Eine Umfrage beginnt datenschutzrechtlich nicht erst mit der ersten Antwort. Bereits eine personalisierte Einladung, ein eindeutiger Link oder ein Serverprotokoll kann erkennen lassen, wer teilgenommen hat. Wer nur die sichtbaren Fragen prüft, übersieht häufig die Verbindung zwischen Kundenkonto, Antwort und späterer Auswertung. Deshalb gehören Fragebogen und technischer Datenfluss in dieselbe Freigabe.
Das folgende Beispiel begleitet eine fiktive Gebäudereinigung bei einer Zufriedenheitsbefragung. Das Ergebnis ist ein begrenzter Fragebogen mit einer nachvollziehbaren Auswertung und einem überprüfbaren Löschverfahren. Die vorgeschlagenen Entscheidungen sind ein Arbeitsbeispiel; insbesondere Rechtsgrundlage und Fristen müssen zum tatsächlichen Vorhaben passen.
Den Zweck in eine konkrete Auswertungsfrage übersetzen
„Wir möchten unsere Kunden besser kennenlernen“ lässt offen, welche Daten gebraucht werden. Eine brauchbare Zweckbeschreibung lautet dagegen: „Wir wollen feststellen, ob die Terminorganisation oder die wahrgenommene Reinigungsqualität in unseren drei Einsatzgebieten verbessert werden muss.“ Daraus lassen sich Fragen ableiten und unnötige Angaben streichen.
Die Projektleitung legt vor dem Start fest, welche Entscheidung nach der Befragung ansteht. Im Beispiel soll sie gegebenenfalls Zeitfenster anders planen und die Qualitätskontrolle anpassen. Eine personenbezogene Bewertung einzelner Reinigungskräfte oder die Auswahl besonders kaufbereiter Kunden gehört nicht dazu. Soll später ein anderer Zweck verfolgt werden, braucht er eine eigene rechtliche Prüfung und gegebenenfalls ergänzende Informationen. Ein großzügig formuliertes Umfrageziel ersetzt diese Prüfung nicht.
Für das Verzeichnis der Verarbeitungstätigkeiten wird die Tätigkeit als Kundenbefragung beschrieben. Dort stehen Datenkategorien, Empfänger, Fristen und Schutzmaßnahmen. Einzelne Antworten werden nicht in das Verzeichnis kopiert. Die Verbindung zum Projektbeschluss hilft später zu erklären, weshalb bestimmte Felder erhoben wurden und andere nicht.
Ein ausgefüllter Fragebogen mit begrenzten Antworten
Die Gebäudereinigung benötigt weder Geburtsdatum noch vollständige Anschrift. Für die geplante Entscheidung genügt im Beispiel eine grobe Gebietszuordnung. Vor dem Versand prüft das Team allerdings, ob ein Gebiet so wenige Kunden umfasst, dass eine Bewertung bereits dadurch einer Person zugeordnet werden kann.
| Geplantes Feld | Entscheidung im Beispiel | Begründung |
|---|---|---|
| Wie zufrieden sind Sie mit dem Reinigungsergebnis? | Freiwillige Skala mit fünf Stufen und „nicht beurteilbar“ | Liefert die benötigte Qualitätsbewertung ohne zusätzliche Identifikatoren |
| Wie passend war das vereinbarte Zeitfenster? | Freiwillige Skala mit fünf Stufen | Trennt Terminorganisation von Arbeitsqualität |
| Wie verständlich war unsere Terminbestätigung? | Freiwillige Skala mit fünf Stufen | Prüft eine konkrete Kommunikationsleistung |
| Einsatzgebiet | Drei breite Gebiete, bei kleinen Gruppen zusammengefasst | Unterstützt Planung ohne genaue Wohnanschrift |
| Name, Kundennummer, Beschäftigtenname | Nicht im Antwortdatensatz | Für die gemeinsame Auswertung nicht erforderlich |
| Freitext zur persönlichen Situation | Entfällt | Würde unnötige Angaben über Gesundheit, Familienmitglieder oder Beschäftigte ermöglichen |
| Wunsch nach Rückruf | Separater Kontaktweg außerhalb des Fragebogens | Verhindert eine automatische Verknüpfung mit der Bewertung |
Auch geschlossene Fragen können sensible Informationen offenbaren, etwa wenn Antwortmöglichkeiten eine Erkrankung oder politische Einstellung abfragen. Ihr Vorteil liegt daher in einer kontrollierbaren Erhebung, nicht in einer Garantie, dass besondere Datenkategorien ausgeschlossen sind. Bei solchen Kategorien ist zusätzlich zur Rechtsgrundlage nach Artikel 6 eine passende Ausnahme nach Artikel 9 Absatz 2 zu prüfen. Die Einordnung erläutert der Beitrag zu besonderen Kategorien personenbezogener Daten.
