Vier Dinge müssen sitzen: Sie erheben nur die Daten, die Sie wirklich brauchen; Sie informieren beim Formular darüber, was damit passiert; Sie haben eine Rechtsgrundlage; und Sie löschen, wenn der Zweck erledigt ist. Für eine Anfrage, die zu einem Auftrag führen soll, ist die Rechtsgrundlage die Anbahnung eines Vertrags — dafür braucht es keine Einwilligung.
Die Informationspflicht erfüllen Sie mit einem kurzen Hinweis direkt am Formular und einem Link zur Datenschutzerklärung. Der Hinweis sollte in einem Satz sagen, wer die Daten bekommt und wofür. Ein Pflichthäkchen „Ich habe die Datenschutzerklärung gelesen“ ist dafür übrigens nicht nötig und ersetzt die Information nicht.
Häufig übersehen wird die Rolle der Dienstleister. Wenn Formular, Website, Newsletter-Versand oder CRM bei einem Anbieter liegen, der Ihre Anfragedaten weisungsgebunden verarbeitet, brauchen Sie dafür einen Vertrag zur Auftragsverarbeitung. Es gibt aber auch Anbieter, die eigenständig oder gemeinsam mit Ihnen verantwortlich sind — dann gelten andere Anforderungen. Klären Sie diese Rolle, bevor Sie einen Vertrag einfordern oder das Fehlen eines solchen als Ausschlusskriterium werten.
Zur Löschung: Anfragen, aus denen nichts wird, gehören nicht dauerhaft in die Datenbank. Legen Sie begründete Fristen je Datenart und Zweck fest, statt pauschal ein Jahr anzusetzen — manches ist früher zu löschen, anderes darf aus einem konkreten Grund länger bleiben. Löschen Sie erledigte Anfragedaten, sobald keine Rechtsgrundlage für die weitere Speicherung mehr besteht, und bewahren Sie nur die Unterlagen länger auf, die tatsächlich einer Aufbewahrungspflicht unterliegen.