Kurz gesagt: Ein DSGVO-konformes Kontaktformular braucht kein SaaS-Abo mit US-Anbindung. Mit einer Cloudflare Function, Turnstile als Spamschutz, n8n als Workflow-Zentrale und Resend für den Versand läuft ein cookieloses Formular komplett in Europa - und kostet im Betrieb fast nichts.
Wer “Kontaktformular DSGVO” googelt, landet meist bei zwei Optionen: ein WordPress-Plugin mit Cookie-Consent-Pflicht oder ein Formular-Anbieter mit Monatsabo und Server in den USA. Ich habe für ein Kundenprojekt eine dritte Variante gebaut, die ohne beides auskommt. Kein Consent-Banner, kein Abo, keine Datenübertragung außerhalb der EU. In diesem Artikel zeige ich die Architektur, die Kosten und wo die Grenzen dieser Lösung liegen.
Das Problem mit Standard-Kontaktformularen
Die meisten Formular-Plugins laden reCAPTCHA von Google nach, speichern Einsendungen auf US-Servern oder binden Analytics-Skripte ein, die technisch nicht notwendig sind. Sobald ein Dienst Daten außerhalb der EU verarbeitet oder Cookies setzt, die nicht rein technisch notwendig sind, braucht es rechtlich sauber eine Einwilligung - also einen Cookie-Banner. Für ein simples Kontaktformular ist das unverhältnismäßig.
Die Alternative sind Formular-SaaS-Anbieter wie Typeform oder ähnliche Dienste. Die lösen das DSGVO-Problem oft nur teilweise, kosten aber ab dem ersten Monat Geld, unabhängig davon, ob überhaupt eine Anfrage reinkommt. Bei einem Projekt mit überschaubarem Traffic steht der Nutzen in keinem Verhältnis zu den laufenden Kosten.
Die Architektur: Cloudflare, Turnstile, n8n, Resend
Für das Kundenprojekt habe ich mich für eine Lösung entschieden, die aus vier Bausteinen besteht - alle DSGVO-konform betreibbar, alle ohne laufende Fixkosten im normalen Betrieb.
Cloudflare Pages Function als Empfänger
Das Formular selbst ist reines HTML ohne externe Skripte. Das Absenden geht an eine Cloudflare Pages Function, also serverlosen Code, der auf Cloudflares Edge-Netzwerk läuft. Keine eigene Server-Infrastruktur, keine Wartung, und Cloudflare bietet eigene EU-Rechenzentren für die Verarbeitung an.
Turnstile statt reCAPTCHA
Statt Googles reCAPTCHA nutze ich Cloudflare Turnstile. Der Unterschied ist entscheidend: Turnstile funktioniert meist ohne sichtbares Captcha, ohne Cookie und ohne Tracking über Google-Konten. Für den Nutzer bedeutet das ein Formular, das sich anfühlt wie eines ganz ohne Spamschutz - für den Betreiber bedeutet es spürbar weniger Formular-Spam.
n8n als Workflow-Drehscheibe
Die Function reicht die validierten Formulardaten per Webhook an eine selbst gehostete n8n-Instanz weiter. Dort passiert die eigentliche Logik: Spam-Muster prüfen, Pflichtfelder validieren, Daten optional in eine Tabelle schreiben, und die Benachrichtigung auslösen. Der Vorteil von n8n an dieser Stelle: Wenn sich später etwas ändern soll, zum Beispiel eine Weiterleitung ins CRM oder ein Slack-Hinweis, ist das ein zusätzlicher Node im Workflow, kein neues Deployment. Genau solche Automatisierungen baue ich auch für Kunden im Rahmen der Automatisierung mit n8n.
Resend für den Versand
Für die eigentliche Mail-Zustellung kommt Resend zum Einsatz, ein Versanddienst, der sich an Entwickler richtet und über eine schlanke API angesprochen wird. Der Vorteil gegenüber einem klassischen SMTP-Server: keine eigene Mailserver-Wartung, dafür saubere Zustellraten und eine Konfiguration, die in wenigen Minuten steht.
Ein Kontaktformular muss nicht mehr Infrastruktur haben als die Aufgabe, die es löst.
