Was prüft der Formular-Check genau?

Zehn Datenschutz-Prüfungen an Kontakt- und Newsletter-Formularen: vorausgewählte Einwilligung, unverschlüsselter Versand, fehlendes Opt-in-Feld beim Newsletter, fehlender Datenschutz-Hinweis, zu viele Pflichtfelder, Captcha vor der Einwilligung, Einwilligungs-Kopplung, besondere Datenkategorien, Übermittlung an Drittanbieter und ein Prüfhinweis für nicht eindeutig bewertbare Formulare.

Behandelt der Check Kontaktformular und Newsletter unterschiedlich?

Ja. Jedes Formular wird zuerst als Kontakt, Newsletter oder Sonstiges klassifiziert. Ein fehlendes Einwilligungsfeld wird nur beim Newsletter bemängelt — ein Kontaktformular stützt sich regelmäßig auf Art. 6 (1) b/f, nicht auf Einwilligung. Suche, Login und Warenkorb werden nur auf verschlüsselten Versand geprüft.

Werden dabei die eingegebenen Formulardaten gelesen?

Nein. Der Check liest ausschließlich die Struktur der Felder — Typ, Name, Pflicht-Status und ob eine Checkbox angehakt ist. Der eingegebene Wert wird nie ausgelesen oder gespeichert, und das Formular-Ziel (action) wird ohne Query-Parameter abgelegt.

Was passiert bei unsicheren oder eingebetteten Formularen?

Ist die Klassifikation zu unsicher oder das Formular in einem iframe eingebettet, gibt der Check einen ehrlichen „bitte prüfen"-Hinweis statt eines falschen FAIL. Auch die Einwilligungs-Kopplung und besondere Datenkategorien werden bewusst zur manuellen Prüfung markiert.

Für Agenturen, die mehrere Kunden-Websites betreuen

Jedes Formular sammelt Daten. Nicht jedes darf das so.

Der Formular-Check prüft die Kontakt- und Newsletter-Formulare Ihrer Kundenwebsites automatisch auf 10 Datenschutz-Befunde — von der vorausgewählten Einwilligung über den unverschlüsselten Versand bis zum Captcha, das schon vor der Einwilligung in die USA funkt. Und das Entscheidende: Er liest nur die Struktur der Felder, nie die eingegebenen Werte.

Formulare jetzt prüfen lassen

Kostenlos testen · Keine Installation nötig · Hosting in Deutschland

Formular-Befunde offenwww.musterfirma.de/newsletter · geprüft 28.07.2026, 03:00

Newsletter-FormularErkennung: hoch

EinwilligungCheckbox vorausgewählt (angehakt)Kritisch

Verschlüsselter Versandaction-Ziel über http://Kritisch

Captcha vor ConsentreCAPTCHA aktiv vor EinwilligungWichtig

Datenschutz-HinweisKein DSE-Link am FormularWichtig

PflichtfelderNur E-Mail — datenminimierthoch

Einwilligungs-KopplungPflicht-Checkbox — bitte prüfen

Das Problem

Das Formular steht seit dem Launch. Die Rechtslage nicht.

Kontakt- und Newsletter-Formulare sind der Punkt, an dem eine Website zum ersten Mal personenbezogene Daten erhebt — und genau dort häufen sich vermeidbare Befunde: ein vorausgewähltes Häkchen, ein http-Endpunkt, ein Captcha, das vor der Einwilligung feuert.

Das vorausgewählte HäkchenEine bereits angehakte Einwilligungs-Checkbox ist nach dem EuGH-Urteil „Planet49" regelmäßig unzulässig — und passiert ständig durch Theme-Defaults und Plugins.

Die Seite ist HTTPS — das Formular nichtEine verschlüsselte Seite kann ihre Daten trotzdem an eine http-Adresse senden. Dieses Downgrade sieht man dem grünen Schloss nicht an.

Der Captcha, der zu früh funktGoogle reCAPTCHA am Formular kann schon vor der Einwilligung die IP in die USA übertragen — laut BVwG Österreich (09/2024) regelmäßig einwilligungspflichtig.

