Google Forms datenschutzkonform nutzen: Was wirklich gilt

„Ist Google Forms DSGVO-konform?“ ist die meistgestellte und am schlechtesten beantwortete Frage rund um das Tool. Die üblichen Antworten lauten entweder „auf keinen Fall, die Daten liegen in den USA“ oder „ist doch nur eine Umfrage“. Beides greift zu kurz.

Google Forms lässt sich datenschutzkonform nutzen, wenn du ein kostenpflichtiges Google-Workspace-Konto verwendest, weil nur dort ein Auftragsverarbeitungsvertrag zustande kommt, wenn du eine Rechtsgrundlage für die Erhebung hast, im Formular über Zweck, Speicherdauer und Widerruf informierst und nur die Angaben abfragst, die deine Auswertung wirklich braucht. Für diesen Artikel haben wir die Vertragsbedingungen, die Tarifübersicht und die Verwaltungshilfe von Google im August 2026 einzeln nachgelesen.

Tipp: Du kannst dir die Vertragsfrage auch ganz sparen. Bei empirio.ai werden die Umfragedaten in der EU gespeichert, in Frankfurt am Main, auch die KI-Funktionen laufen auf Infrastruktur innerhalb der EU, und der Auftragsverarbeitungsvertrag ist Anlage zu den Nutzungsbedingungen, denen du schon bei der Registrierung zustimmst. Du musst ihn also weder anfordern noch einen bezahlten Tarif dafür buchen. Dazu kommt der Funktionsumfang eines spezialisierten Umfrage-Tools, vieles davon kostenlos. Mehr dazu unten im Kapitel Die EU-Alternative: empirio.ai.

📌 Das Wichtigste im Überblick

• Einen Auftragsverarbeitungsvertrag gibt es nur mit kostenpflichtigem Google Workspace.
• Schon der Aufruf des Formulars verarbeitet technische Verbindungsdaten.
• Die Datenregion Europa fehlt in Business Starter und im Gratiskonto.
• Bei Google Forms deckt sie gespeicherte Daten ab, keine Logs.
• Das EU-US Data Privacy Framework gilt, ist aber juristisch angegriffen.

Der erste Schritt: Bist du überhaupt verantwortlich?

Bevor es um Google geht, geht es um dich. Die DSGVO gilt nicht für jede Umfrage, und wer nicht Verantwortlicher im Sinne der Verordnung ist, braucht weder Rechtsgrundlage noch Vertrag noch Datenschutzhinweis.

Die Grenze verläuft nicht zwischen harmlosen und heiklen Fragen, sondern zwischen privater und nicht mehr privater Tätigkeit. Diese Unterscheidung entscheidet über alles Weitere in diesem Artikel, deshalb steht sie vorn.

Die Haushaltsausnahme bei rein privaten Umfragen

Nach Art. 2 Abs. 2 lit. c DSGVO findet die Verordnung keine Anwendung auf die Verarbeitung durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten. Eine Terminabfrage in der Familie oder ein Meinungsbild im Freundeskreis fällt unter diese Haushaltsausnahme. Wer nur in diesem Rahmen fragt, muss nichts von dem tun, was in diesem Artikel steht.

Wo die Haushaltsausnahme endet

Der Europäische Gerichtshof legt die Ausnahme eng aus und beschränkt sie auf das absolut Notwendige (EuGH, 11.12.2014, C-212/13, Ryneš). Für die Verbreitung von Daten an einen unbegrenzten Personenkreis im Internet hat der Gerichtshof entschieden, dass die Ausnahme nicht greift (EuGH, 06.11.2003, C-101/01, Lindqvist). Drei Fälle fallen damit heraus:

• Es kommt ein geschäftlicher Zweck dazu, auch ein gemischter genügt.
• Hinter der Umfrage steht eine juristische Person: GmbH, Verein, Schule, Behörde.
• Die Umfrage erreicht über einen öffentlich geposteten Link einen unbegrenzten Personenkreis.

Der letzte Punkt überrascht viele. Wer seine Umfrage für die Bachelorarbeit in offenen Facebook-Gruppen streut, bewegt sich nach dieser Logik nicht mehr im geschützten Bereich. Entschieden ist der Fall des öffentlichen Umfragelinks höchstrichterlich allerdings nicht, die Argumentation stützt sich auf die Lindqvist-Linie. Bei wissenschaftlichen Arbeiten kommen ohnehin meist die Vorgaben der Hochschule dazu.