Ein Rückrufwunsch wird im Beispiel über das bestehende Kontaktformular aufgenommen. Das Formular fragt nach Erreichbarkeit und Anliegen, übernimmt aber weder Antwortkennung noch Bewertung aus der Umfrage. Wer eine Reklamation bearbeiten lassen möchte, kann dies dadurch bewusst anstoßen. Die Befragung wird nicht unbemerkt zum Kundenservice-Ticket.
Freiwillige Teilnahme und Rechtsgrundlage auseinanderhalten
Eine freiwillige Umfrage beruht nicht automatisch auf einer datenschutzrechtlichen Einwilligung. Entscheidend ist, auf welche Rechtsgrundlage der Verantwortliche die konkrete Verarbeitung stützt. Artikel 6 der DSGVO im amtlichen Text unterscheidet insbesondere Einwilligung, Vertragsnotwendigkeit und berechtigte Interessen. Dass bereits ein Kundenvertrag besteht, macht eine spätere Zufriedenheitsanalyse nicht ohne Weiteres zur notwendigen Vertragserfüllung.
Im Beispiel prüft die Gebäudereinigung ein berechtigtes Interesse an einer eng begrenzten Qualitätsverbesserung. Sie dokumentiert den Zweck, die Notwendigkeit des gewählten Verfahrens und die Auswirkungen auf Kunden. Zu berücksichtigen sind deren vernünftige Erwartungen, die Einladungshäufigkeit, mögliche Überraschungen bei der Verknüpfung und die Folgen einer Nichtteilnahme. Das Ergebnis ist offen: Führt die Interessenabwägung nicht zu einer tragfähigen Grundlage, muss das Vorhaben angepasst oder eine andere tatsächlich passende Grundlage gewählt werden. Ein Muster für die Interessenabwägung hilft, die Entscheidung nachvollziehbar aufzubauen.
Die Zulässigkeit des Einladungsweges ist zusätzlich zu prüfen. Eine datenschutzrechtliche Grundlage für die Auswertung beantwortet nicht automatisch, ob eine E-Mail oder ein Anruf zur Einladung erlaubt ist. Wer eine Befragung mit Werbung verbindet oder bestehende Kontakte für neue Zwecke nutzt, muss die einschlägigen Regeln für diesen Kontaktweg gesondert beachten.
Wird eine Einwilligung verwendet, muss die Gestaltung den tatsächlichen Umfang klar benennen. Teilnahme, Newsletter und veröffentlichte Kundenstimme dürfen nicht als ein unteilbares Paket erscheinen. Ein Einwilligungsmuster ist erst nach Anpassung an Zweck, Widerrufsweg und Nachweisverfahren hilfreich. Ein Pflichtkästchen „Datenschutz akzeptieren“ ersetzt weder eine Rechtsgrundlagenprüfung noch verständliche Informationen.
Versteckte Kennungen und Protokolle mitprüfen
Ein Fragebogen ohne Namensfeld kann weiterhin personenbezogen sein. Die Versandplattform kennt möglicherweise die Zuordnung zwischen E-Mail-Adresse und individuellem Link. Die Umfragesoftware speichert vollständige IP-Adressen. Ein Export enthält Zeitstempel, Gerätekennungen oder interne Kundennummern. Werden diese Informationen zusammengeführt, entsteht ein anderer Datenbestand als die sichtbare Ergebnisgrafik vermuten lässt.
Das Team zeichnet deshalb vier Stationen auf: Einladung, Aufruf, Antwortspeicherung und Bericht. Für jede Station nennt es Datenfelder, Zugriffsrollen und Löschereignis. Im Beispiel wird ein zufälliger Einladungscode nur verwendet, um mehrfache Antworten zu begrenzen. Die Zuordnung liegt getrennt beim Versandteam. Analysten sehen sie nicht. Sobald der begründete Zweck dieser Zuordnung endet, wird sie entfernt; die technische Umsetzung und die Folgen für Betroffenenanfragen werden vorab geprüft.
Solange eine Rückführung mit zusätzlichen Informationen möglich bleibt, ist „anonym“ keine passende pauschale Beschreibung. Der Beitrag zur Pseudonymisierung und getrennten Schlüsselverwaltung erklärt, wie eine solche Trennung organisiert wird. Für eine behauptete Anonymisierung müssen außerdem seltene Antwortkombinationen, kleine Gruppen und weitere verfügbare Informationen betrachtet werden. Das Entfernen der E-Mail-Spalte allein genügt nicht.