Kontaktformular ≠ NewsletterEin Kontaktformular braucht keine Einwilligung (Art. 6), ein Newsletter schon. Pauschal-Checks werfen hier ständig Fehlalarme — oder übersehen das Wesentliche.

Newsletter abonnieren

E-Mail-Adresse

name@beispiel.de

✓ Ja, ich möchte den Newsletter erhalten

Anmelden →

action → http://track.fremd-esp.com/subscribe

Einwilligung vorausgewählt (angehakt)Versand über http:// — unverschlüsseltKein Datenschutz-Hinweis am Formular

Der komplette Prüfkatalog

10 Prüfungen. Passend zum Formulartyp.

Jedes erkannte Formular wird eingeordnet — Kontakt, Newsletter oder sonstiges — und nur auf das geprüft, was für diesen Typ relevant ist. Rechtsgrundlagen nennt der Check nur dort, wo sie eindeutig sind; Grenzfälle gehen als ehrlicher Prüfhinweis raus, nie als falsches „OK".

Einwilligung nicht vorausgewähltKritisch

Ist die Einwilligungs-Checkbox schon beim Laden angehakt? Eine vorausgewählte Einwilligung ist regelmäßig unzulässig — sie muss standardmäßig leer sein. Gilt für Newsletter- und Kontaktformulare.

Art. 7 DSGVO · EuGH „Planet49" C-673/17

Verschlüsselter VersandKritisch

Läuft die Seite über HTTPS, das Formular postet die Daten aber an eine http-Adresse? Der Check erkennt dieses Downgrade, das dem grünen Schloss nicht anzusehen ist.

Art. 32 DSGVO

Einwilligungsfeld beim NewsletterWichtig

Bietet die Newsletter-Anmeldung überhaupt ein Opt-in-Feld? Ohne bestätigtes Double-Opt-in ist eine Anmeldung regelmäßig nicht ausreichend abgesichert.

Double-Opt-in

Datenschutz-Hinweis am FormularWichtig

Ist ein Datenschutz-Link direkt an der Erhebungsstelle erreichbar? Ein Link nur im Footer genügt dort oft nicht — Grenzfälle gehen in die manuelle Prüfung.

Art. 13 DSGVO

Datenminimierung der PflichtfelderWichtig

Fragt ein Newsletter mehr Pflichtfelder als die E-Mail ab? Überzählige Pflicht-Datenfelder widersprechen der Datenminimierung — bei Unsicherheit als Prüfhinweis.

Art. 5 Abs. 1 lit. c DSGVO

Captcha vor der EinwilligungWichtig

Feuert ein Captcha (z. B. Google reCAPTCHA) schon vor der Einwilligung und überträgt Daten in die USA? Der Check erkennt aktive Drittland-Captchas an der Erhebungsstelle.

Art. 6, Art. 44 ff. DSGVO · BVwG Österreich 09/2024

Kopplung der EinwilligungWichtig

Erzwingt ein Kontaktformular eine Marketing-Einwilligung als Pflichtfeld? Das Koppeln von Kontakt und Einwilligung ist heikel — der Check markiert es zur Prüfung.

Art. 7 Abs. 4 DSGVO

Besondere KategorienWichtig

Erhebt das Formular Gesundheits-, Religions- oder ähnlich sensible Daten? Solche besonderen Kategorien brauchen eine strengere Grundlage — der Check markiert sie zur Prüfung.

Art. 9 DSGVO

Übermittlung an DrittanbieterWichtig

Sendet das Formular an eine fremde Domain statt an den eigenen Dienst? Das kann einen AVV und bei US-Anbietern eine Drittland-Grundlage erfordern — als Prüfhinweis.

Art. 28 · Art. 44 ff. DSGVO

Formular manuell prüfenWichtig

iframe-Embeds und unsicher klassifizierte Formulare kann der Automat nicht abschließend bewerten — statt eines falschen „OK" bekommen Sie einen ehrlichen Prüfhinweis.