Warum schon technische Daten reichen

Der häufigste Irrtum lautet: „Ich frage ja gar nichts Persönliches, also ist die Umfrage datenschutzrechtlich unkritisch.“ Dieser Schluss trägt nicht.

Sobald jemand ein Google-Formular öffnet, verarbeitet Google technische Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser- und Geräteinformationen. IP-Adressen sind nach der Rechtsprechung des Europäischen Gerichtshofs personenbezogene Daten, sobald die verarbeitende Stelle über Mittel verfügt, die vernünftigerweise eingesetzt werden können, um die Person zu bestimmen (EuGH, 19.10.2016, C-582/14, Breyer). Diesen relativen Maßstab hat der Gerichtshof am 04.09.2025 in der Rechtssache C-413/23 P bestätigt. Für Google als Betreiber ist der Personenbezug regelmäßig zu bejahen.

Damit liegt eine Verarbeitung personenbezogener Daten vor, unabhängig davon, was in deinem Fragebogen steht. Und damit entscheidet sich, ob überhaupt eine Rechtsgrundlage und ein Vertrag mit Google nötig sind. Die Antwort lautet: ja, ab der ersten Antwort.

Zwei Klarstellungen, damit daraus kein Missverständnis wird:

• Google Forms zeigt dir als Ersteller keine IP-Adressen an, auch nicht im Export.
• Eine Umfrage kann aus deiner Sicht trotzdem anonym sein, das eine schließt das andere nicht aus. Wie das geht, steht in Anonyme Umfrage erstellen.

Der Auftragsverarbeitungsvertrag: der eigentliche Knackpunkt

Wenn Google personenbezogene Daten in deinem Auftrag verarbeitet, ist Google Auftragsverarbeiter und du bist der Verantwortliche. Nach Art. 28 DSGVO braucht diese Konstellation einen Vertrag, den Auftragsverarbeitungsvertrag, kurz AVV.

Google regelt ihn im Cloud Data Processing Addendum. Dieses Addendum gilt laut Googles eigenen Vertragsbedingungen für Google Workspace, Cloud Identity und Google Cloud. Für private, kostenlose Google-Konten gilt es nicht. Bei Google Workspace Individual sagt Google den Abschluss zu, sofern der Dienst beruflich oder kommerziell genutzt wird.

Wer Google Forms also dienstlich über ein privates Gmail-Konto nutzt, hat eine Lücke, die sich mit keinem noch so guten Datenschutzhinweis schließen lässt. Genau daran scheitert es in der Praxis, und genau dieser Punkt fehlt in den meisten Ratgebern.

⚠️ Achtung

Nutzt du Google Forms dienstlich über ein kostenloses Google-Konto, fehlt dir der Auftragsverarbeitungsvertrag. Diese formale Voraussetzung lässt sich nachträglich nicht heilen. Der Ausweg ist ein kostenpflichtiges Workspace-Konto oder ein Tool, das dir den Vertrag auch im Gratistarif anbietet.

Der Serverstandort: entschärfter als sein Ruf

Das Standardargument gegen Google lautet: Die Daten liegen in den USA, also geht das nicht. Seit 2023 ist die Lage komplizierter, und zwar in beide Richtungen.

Am 10. Juli 2023 hat die EU-Kommission mit dem Durchführungsbeschluss (EU) 2023/1795 für das EU-US Data Privacy Framework einen Angemessenheitsbeschluss erlassen. Für zertifizierte US-Unternehmen ist die Datenübermittlung damit auf derselben Grundlage möglich wie innerhalb der EU. Google erklärt, dass Google LLC unter dem Framework zertifiziert ist. Das Gericht der Europäischen Union hat den Beschluss am 03.09.2025 in der Rechtssache T-553/23 (Latombe) bestätigt.

Warum die Grundlage weniger stabil ist, als sie klingt

Die Bestätigung ist nicht rechtskräftig: Gegen das Urteil wurde am 31.10.2025 Rechtsmittel zum Europäischen Gerichtshof eingelegt, Rechtssache C-703/25 P. Hinzu kommt ein zweiter Punkt. Der Angemessenheitsbeschluss stützt sich in weiten Teilen auf die Unabhängigkeit US-amerikanischer Aufsichtsstellen. Am 29.06.2026 hat der US Supreme Court in Trump v. Slaughter entschieden, dass der Kündigungsschutz der FTC-Kommissare verfassungswidrig ist, und den Präzedenzfall Humphrey's Executor aufgehoben. Der Europäische Datenschutzausschuss hat die EU-Kommission mit Schreiben vom 31.07.2026 aufgefordert zu prüfen, ob das den Beschluss berührt.

