Elementor-Formulare datenschutzkonform aufsetzen
Ein Elementor Formular ist DSGVO-konform, wenn es nur die nötigen Daten abfragt, transparent auf die Datenschutzerklärung hinweist, verschlüsselt überträgt und die Daten nur an Dienstleister mit AV-Vertrag weitergibt. Das Formular-Widget von Elementor Pro bringt dafür alles mit. Die meisten Probleme entstehen nicht im Formular selbst, sondern dahinter: bei der Frage, wohin die Daten nach dem Absenden gehen.
Die anderen typischen Datenschutz-Fallen bei Elementor findest du in Ist Elementor DSGVO-konform?. Hier geht es Schritt für Schritt um Formulare.
Schritt 1: Nur abfragen, was du wirklich brauchst
Datensparsamkeit ist kein Formalismus, sondern ein DSGVO-Grundsatz. Für eine Kontaktanfrage reichen meist Name, E-Mail und Nachricht. Telefonnummer, Firma oder Adresse nur als Pflichtfeld, wenn du sie für die Antwort tatsächlich brauchst. Alles andere setzt du optional.
Auch für die Conversion ist das gut: Jedes Pflichtfeld weniger senkt die Hürde, überhaupt anzufragen.
Schritt 2: Datenschutzhinweis direkt am Formular
Unter oder über dem Absenden-Button gehört ein kurzer Hinweis mit Link zur Datenschutzerklärung. Etwa: „Mit dem Absenden verarbeiten wir deine Angaben, um deine Anfrage zu beantworten. Mehr dazu in der Datenschutzerklärung.“
Ob du zusätzlich eine Pflicht-Checkbox brauchst, hängt vom Zweck ab. Für eine reine Kontaktanfrage ist sie in vielen Fällen nicht zwingend, weil die Verarbeitung der Beantwortung deiner Anfrage dient. Willst du eine Checkbox, nutze im Elementor-Formular den Feldtyp „Acceptance“ und lass ihn nicht vorausgewählt.
Sonderfall Newsletter
Soll das Formular auch für den Newsletter anmelden, brauchst du dafür eine eigene, nicht vorausgewählte Einwilligung und ein Double-Opt-in. Die Newsletter-Anmeldung darf nicht an die Kontaktanfrage gekoppelt sein.
Schritt 3: Klären, wohin die Daten gehen
Das ist der wichtigste Schritt. In Elementor Pro legst du unter „Aktionen nach dem Absenden“ fest, was mit den Daten passiert. Jede Aktion ist ein eigener Datenfluss:
- E-Mail: Die Anfrage landet in deinem Postfach. Dein E-Mail-Anbieter verarbeitet die Daten, also brauchst du mit ihm einen AV-Vertrag.
- Einsendungen sammeln: Elementor speichert die Anfragen zusätzlich in der WordPress-Datenbank. Praktisch als Backup, aber du brauchst ein Löschkonzept. Brauchst du die Kopie nicht, deaktivier die Aktion.
- Integrationen (z. B. Newsletter-Tool, CRM, Webhook): Jeder Dienst ist ein weiterer Empfänger und braucht einen AV-Vertrag. Prüf bei Anbietern außerhalb der EU, auf welcher Grundlage die Daten übermittelt werden.
Alle Empfänger gehören in die Datenschutzerklärung.
Schritt 4: Spam-Schutz, deine Optionen
Viele greifen beim Spam-Schutz reflexartig zu reCAPTCHA. reCAPTCHA überträgt aber Daten an Google und braucht deshalb eine Rechtsgrundlage, in der Praxis meist eine Einwilligung über einen Cookie-Blocker. Lädt reCAPTCHA erst nach Zustimmung, funktioniert das Formular für alle, die ablehnen, nicht richtig.
Unsere Empfehlung: Starte mit dem Honeypot-Feld von Elementor Pro. Es ist für Besucher unsichtbar, fängt einen großen Teil automatisierter Spam-Bots ab und sendet nichts an Dritte. Reicht das nicht, gibt es datenschutzfreundlichere Captcha-Lösungen, die ohne Google auskommen.
Ein Consent-Tool mit Content-Blocker, wie beispielsweise Borlabs Cookie [Affiliate Link] hat einen Elementor Service und blockiert ReCaptcha im Elementor Formular automatisch, bis der User die Einwilligung gegeben hat.
Schritt 5: Saubere Übertragung und sauberer Versand
Die Website muss per SSL laufen, sonst werden Formulardaten unverschlüsselt übertragen. Das ist heute Standard, sollte aber auf jeder Unterseite geprüft werden.
Für den E-Mail-Versand empfehlen wir SMTP über dein eigenes Postfach statt der Standard-Mailfunktion von WordPress. So landen Anfragen zuverlässiger im Posteingang statt im Spam. Und du weißt genau, über welchen Anbieter die Daten laufen.
Checkliste: Elementor Formular DSGVO-konform
- Nur nötige Pflichtfelder
- Hinweis mit Link zur Datenschutzerklärung am Formular
- Newsletter nur mit eigener Einwilligung und Double-Opt-in
- Jede Aktion nach dem Absenden kennen, jeder Empfänger mit AV-Vertrag
- Gespeicherte Einsendungen nur mit Löschkonzept
- Spam-Schutz ohne Datenübertragung an Google, wo möglich
- SSL auf allen Seiten, Versand per SMTP
Fazit: Das Formular ist schnell gebaut, der Datenfluss entscheidet
Ein Elementor-Formular ist in fünf Minuten zusammengeklickt. Ob es datenschutzkonform ist, entscheidet sich an den Stellen, die man nicht sieht: Aktionen, Integrationen, Spam-Schutz. Genau die dokumentieren wir bei jeder Übergabe, damit du später weißt, wohin deine Anfragen laufen.
Wie wir Elementor-Websites für Unternehmen bauen, liest du auf Elementor für Unternehmen. Externe Dienste wie Google Fonts und YouTube behandeln wir in [Google Fonts & externe Dienste DSGVO-konform einbinden, den Überblick findest du im Leitfaden Elementor & DSGVO.
Dieser Beitrag erklärt die technischen Stellschrauben aus Umsetzungssicht und ist keine Rechtsberatung. Für die verbindliche Beurteilung deines Einzelfalls hilft dir eine Fachanwältin oder ein Fachanwalt für IT-Recht.