Formulartyp-ErkennungWelche Prüfungen laufen, hängt am erkannten Zweck

Newsletter (Opt-in)

Einwilligungsfeld nötig
Datenminimierung der Felder
Nicht vorausgewählt
Datenschutz-Hinweis

Kontakt (Art. 6)

Kein Einwilligungs-Zwang
Kopplung wird geprüft
Nicht vorausgewählt
Verschlüsselter Versand

Suche, Login, Warenkorb & Co. werden als „Sonstiges" erkannt und nur auf verschlüsselten Versand geprüft — kein Fehlalarm.

Formulartyp-Intelligenz

Ein Kontaktformular ist kein Newsletter — der Check weiß das.

Ein Kontaktformular stützt sich regelmäßig auf Art. 6 (1) b/f — nicht auf Einwilligung. Es deshalb wegen „fehlender Einwilligung" zu melden, wäre ein Fehlalarm. Der Check klassifiziert jedes Formular zuerst und prüft dann gezielt.

Zweck aus echten SignalenESP-Ziel im action (Mailchimp, Brevo, HubSpot …) und Wortlaut ergeben „Newsletter"; ein Textfeld plus Kontakt-Vokabular ergibt „Kontakt".
Kein Fehlalarm beim LoginSuche, Login, Registrierung und Warenkorb erkennt der Check als „Sonstiges" — und prüft dort nur die verschlüsselte Übertragung.
Der eigene ESP zählt nicht als „Dritter"Ein Newsletter, der an seinen eigenen Versanddienst postet, wird nicht doppelt als Drittanbieter-Übermittlung geflaggt.

Datensparsam by design

Prüft die Struktur — liest nie, was Ihre Besucher eintippen.

Ein Formular-Check, der selbst zum Datenrisiko wird, wäre absurd. Deshalb liest der Collector ausschließlich die technische Struktur der Felder — Typ, Name, Pflicht-Status, ob eine Checkbox angehakt ist. Nie den eingegebenen Wert. Das action-Ziel wird ohne Query gespeichert.

Nur Attribute, nie WerteGelesen werden Feld-Typ, Name, required, autocomplete und der Checkbox-Status — der eingegebene Inhalt wird nie ausgelesen oder gespeichert.
Unsicher? Dann Prüfhinweis, nicht UrteilIst die Klassifikation zu unsicher oder das Formular in einem iframe eingebettet, gibt es einen ehrlichen „bitte prüfen"-Hinweis statt eines falschen FAIL.
Struktur-Beweis, ohne ForensikJedes To-Do trägt einen eingefrorenen Beweis-Block aus reinen Strukturattributen — nachvollziehbar, aber ohne je Formulareingaben zu enthalten.

Einwilligungs-CheckboxKritisch

vorausgewählt (checked)

type=checkbox · name=newsletter_optin · checked · required — Wert: nie gelesen

E-Mail-FeldOK

Pflichtfeld, datenminimiert

type=email · required · autocomplete=email — Wert: nie gelesen

action wird auf Host + Pfad reduziert gespeichert — ohne Query-Parameter, ohne Eingaben.

Im Alltag

Läuft einfach mit — bei jedem Scan.

Automatisch bei jedem Scan

Der Formular-Check läuft beim Website-Scan mit — geprüft werden die Startseite und bis zu drei Kontakt-/Newsletter-Seiten, jederzeit auch manuell per „Jetzt prüfen".

Funde werden To-Dos

7 eigene To-Do-Typen — von der vorausgewählten Einwilligung bis zum Prüfhinweis. Pro Website zusammengefasst, jedes mit eingefrorenem Struktur-Beweis.

Im Kundenreport enthalten

Formular-Befunde erscheinen im Share-Link und White-Label-Teaser — verständlich aufbereitet, ohne interne Forensik nach außen zu geben.

Ehrliche Prüfhinweise

Iframe-Embeds und unsicher klassifizierte Formulare werden zur manuellen Prüfung markiert statt falsch bewertet — nachvollziehbar über eine versionierte Regelbasis.

Complianty ersetzt keine Rechtsberatung. Der Formular-Check dokumentiert technische Befunde und Prüfhinweise — als belastbare Grundlage für die weitere Prüfung, nicht als abschließende rechtliche Bewertung.

Der Formular-Check ist in jedem Plan enthalten:

Pricing