Für dich heißt das: Der Serverstandort ist im August 2026 kein Ausschlusskriterium, denn der Beschluss gilt unverändert. Er ist aber ein Risiko, das du kennen solltest. Wer eine Erhebung aufsetzt, die über Jahre laufen soll, plant besser nicht darauf.

Die Datenregion Europa und was sie wirklich abdeckt

Viele halten die Datenregion für die Lösung: einfach Europa einstellen, dann bleiben die Daten hier. Zwei Einschränkungen machen diese Rechnung kaputt.

Die erste betrifft den Tarif, die zweite den Dienst. Beide zusammen führen dazu, dass die Datenregion für Google Forms deutlich weniger leistet, als der Name verspricht.

Datenregionen gibt es nicht in jedem Tarif

Die Funktion Datenregionen ist an bestimmte Google-Workspace-Editionen gebunden. Welche das sind, steht in der Verwaltungshilfe von Google und ändert sich gelegentlich.

Quelle: Google-Workspace-Verwaltungshilfe, Stand 29. Juli 2026, Änderungen möglich.

Bei Google Forms deckt die Datenregion nur die Hälfte ab

Google unterscheidet zwischen Daten im Ruhezustand und Daten während der Verarbeitung. Für Dienste wie Gmail, Drive oder Docs gilt die Datenregion für beides. Bei Google Forms ist in der Übersicht von Google nur der Ruhezustand markiert, also Text, eingebettete Bilder, Antworten und Antwortentwürfe. Die Verarbeitung selbst ist nicht abgedeckt. Generell ausgenommen sind laut derselben Quelle Protokolle und im Cache gespeicherte Inhalte, also ausgerechnet die technischen Verbindungsdaten (Stand: 24. März 2026).

Die Datenregion ist damit ein sinnvoller Baustein, aber keine Garantie, dass keine Daten die EU verlassen. Wer diese Garantie braucht, kommt an einem europäischen Anbieter nicht vorbei.

Was du konkret tun musst

Angenommen, du bleibst bei Google Forms und nutzt es dienstlich. Dann steht am Anfang der Vertrag und am Ende das Löschkonzept, und dazwischen liegen fünf Schritte, die sich in einer Stunde erledigen lassen.

Die Reihenfolge ist bewusst gewählt: Ohne den ersten Punkt bringen die übrigen sechs nichts.

1. Kostenpflichtiges Google Workspace nutzen. Nur dort kommt der Auftragsverarbeitungsvertrag zustande. Alles Weitere baut darauf auf.
2. Rechtsgrundlage klären. Bei freiwilligen Umfragen ist das in aller Regel die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, also freiwillig, informiert und widerrufbar.
3. Datenschutzhinweis in die Formularbeschreibung setzen. Wer erhebt, mit Kontaktdaten, wozu, wie lange gespeichert wird, dass die Teilnahme freiwillig ist und wie sich die Einwilligung widerrufen lässt. Ein Link auf deine Datenschutzerklärung gehört dazu.
4. Datensparsamkeit prüfen. Bei jeder Frage gilt: Brauche ich diese Angabe wirklich für die Auswertung? Was du nicht erhebst, musst du auch nicht schützen.
5. Einwilligung einholen, wenn du das Formular einbettest. Ein eingebettetes Google-Formular ist für den Betrieb deiner Seite nicht erforderlich und darf deshalb erst nach aktiver Zustimmung laden.
6. Verzeichnis von Verarbeitungstätigkeiten ergänzen. Wird gern vergessen, gehört aber dazu.
7. Löschkonzept festlegen. Wann werden die Antworten gelöscht? Die verknüpfte Google-Tabelle ist eine zweite Kopie und muss separat gelöscht werden.

Eine allgemeine Vorlage für den Datenschutzhinweis in Umfragen und mehr Hintergrund findest du im Leitfaden zu Datenschutz und DSGVO bei Umfragen.

Drei Sonderfälle, die häufig vorkommen

In drei Konstellationen reicht die Checkliste aus dem vorigen Kapitel nicht, weil zusätzliche Anforderungen dazukommen, die nichts mit Google zu tun haben.

