formular. Ob im Einzelfall eine andere Rechtsgrundlage oder ein Double-Opt-in-Text die Lücke schließt, entscheidet kein Scanner.
- Startseite plus zwei Seiten. Formulare, die tiefer in der Seite liegen, fehlen. Die Quote der Websites mit Formular (41,6 %) ist deshalb eine Untergrenze.
- Zweck-Erkennung ist eine Heuristik. Ob ein Formular ein Newsletter- oder ein Kontaktformular ist, entscheidet der Check an Feldern und Beschriftungen. 28.621 Websites haben Formulare, die er keinem der beiden Zwecke zuordnet, überwiegend Suche und Login.
- Captcha-Anbieter mit EU-Hosting wie Friendly Captcha markiert der Check ebenfalls zur Prüfung; sie machen 3 % der Captcha-Befunde aus und sind in den 88 % reCAPTCHA nicht enthalten.
- Momentaufnahme vom 8. bis 17. August 2026, .de-Bestand, keine Zufallsstichprobe aller deutschen Websites.
Für Agenturen: drei Handgriffe je Kundenseite
- Newsletter-Formulare: ein Einwilligungstext mit Kästchen. Nicht vorangehakt, mit Hinweis auf Widerruf und Datenschutzerklärung. Das Double-Opt-in bleibt, es ersetzt aber nicht den Text auf dem Formular.
- reCAPTCHA raus oder hinter die Einwilligung. Honeypot-Felder halten den meisten Spam ab, ohne Daten zu senden. Wer ein Captcha braucht, nimmt eines, das erst beim Absenden lädt, oder einen Anbieter ohne Profilbildung.
- Datenschutz-Hinweis direkt unter den Senden-Button. Ein Satz mit Link genügt. Das ist die günstigste Behebung im ganzen Katalog und nimmt 16 % der Websites den offenen Prüfpunkt.
Wie der Formular-Check die einzelnen Punkte bewertet und wo er bewusst „manuell prüfen" sagt statt zu urteilen, steht in der Produktdokumentation. Für ein Portfolio mit zwanzig Kundenseiten heißt die Statistik: acht haben Formulare, zwei davon einen harten Befund.
Häufige Fragen
Wie viele Kontaktformulare sind nicht DSGVO-konform?
In unserer Auswertung von 88.189 deutschen Websites (August 2026) haben 9.680 ein erkennbares Kontaktformular; auf 24,6 % davon schlägt mindestens ein Prüfpunkt eindeutig fehl. Über alle Websites mit irgendeinem Formular haben 29,9 % Handlungsbedarf, wenn man auch die Punkte zählt, die ein Mensch prüfen muss. Das ist ein technischer Messwert, keine Rechtsbewertung des Einzelfalls.
Braucht ein Newsletter-Formular ein Einwilligungsfeld?
Werbung per E-Mail setzt eine Einwilligung voraus (§ 7 UWG, Art. 6 DSGVO), und die muss dokumentierbar sein. Ein Double-Opt-in nach dem Absenden bestätigt die Adresse, ersetzt aber nicht den Einwilligungstext auf dem Formular. In unserer Messung fehlt bei 59,1 % der Newsletter-Formulare ein erkennbares Einwilligungsfeld.
Ist Google reCAPTCHA DSGVO-konform?
reCAPTCHA lädt beim Seitenaufruf, setzt Cookies und überträgt Verhaltensdaten an Google in den USA. Mehrere deutsche Aufsichtsbehörden halten den Einsatz nur mit Einwilligung für zulässig. Auf 5,6 % der Websites mit Formular ist ein Captcha aktiv, bevor irgendjemand eingewilligt hat; in 88 % dieser Fälle ist es reCAPTCHA. Alternativen sind Honeypot-Felder oder Captchas, die erst beim Absenden laden. Dieser Artikel ist keine Rechtsberatung.
Muss der Datenschutzhinweis direkt am Formular stehen?
Art. 13 DSGVO verlangt die Information zum Zeitpunkt der Erhebung. Ein Link zur Datenschutzerklärung direkt am Formular ist der sichere Weg. Auf 2,7 % der Websites mit Formular fehlt jeder Hinweis, auf 16,4 % gibt es nur den Fußzeilen-Link; ob der ausreicht, ist Auslegungssache.
Wie wurde geprüft?
Die Formulare werden im laufenden Scan in einem frischen Chromium-Browser vor jeder Interaktion mit dem Cookie-Banner ausgelesen: Startseite plus bis zu zwei Kontakt- oder Newsletter-Seiten, je Seite höchstens zehn Formulare. Geprüft werden Einwilligungsfeld, Vorauswahl, Datenschutz-Hinweis, Kopplung, Pflichtfelder, verschlüsselter Versand, Drittanbieter-Übermittlung und Captcha. Unsichere Fälle werden zur manuellen Prüfung markiert, nicht als Fehler gezählt.