Formular-Check
Kontakt- und Newsletter-Formulare: Übertragung, Einwilligung, Hinweise.
Der Formular-Check betrachtet die Stellen, an denen eine Website selbst personenbezogene Daten erhebt: Kontaktformulare, Newsletter-Anmeldungen und alles, was nicht sicher einzuordnen ist. Er ist zurückhaltend gebaut. Die Einordnung des Formulars entscheidet darüber, welche Prüfungen überhaupt laufen.
Wann gemessen wird
Die Formulare werden im laufenden Scan erfasst, im selben unberührten Fenster vor jeder Einwilligung, in dem auch die übrigen Seitensignale gelesen werden. Der Zeitpunkt ist entscheidend. Ob ein Ankreuzfeld vorausgewählt ist, beantwortet nur eine Messung vor dem Klick auf den Einwilligungsdialog ehrlich. Danach kann ein Skript den Zustand längst gesetzt haben. Ausgewertet wird anschließend ohne Browser aus dem Schnappschuss.
Welche Seiten dabei erfasst werden, hängt am Scan. Der schnelle Scan sieht die Startseite, der tiefe Scan sammelt die Formulare aller gecrawlten Unterseiten ein (siehe Schneller und tiefer Scan). Wird der Check einzeln ausgelöst, öffnet er einen eigenen Kontext und sieht die Startseite plus bis zu zwei zusätzliche Kontakt- und Newsletter-Kandidatenseiten. Pro Seite werden höchstens zehn Formulare betrachtet. Formulare, die in Kopf- oder Fußbereich auf jeder Seite wiederkehren, werden über ihren strukturellen Fingerabdruck zu einem zusammengefasst.
Die Einordnung ist der Kern
Jedes Formular wird als Newsletter, Kontakt oder Sonstiges eingeordnet, mit einem Sicherheitswert. Ein Passwortfeld bedeutet Anmeldung oder Registrierung, ein einzelnes Suchfeld eine Suchbox. Beides landet bei „Sonstiges" und wird nie auf Einwilligung geprüft. Bewertet werden Beschriftungen, Feldnamen, das Ziel des Formulars und bekannte Versanddienstleister im Formularziel.
Die Einwilligungsprüfungen laufen ausschließlich auf Newsletter-Formularen. Ein gewöhnliches Kontaktformular bekommt niemals den Befund „Einwilligung fehlt", denn seine Rechtsgrundlage ist regelmäßig eine andere. Liegt die Einordnung unter der mittleren Sicherheitsschwelle, unterbleiben die inhaltlichen Prüfungen ganz. Das Formular geht als geführte Prüfung an den Menschen.
Was geprüft wird
Zehn Prüfungen können ein Ergebnis erzeugen, je nach Formulartyp:
- Vorausgewählte Einwilligung: ein bereits angekreuztes Einwilligungsfeld. Harte DOM-Tatsache, deshalb unabhängig von der Einordnungssicherheit und für Newsletter wie Kontaktformulare gleichermaßen. Verwiesen wird auf Art. 7 DSGVO und die Planet49-Entscheidung des EuGH.
- Einwilligungsfeld vorhanden, nur bei sicher erkanntem Newsletter.
- Datenschutz-Hinweis am Formular: Ein Hinweis im Formularbereich gilt als erfüllt. Liegt er nur irgendwo auf der Seite, ist die Nähe zur Erhebungsstelle eine Ermessensfrage und das Ergebnis lautet „Prüfung nötig".
- Datenminimierung der Pflichtfelder: Pflichtangaben über die E-Mail-Adresse hinaus bei einer Newsletter-Anmeldung. Als Befund nur bei hoher Einordnungssicherheit, sonst als Prüfhinweis.
- Verschlüsselter Versand. Diese Prüfung greift nur, wenn die Seite selbst über HTTPS läuft, das Formularziel aber unverschlüsselt ist. Läuft die ganze Seite unverschlüsselt, schweigt sie, weil der SSL-Befund das bereits abdeckt.
- Captcha am Formular: Erkannt werden reCAPTCHA, hCaptcha, Turnstile und Friendly Captcha. Entscheidend ist nicht die Einbindung, sondern ob der Dienst schon vor einer Einwilligung aktiv war. Ist er einwilligungsgesteuert nachgeladen, gilt die Prüfung als bestanden.