Was das in der Praxis bringt
Kein Cookie-Banner nötig, weil kein Dienst Cookies setzt, die einer Einwilligung bedürfen. Keine Datenübertragung in Drittländer, weil sowohl Cloudflare als auch n8n (selbst gehostet) und Resend mit EU-Verarbeitung konfigurierbar sind. Für die Auftragsverarbeitung reicht ein AV-Vertrag mit den beteiligten Anbietern - das ist auch bei klassischen SaaS-Lösungen nötig, nur eben mit mehr Anbietern und weniger Kontrolle über den Speicherort.
Kostenseitig sieht die Rechnung bei überschaubarem Formular-Aufkommen so aus: Die Cloudflare Pages Function läuft im kostenlosen Kontingent, Turnstile ist grundsätzlich gratis, n8n läuft self-hosted auf einem Server, den ich ohnehin für andere Automatisierungen betreibe, und Resend hat ein kostenloses Kontingent, das für ein Kontaktformular in aller Regel reicht. Unterm Strich: keine laufenden Fixkosten, die direkt dem Formular zurechenbar sind, Stand August 2026.
Vor- und Nachteile dieser Lösung
Der Vorteil liegt auf der Hand: volle Kontrolle über Datenfluss und Speicherort, kein Vendor-Lock-in, keine wiederkehrenden Kosten. Der Nachteil ist genauso klar: Das ist kein Drag-and-Drop-Baukasten. Wer keine n8n-Instanz betreibt oder keinen Zugriff auf Cloudflare Pages hat, muss diese Infrastruktur erst aufsetzen. Für ein einzelnes Formular auf einer kleinen Website lohnt sich der Aufwand oft nicht - dann ist ein einfaches Plugin mit korrekt konfiguriertem Consent-Banner die pragmatischere Wahl.
Zusätzlich trägt man als Betreiber die Verantwortung für Monitoring und Updates selbst. Fällt die n8n-Instanz aus, kommen keine Anfragen mehr an - ein SaaS-Anbieter nimmt einem dieses Risiko ab, allerdings gegen Bezahlung und mit weniger Transparenz darüber, was mit den Daten passiert.
Für wen sich das lohnt
Diese Architektur zahlt sich aus, sobald ohnehin schon eine n8n-Instanz für andere Automatisierungen läuft oder mehrere Formulare/Projekte die gleiche Infrastruktur mitnutzen können. Für Agenturen und Entwickler, die mehrere Kundenprojekte betreuen, ist der einmalige Aufbau schnell amortisiert. Für eine einzelne Landingpage mit einem Formular reicht in der Regel eine einfachere, DSGVO-konform konfigurierte Standardlösung. Wer eine individuelle Web-App mit eigener Formularlogik plant, findet den Ansatz auch im Rahmen der Web-App-Entwicklung als Baustein wieder.
FAQ
Ist ein selbst gebautes Kontaktformular automatisch DSGVO-konform? Nein, automatisch nicht. Entscheidend ist, wo die Daten verarbeitet werden, welche Cookies gesetzt werden und ob mit allen beteiligten Diensten ein Auftragsverarbeitungsvertrag besteht. Die hier beschriebene Architektur schafft die technischen Voraussetzungen, ersetzt aber keine rechtliche Prüfung im Einzelfall.
Brauche ich trotzdem einen Cookie-Banner? Wenn keiner der eingebundenen Dienste technisch nicht notwendige Cookies setzt, entfällt die Einwilligungspflicht für das Formular. Andere Bereiche der Website, etwa Analytics oder Marketing-Pixel, können trotzdem einen Banner erfordern.
Warum Turnstile statt reCAPTCHA? Turnstile von Cloudflare kommt in vielen Fällen ohne sichtbares Rätsel für den Nutzer aus und bindet keine Google-Cookies ein. Das reduziert sowohl die DSGVO-Fragestellung als auch die Reibung im Formular selbst.
Lohnt sich der Aufwand für eine einzelne Website? Meist nicht. Der Ansatz rechnet sich, wenn die Infrastruktur - n8n-Instanz, Cloudflare-Setup - bereits für andere Zwecke existiert oder mehrfach genutzt wird. Für eine einzelne kleine Website ist ein sauber konfiguriertes Plugin oft die schnellere Lösung.
Was passiert, wenn n8n oder Cloudflare ausfallen? Dann kommen kurzfristig keine Formulardaten an. Wer diese Lösung produktiv einsetzt, sollte ein einfaches Monitoring auf den Webhook-Endpunkt legen, damit ein Ausfall nicht erst durch fehlende Anfragen auffällt.
