DSAR-Portal in 30 Sekunden einrichten — ohne IT, ohne CNAME

Inhalt in Kürze

• Drei Wege, das Portal einzubinden: Link (30 Sekunden), Iframe (60 Sekunden) und Skript mit automatischer Höhe (90 Sekunden). Keiner braucht DNS, Server oder ein IT-Ticket.
• Den fertigen Code kopieren Sie in Hugo unter „Portal für Datenschutz-Anfragen“. Ihre Portaladresse steht schon drin.
• Identität: Bestätigung der E-Mail-Adresse, auf Wunsch mit hochgeladenem Nachweis. Mehr fordern Sie nur bei begründeten Zweifeln an.
• Bot-Schutz per Cloudflare Turnstile ist eingebaut, ohne reCAPTCHA und ohne Ihr Zutun.

Stand: November 2026 · Autor: Jens Hagel · Lesezeit: 6 Minuten

Ein Formular für Datenschutz-Anfragen klingt nach IT-Projekt: Subdomain beantragen, DNS umstellen, Formular programmieren. Mit einem fertigen Portal brauchen Sie davon nichts. Sie kopieren einen Link oder ein paar Zeilen Code in Ihre Website, und Anfragen nach Art. 15 bis 21 DSGVO kommen strukturiert an, mit Frist und Protokoll. Diese Anleitung zeigt die drei Wege mit dem Code, den Hugo DSB tatsächlich ausgibt.

Was ist ein DSAR-Portal?

DSAR steht für Data Subject Access Request, die Anfrage einer betroffenen Person. Ein DSAR-Portal ist die feste Eingangstür dafür: Kunden, Beschäftigte oder Bewerbende verlangen dort Auskunft (Art. 15 DSGVO), Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder widersprechen einer Verarbeitung.

Was das Portal Ihnen abnimmt:

• Die Anfrage kommt strukturiert an, mit Art der Anfrage und Kontaktdaten statt als freier Mailtext.
• Die Person bestätigt ihre E-Mail-Adresse, bevor Sie antworten.
• Die Monatsfrist nach Art. 12 Abs. 3 DSGVO läuft sichtbar mit.
• Die Antwort geht über einen geschützten Link raus statt als Mailanhang.
• Eingang, Bestätigung, Versand und Abruf werden mit Zeitpunkt protokolliert.

Mehr Hintergrund: DSAR-Portal-Vergleich 2026 und DSAR, DPA, ROPA: die Begriffe erklärt.

Wo Sie den Code finden

In Hugo DSB öffnen Sie „Portal für Datenschutz-Anfragen“, schalten das Portal ein und legen Firmenname, Logo und Akzentfarbe fest. Sobald das Portal aktiv ist, zeigt die Seite alle drei Varianten mit Ihrer Adresse. Ein Klick auf „kopieren“ legt den Code in die Zwischenablage.

Variante A: Link in 30 Sekunden

Der einfachste Weg und für viele Unternehmen genug. Jedes Unternehmen hat eine feste Adresse, zum Beispiel https://app.fraghugo.de/m/ihr-unternehmen. Setzen Sie den Link dort, wo Betroffene ihn suchen:

1. In der Datenschutzerklärung: im Abschnitt zu den Betroffenenrechten. Fast jede Vorlage hat dort schon einen Absatz, an den der Link passt.
2. Im Footer: „Datenschutz-Anfrage stellen“ neben Impressum und Datenschutzerklärung.
3. Auf der Kontaktseite: als eigener Weg für Datenschutz-Anliegen, damit sie nicht im allgemeinen Postfach landen.

<a href="https://app.fraghugo.de/m/ihr-unternehmen" target="_blank" rel="noopener">Datenschutz-Anfrage stellen</a>

Mehr ist nicht zu tun. Kein Server, kein DNS, kein Build-Prozess.

Variante B: Iframe in 60 Sekunden

Wenn das Formular auf einer eigenen Seite stehen soll, zum Beispiel unter /datenschutz-anfrage/, fügen Sie das Iframe ein. Der Zusatz ?embed=1 blendet den Seitenrahmen des Portals aus, sodass nur das Formular in Ihrer Seite steht.

