Lead-Capture — vom Formular ins CRM ohne Datenleck

Würdigung — die Anfrage, die niemand sieht#

Auf den meisten Kanzlei-Websites endet das Kontaktformular in einer einzigen E-Mail an ein Sammel-Postfach. Das hat zwei Schwächen: Die Anfrage konkurriert mit Dutzenden anderer Mails, und es gibt keine Nachverfolgung — wurde geantwortet, von wem, mit welchem Ergebnis? Gerade bei Erst-Anfragen, die zum Mandat führen könnten, ist das ein teurer Leck. Wer eine Anfrage 48 Stunden liegen lässt, verliert sie oft an die schnellere Kanzlei.

Ein strukturierter Lead-Flow leitet die Anfrage stattdessen in ein System, das sie sichtbar macht und einen Status führt — von „neu" über „Erstgespräch" bis „Mandat" oder „abgesagt". Das ist keine Verkaufs-Maschinerie, sondern schlicht Ordnung: Jede Anfrage hat einen Ort und einen Bearbeitungs-Stand.

Was ein sauberer Lead-Flow braucht#

Die Strecke ist immer dieselbe: Formular → Server → Zielsystem. Entscheidend ist, dass die Verarbeitung serverseitig läuft, nicht über ein Client-Skript, das die Daten an einen Dritt-Dienst schickt. Auf einer sauber gebauten Seite nimmt eine Server-Funktion die Eingabe entgegen, prüft sie (inklusive Spam-Abwehr) und legt sie strukturiert ab — ohne dass die Daten unterwegs durch fremde Tracking-Skripte laufen.

Auf fahoch2.de fließen Kontakt-Anfragen über eine Server-Action in eine strukturierte Pipeline mit Status-Stufen (vom ersten Gespräch bis zum Auftrag), statt nur als E-Mail im Posteingang zu landen. Die Mail-Benachrichtigung kommt zusätzlich — aber der nachverfolgbare Datensatz ist das, was eine Anfrage nicht verloren gehen lässt.

Die drei DSGVO-Punkte jeder Lead-Strecke#

Sobald personenbezogene Daten ein System verlassen oder in einem Dienst gespeichert werden, gelten drei Pflichten:

1. Auftragsverarbeitung (Art. 28 DSGVODSGVO · zum GlossarEU-Datenschutz-Grundverordnung — regelt seit 2018 jede Verarbeitung personenbezogener Daten in der EU.): Mit jedem Dienstleister, der die Daten in Ihrem Auftrag verarbeitet — CRM, Mail-Versand, Hosting —, braucht es einen schriftlichen Auftragsverarbeitungs-Vertrag (AVVAVV · zum GlossarAuftragsverarbeitungsvertrag nach Art. 28 DSGVO — Pflicht zwischen Verantwortlichem und Dienstleister.). Ohne AVV ist die Weitergabe unzulässig.
2. Rechtsgrundlage (Art. 6 DSGVO): Eine Kontakt-Anfrage zur Anbahnung eines Mandats stützt sich auf Art. 6 Abs. 1 lit. b (vorvertragliche Maßnahme) — dafür ist keine gesonderte Einwilligung nötig. Eine darüber hinausgehende Verwendung (etwa, die Adresse später für einen Newsletter zu nutzen) braucht dagegen eine eigene Einwilligung.
3. Speicherdauer (Art. 5 DSGVO): Daten dürfen nicht endlos liegen. Anfragen, die zu keinem Mandat führen, sind nach einer angemessenen Frist zu löschen. Ein CRM ohne Lösch-Routine wird sonst zum Datenfriedhof, der selbst ein Risiko ist.

Diese drei Punkte gelten für jedes Zielsystem — die Frage ist nur, wie leicht sie sich erfüllen lassen.

US-CRM gegen EU-Setup#

Hier liegt die praktische Weichenstellung. Beliebte CRM-Systeme wie HubSpot sind US-Anbieter. Ihr Einsatz ist nicht verboten, verlangt aber zusätzlich zum AVV einen Blick auf den Drittland-Transfer: Der Anbieter sollte unter dem EU-US Data Privacy Framework zertifiziert sein, und idealerweise sollte eine EU-Datenresidenz konfiguriert werden. Das ist beherrschbar, aber es ist Mehraufwand und Mehr-Risiko — und für eine Kanzlei unter dem Vertrauensanspruch des § 203 StGB eine bewusste Abwägung.

Ein EU-Setup vermeidet die Drittland-Frage von vornherein: ein CRM oder eine Pipeline-Lösung, die in der EU verarbeitet, mit klarem AVV. Für die meisten Kanzleien ist das der ruhigere Weg — weniger juristische Konstruktion, kein Drittland-Thema in der Datenschutzerklärung. Welche Lösung passt, hängt vom Volumen ab: Eine kleine Kanzlei mit wenigen Anfragen pro Woche braucht kein schweres CRM, sondern eine schlanke, strukturierte Ablage; eine größere Einheit profitiert von einem echten System mit Automatisierung.

Wie sich das in die Onboarding-Strecke fügt#

Der Lead-Flow ist der Anfang einer längeren Strecke: Aus der ersten Anfrage wird im besten Fall ein Mandat — und dann übernimmt die Mandanten-Onboarding-Strecke mit Vollmacht, Stammdaten und SEPA-Mandat. Wer beide Strecken zusammen denkt, hat einen durchgängigen, datenschutzkonformen Pfad vom ersten Klick bis zum unterschriebenen Mandat — ohne Medienbruch und ohne dass Daten unkontrolliert durch fremde Skripte laufen.

Für eine vollständige Bewertung des Kontakt- und Lead-Pfads — Technik, Datenschutz, Nachverfolgung — empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

Eine Mandanten-Anfrage gehört nicht in ein Sammel-Postfach, sondern in einen strukturierten Lead-Flow mit Status und Nachverfolgung — sonst geht sie unter. Technisch läuft die Strecke serverseitig vom Formular ins Zielsystem, ohne Umweg über fremde Skripte. Drei DSGVO-Pflichten gelten immer: ein AVV mit jedem Dienstleister, eine Rechtsgrundlage (für die Anbahnung reicht die Vertragsanbahnung, eine Newsletter-Nutzung braucht eigene Einwilligung) und eine Lösch-Frist. Ein US-CRM wie HubSpot ist machbar, verlangt aber DPF und Drittland-Blick; ein EU-Setup vermeidet die Frage. Der Lead-Flow ist der Anfang der Strecke, die in das Mandanten-Onboarding mündet.

Quellen#

• DSGVO Art. 28 — Auftragsverarbeitung (VO EU 2016/679) — abgerufen 2026-05-29
• DSGVO Art. 6 — Rechtmäßigkeit der Verarbeitung — abgerufen 2026-05-29
• EU-US Data Privacy Framework — Adäquanzbeschluss (EU 2023/1795) — abgerufen 2026-05-29
• StGB § 203 — Verletzung von Privatgeheimnissen — abgerufen 2026-05-29

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. AVV-Status und Drittland-Bewertung eines konkreten CRM gehören in die anwaltlich geprüfte Datenschutz-Dokumentation.