Contact Form 7 DSGVO-konform machen: 5 Lücken

Contact Form 7 ist das beliebteste Formular-Plugin für WordPress – aber „installiert" heißt nicht „DSGVO-konform". Gerade bei Newsletter-Anmeldungen bleiben typische Lücken offen. Diese fünf solltest du schließen.

Dieser Beitrag ist eine allgemeine Einordnung und keine Rechtsberatung.

Lücke 1: Kein Nachweis der Einwilligung

CF7 speichert Übermittlungen standardmäßig nicht in der Datenbank – es verschickt nur eine E-Mail. Damit fehlt der Nachweis, dass und wann jemand eingewilligt hat. Bei Werbung liegt die Beweislast aber beim Versender (rapidmail).

Lücke 2: Kein Double Opt-In

Ohne Bestätigungsklick lässt sich nicht belegen, dass die Adresse wirklich dem Anmeldenden gehört. Für Newsletter ist Double Opt-In deshalb faktisch Pflicht (Details: Double Opt-In – Pflicht oder nicht?).

Lücke 3: Fehlende oder falsche Einwilligungs-Checkbox

Für die Newsletter-Einwilligung braucht es eine aktiv anzuhakende, nicht vorausgewählte Checkbox mit klarer Formulierung. Wichtig zur Abgrenzung: Ein reines Kontaktformular (Anfrage) braucht keine solche Checkbox – hier genügt ein Datenschutz-Hinweis (IT-Recht-Kanzlei).

Lücke 4: Kein IP-/Zeitstempel-Protokoll

Nachweisbar sein müssen IP-Adresse und Zeitstempel von Anmeldung und Bestätigung (anwalt.de). Ohne Protokoll ist die Einwilligung im Streitfall wertlos.

Lücke 5: Zu viele Daten, kein Hinweis

Nur erheben, was gebraucht wird (Datensparsamkeit), und auf die Datenschutzerklärung verlinken. Auch die Bestätigungsmail muss werbefrei bleiben – ein Werbeslogan darin gilt als unzulässige Werbung.

Fazit

Die meisten CF7-Lücken drehen sich um denselben Kern: einen sauberen, protokollierten Einwilligungsnachweis. Double Opt-In für WordPress ergänzt Contact Form 7 (sowie Elementor, Avada, WPForms) um Bestätigung, Protokoll (IP, Zeitstempel, Snapshot) und Export. Die Einrichtung zeigt die Schritt-für-Schritt-Anleitung.