<iframe src="https://app.fraghugo.de/m/ihr-unternehmen?embed=1" style="width:100%;height:780px;border:0" title="Datenschutz-Anfrage" loading="lazy"></iframe>

Vorteil: Besucher bleiben auf Ihrer Domain und sehen das Formular ohne zusätzlichen Klick.

Nachteil: Die Höhe ist fest. Am Handy ist das Formular höher als 780 Pixel und bekommt dann einen eigenen Scrollbalken. Wenn Ihr System Skripte erlaubt, nehmen Sie deshalb Variante C.

Variante C: Skript mit automatischer Höhe in 90 Sekunden

Das Skript setzt dasselbe Iframe ein, kümmert sich aber um die Höhe. Das Portal meldet bei jeder Änderung, wie hoch es gerade ist, und das Skript passt den Rahmen an. Kein doppelter Scrollbalken, kein abgeschnittener Absende-Knopf, am Handy wie am Bildschirm. Wechselt die Person zum nächsten Schritt, während der Formularanfang schon aus dem Bild gescrollt ist, holt das Skript ihn zurück.

<div id="hugo-dsar"></div>
<script>
(function(){
  var d=document,c=d.getElementById('hugo-dsar');
  if(!c)return;
  var f=d.createElement('iframe');
  f.src='https://app.fraghugo.de/m/ihr-unternehmen?embed=1';
  f.style.cssText='display:block;width:100%;border:0;height:780px';
  f.title='Datenschutz-Anfrage';
  f.loading='lazy';
  c.appendChild(f);
  window.addEventListener('message',function(e){
    if(e.origin!=='https://app.fraghugo.de'||e.source!==f.contentWindow||!e.data)return;
    if(e.data.type==='hugo-dsar-resize'&&typeof e.data.height==='number'){
      f.style.height=Math.max(300,Math.min(4000,e.data.height))+'px';
    }
    if(e.data.type==='hugo-dsar-step'&&f.getBoundingClientRect().top<0){
      f.scrollIntoView({block:'start'});
    }
  });
})();
</script>

Das Skript nimmt nur Nachrichten an, die vom Portal selbst kommen, und lädt keine fremde Datei nach. Es ist vollständig im Code oben zu lesen.

Ihr Auftritt im Portal

Eine eigene Subdomain wie anfrage.firma.de per CNAME bietet Hugo nicht an. Nötig ist sie auch nicht: Eingebettet steht das Formular auf Ihrer eigenen Seite. Im Portal selbst stellen Sie ein:

• Firmenname und Logo (PNG, JPG, SVG oder WebP, bis 2 MB). Das Logo erscheint auch in den PDF-Exporten aus Hugo.
• Akzentfarbe für den Rand oben und die Knöpfe.
• Links zu Datenschutzerklärung und Impressum, die das Portal unter dem Formular zeigt (Informationspflicht nach Art. 13 DSGVO für die Angaben der Anfragenden).
• Wer benachrichtigt wird: eine oder mehrere E-Mail-Adressen, die bei jeder neuen Anfrage Bescheid bekommen.
• Die Adresse selbst, also der Teil hinter /m/. Nur Kleinbuchstaben, Ziffern und Bindestriche.

Identität prüfen, ohne zu übertreiben

Wer Auskunft gibt, muss sicher sein, dass sie bei der richtigen Person landet. Das Hugo-Portal arbeitet in zwei Stufen:

Reicht beides nicht, fragen Sie gezielt nach. Video-Ident oder eine eID-Prüfung bietet das Portal nicht an, und für die übliche Anfrage im Mittelstand wären sie zu viel.

Aus der Praxis

Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.

Nils OehmichenDatenschutzberater bei frag.hugo

Schutz vor Bots ist eingebaut

Ein öffentliches Formular zieht Spam an. Das Hugo-Portal prüft vor dem Absenden mit Cloudflare Turnstile, ob ein Mensch davorsitzt. Turnstile kommt ohne das Google-Tracking von reCAPTCHA aus, und Sie müssen weder einen Schlüssel anlegen noch Code ergänzen. Wird Turnstile vom Browser blockiert, etwa durch einen strengen Werbeblocker, bleibt das Formular trotzdem nutzbar. Hintergrund im Vergleich Cloudflare Turnstile oder reCAPTCHA.