Vor dem Absenden verständlich informieren
Die Informationen nach Artikel 13 müssen bei der Erhebung verfügbar sein. Im Formular führt ein deutlich beschrifteter Verweis zu einer verständlichen Umfrageinformation. Die erste Ebene erklärt den Verantwortlichen, den konkreten Zweck, die Freiwilligkeit und die entscheidenden Datenflüsse. Die vollständige Information ergänzt insbesondere Rechtsgrundlage, gegebenenfalls Interessen, Empfänger, Übermittlungen, Speicherdauer, Rechte und Beschwerdemöglichkeit.
Eine brauchbare Kurzfassung für das Beispiel lautet: „Wir werten Ihre freiwilligen Bewertungen aus, um Terminorganisation und Reinigungsqualität zu verbessern. Die Auswertung erhält keine Namen oder Kundennummern. Einladungskennungen werden getrennt verarbeitet. Ihre Teilnahme oder Nichtteilnahme verändert Ihren bestehenden Auftrag nicht.“ Dieser Text ist nur der Einstieg. Er darf eine tatsächlich vorhandene Verknüpfung nicht verschweigen und muss durch die konkreten Pflichtangaben ergänzt werden.
Das Projekt prüft die Information auch auf einem Mobiltelefon, mit Tastaturbedienung und vergrößerter Schrift. Fragen bleiben verständlich, ohne dass ein Tooltip zwingend mit der Maus geöffnet werden muss. Ein Abbruch darf keine unbemerkte Speicherung von Entwürfen auslösen. Ist eine solche Speicherung technisch vorgesehen, muss sie in Datenfluss und Information berücksichtigt werden.
Dienstleister anhand des tatsächlichen Betriebs auswählen
Bei einem externen Umfragetool wird zunächst die Rolle bestimmt. Verarbeitet der Anbieter Antworten ausschließlich nach dokumentierten Weisungen, ist der Auftragsverarbeitungsvertrag nach Artikel 28 zu prüfen. Eigene Analyse-, Werbe- oder Trainingszwecke des Anbieters erfordern eine gesonderte Betrachtung; sie werden nicht durch die Überschrift „Auftragsverarbeitung“ unschädlich.
Die Prüfung umfasst Exportfunktionen, Unterauftragnehmer, Supportzugriffe, Protokolle, Löschung und Wiederherstellung. Ein europäischer Speicherort schließt Zugriffe aus Drittländern oder Weiterübermittlungen nicht aus. Die Projektleitung lässt deshalb nicht nur den Serverstandort bestätigen, sondern fragt nach Zugriffsorten und beteiligten Rechtsträgern. Für die Sicherheit der Rohdaten sind außerdem Berechtigungen und Verschlüsselung entlang des Datenflusses zu planen.
Die Freigabe mit einem Probedurchlauf belegen
Vor dem echten Versand gibt eine Testperson ausschließlich erfundene Antworten ein. Das Team verfolgt diesen Datensatz durch Rohansicht, CSV-Export, Bericht und Löschung. Dabei wird kontrolliert, ob versteckte Felder auftauchen, ob unberechtigte Rollen exportieren können und ob ein Rückruf tatsächlich getrennt bleibt. Die Freigabe enthält die geprüfte Formularversion sowie die gefundenen und behobenen Abweichungen.
Im Beispiel sieht die Abschlussentscheidung so aus: Drei Bewertungsfragen und grobe Gebietsangabe werden freigegeben; Freitext und automatische CRM-Verknüpfung bleiben deaktiviert. Zwei benannte Analysten dürfen die Rohdaten sehen. Die Projektleitung erhält nur zusammengefasste Ergebnisse. Kleine Gruppen werden vor der Ausgabe zusammengeführt. Einladungszuordnung, Rohantworten und Berichte erhalten jeweils eine begründete Frist und einen verantwortlichen Löschenden.
Nach Ende der Befragung wird nicht nur die öffentlich erreichbare Formularseite geschlossen. Das Team kontrolliert auch Downloads, gemeinsame Laufwerke und Kopien beim Dienstleister. Im Löschkonzept wird festgehalten, wie produktive Daten, gesicherte Kopien und notwendige Nachweise behandelt werden. Erst ein überprüfter Abschluss zeigt, dass die ursprünglich begrenzte Befragung nicht als dauerhafte Sammlung personenbezogener Bewertungen weiterlebt.