- Besondere Kategorien: Hinweise auf Gesundheits-, Religions- oder vergleichbare Angaben führen immer nur zu einer manuellen Prüfung, nie zu einem harten Befund.
- Übermittlung an Drittanbieter: Das Formular sendet an eine fremde Domain. Der eigene Versanddienstleister eines Newsletters wird dabei nicht doppelt gemeldet.
- Kopplung der Einwilligung: eine als Pflicht markierte Einwilligung an einem Kontaktformular, als Prüfhinweis zu Art. 7 Abs. 4 DSGVO.
- Manuelle Prüfung: Sammelfall für unklare Einordnung und für Formulare, die als fremdes Fenster eingebettet sind.
Was dabei nicht gelesen wird
Erfasst wird ausschließlich Struktur: Feldtyp, Feldname beziehungsweise Kennung, ob ein Feld Pflicht ist, der Ausfüllhinweis und der Ankreuzzustand, dazu kurze Ausschnitte der Beschriftungen. Eingegebene Werte werden nicht gelesen, Formulare werden nie ausgefüllt und nie abgesendet. Der Regelstand jeder Prüfung wird mitgespeichert, damit spätere Änderungen nachvollziehbar bleiben.
Was diese Prüfung nicht leistet
Double-Opt-in ist von außen nicht sichtbar. Ob nach der Anmeldung eine Bestätigungsmail verschickt wird, spielt sich auf dem Server ab. Der Check kann das nicht feststellen und behauptet es auch nicht. Ein Newsletter ohne sichtbares Einwilligungsfeld kann durch ein sauberes Double-Opt-in abgedeckt sein. Deshalb ist dieser Befund nicht als kritisch eingestuft.
Die Einordnung kann danebenliegen. Sie ist der empfindlichste Teil. Ein Kontaktformular mit Newsletter-Wortlaut kann als Newsletter durchgehen und einen unberechtigten Einwilligungsbefund erzeugen. Umgekehrt kann eine schlicht beschriftete Anmeldebox unter die Schwelle fallen und nur als Prüfhinweis erscheinen.
Nähe wird im Quelltext gemessen, nicht mit dem Auge. Ein Datenschutz-Hinweis, der direkt unter dem Formular steht, aber außerhalb des Formularbereichs im Quelltext liegt, wird nicht als „am Formular" gewertet. Der umgekehrte Fall ist ebenfalls möglich.
Nur was beim Laden im Dokument steht. Formulare, die erst nach einer Nutzeraktion erscheinen — Dialogfenster, Reiter, Ausklappbereiche — werden nicht erfasst.
Eingebettete Formulare, soweit lesbar. Ein Formular eines Newsletter-Dienstes steht nicht im Dokument der Website, sondern in einem eigenen Fenster darin. Dessen Inhalt wird mitgelesen, sodass Felder, Pflichtangaben und eine vorausgewählte Einwilligung auch dort geprüft werden. Der Datenschutz-Hinweis wird dabei von der umgebenden Seite übernommen — im Fenster des Anbieters steht er nie. Lässt sich ein Fenster nicht auslesen, etwa weil es abgeschottet ist, bleibt es undurchsichtig und wird wie bisher zur manuellen Prüfung gemeldet.
Der Text der Einwilligung wird nicht bewertet. Geprüft wird, ob ein Einwilligungsfeld existiert und ob es vorausgewählt ist. Ob der Einwilligungstext bestimmt genug, verständlich und freiwillig ist, entscheidet die Prüfung nicht.
Was nach dem Absenden geschieht, bleibt außen vor. Empfänger, Speicherdauer, Weitergabe, tatsächlicher Verarbeitungszweck: nichts davon ist am Formular ablesbar. Der Befund „Übermittlung an einen externen Dienst" sagt nur, dass ein fremdes Ziel angesprochen wird, nicht, ob dafür ein Vertrag besteht.
Wiederkehrende Formulare werden zusammengefasst. Angezeigt wird ein Vorkommen stellvertretend. Die Seitenangabe im Befund benennt also nicht zwangsläufig jede betroffene Seite.