In einer Mittagspause eingerichtet

So sieht ein sauberer Aufbau für ein Unternehmen mit eigener Website aus:

• Portal einschalten und Firmenname, Logo, Farbe sowie die Links zu Datenschutzerklärung und Impressum eintragen.
• Empfänger festlegen: mindestens zwei Adressen, damit eine Anfrage im Urlaub nicht liegen bleibt.
• Seite /datenschutz-anfrage/ anlegen und dort das Skript (Variante C) einfügen.
• Link im Footer und in der Datenschutzerklärung auf diese Seite setzen.
• Einmal selbst testen: eine Auskunftsanfrage stellen, die Bestätigungsmail anklicken und prüfen, ob die Benachrichtigung ankommt.
• Antwortweg klären: wer intern Daten zusammenträgt, wer freigibt. Vorlagen dafür in Auskunftsanfrage beantworten.

Fazit: Ihr nächster Schritt

Für die meisten Unternehmen reicht der Link in der Datenschutzerklärung. Wer das Formular auf der eigenen Seite zeigen will, nimmt das Skript, weil es die Höhe selbst regelt. Danach zählt die Antwort: Wie Sie fristgerecht und vollständig antworten, steht in Auskunftsanfrage beantworten, und wie ein KI-Entwurf dabei hilft, im KI-Antwort-Generator für Auskunftsanfragen.

Häufige Fragen (FAQ)

Brauche ich einen Server oder DNS-Eintrag, um ein DSAR-Portal aufzusetzen?

Nein. Das Portal läuft beim Anbieter. Bei Hugo DSB hat jedes Unternehmen eine feste Adresse wie app.fraghugo.de/m/ihr-unternehmen. Sie setzen einen Link darauf oder binden das Formular mit ein paar Zeilen Code in Ihre Website ein. Ein DNS-Eintrag oder eine eigene Subdomain ist dafür nicht nötig.

Welche Einbindung ist die beste?

Der Link reicht immer und ist in 30 Sekunden gesetzt. Wer das Formular auf der eigenen Seite zeigen will, nimmt das Skript: Es setzt ein Iframe ein und passt dessen Höhe selbst an den Inhalt an, auch am Handy. Das reine Iframe mit fester Höhe ist die Wahl für Baukästen, die keine Skripte erlauben.

Wie prüft das Portal die Identität der anfragenden Person?

Die Person bestätigt ihre E-Mail-Adresse über einen Link, der 7 Tage gilt. Erst danach lassen sich Antwort und Versand freigeben. Zusätzlich kann sie Nachweise hochladen, etwa eine geschwärzte Ausweiskopie. Mehr verlangen Sie nur bei begründeten Zweifeln an der Identität (Art. 12 Abs. 6 DSGVO).

Kann das Portal unter meiner eigenen Domain laufen?

Eine eigene Subdomain per CNAME bietet Hugo nicht an. Eingebettet erscheint das Formular aber auf Ihrer Seite, etwa unter firma.de/datenschutz-anfrage, mit Ihrem Logo, Ihrem Firmennamen und Ihrer Akzentfarbe.

Was passiert, wenn jemand das Portal mit Spam-Anfragen flutet?

Im Hugo-Portal ist Cloudflare Turnstile eingebaut, eine Bot-Prüfung ohne Google-Tracking. Sie müssen dafür nichts einrichten. Dazu kommt die E-Mail-Bestätigung: Eine Anfrage, deren Absender den Link nie anklickt, bleibt unbestätigt.

Stand: Einbindung, Code und Funktionen am 5. November 2026 im Hugo-Portal geprüft. Rechtsgrundlagen: Art. 12 DSGVO und Art. 15 DSGVO; Turnstile laut Cloudflare-Dokumentation.