Gemeinsam ist ihnen, dass die Freiwilligkeit der Einwilligung angreifbar wird oder eine dritte Stelle mitentscheidet. Wer das übersieht, hat formal alles richtig gemacht und trotzdem ein Problem.

Umfragen in Schule und Unterricht

Schüler sind besonders schutzbedürftig, und bei Minderjährigen kommen zusätzliche Anforderungen an die Einwilligung dazu, im Regelfall unter Beteiligung der Erziehungsberechtigten. In Österreich führt der Weg über die Bildungsdirektion des Bundeslandes und den schulischen Datenschutzbeauftragten, die Aufsicht liegt bei der österreichischen Datenschutzbehörde. Eine veröffentlichte Bewertung von Google Workspace for Education durch die Datenschutzbehörde liegt uns nicht vor. Verlässliche Auskunft gibt deshalb nur die Schulbehörde oder der Datenschutzbeauftragte deiner Schule, und zwar bevor du eine Klassenumfrage aufsetzt.

Mitarbeiterbefragungen im Unternehmen

Der Knackpunkt ist nicht der Serverstandort, sondern das Machtgefälle: Eine Einwilligung im Beschäftigungsverhältnis gilt nur eingeschränkt als freiwillig. Dazu kommt die Beteiligung des Betriebsrats. Und praktisch gilt: Wenn die Belegschaft der Anonymität nicht traut, bekommst du keine ehrlichen Antworten. Mehr zum methodischen Rahmen steht im Leitfaden zur Mitarbeiterbefragung.

Erhebungen für wissenschaftliche Arbeiten

Bei Bachelor- und Masterarbeiten gelten meist die Vorgaben der Hochschule, und viele verlangen ausdrücklich eine Erhebung auf europäischen Servern. Dazu kommt: Im Methodenteil musst du beschreiben können, wie du Anonymität und Datenschutz sichergestellt hast. „Ich habe Google Forms genommen“ ist in der Verteidigung keine gute Antwort.

Die EU-Alternative: empirio.ai

Der einfachste Weg, all diese Fragen zu vermeiden, ist ein Anbieter, bei dem sie sich gar nicht stellen. Wenn die Daten die EU nie verlassen, brauchst du weder eine Übermittlungsgrundlage noch eine Debatte über Datenregionen. empirio.ai ist ein Online-Umfrage-Tool aus Deutschland und damit ein Anbieter im europäischen Rechtsraum, in dem auch Österreich liegt. Vier Punkte unterscheiden es an genau den Stellen, die weiter oben Probleme gemacht haben.

Die Umfragedaten bleiben in der EU

Gespeichert wird in der Europäischen Union, konkret in Frankfurt am Main. Die Frage nach dem EU-US Data Privacy Framework stellt sich für deine Antworten damit erst gar nicht. Und du musst nicht nachschlagen, welche Workspace-Edition eine Datenregion erlaubt und ob diese nur den Ruhezustand oder auch die Verarbeitung erfasst. Bei Google Forms sind das zwei getrennte Hürden.

Auch die KI-Funktionen laufen in der EU

Speicherort und KI-Verarbeitung sind zwei verschiedene Fragen, und die zweite geht meist unter. Ein Tool kann brav in Europa speichern und den Fragebogentext trotzdem an ein US-Modell schicken, sobald jemand auf „Fragen optimieren“ drückt. Bei empirio.ai laufen die KI-Funktionen auf Infrastruktur innerhalb der EU, und die eingegebenen Inhalte werden nicht zum Training der Modelle verwendet. Die österreichische Datenschutzbehörde geht übrigens davon aus, dass du beim Einsatz eines fremden KI-Systems in der Regel selbst Verantwortlicher bleibst, umso wichtiger ist es zu wissen, wo verarbeitet wird.

Den Auftragsverarbeitungsvertrag hast du ab dem ersten Tag

Das ist der Punkt, an dem Google Forms in der Praxis scheitert. Bei empirio.ai ist die Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO Anlage zu den Nutzungsbedingungen, denen du bei der Registrierung zustimmst. Kein Anfordern, keine Unterschrift, kein bezahlter Tarif als Voraussetzung. Für die dienstliche Nutzung ist damit genau die formale Lücke geschlossen, die sich sonst nachträglich nicht mehr reparieren lässt.

Mehr Funktionen, weil es ein Umfrage-Tool ist

Google Forms ist ein Formularbaukasten, der auch für Umfragen taugt. empirio.ai ist von vornherein für Befragungen gebaut, und das siehst du an den Fragetypen: über 35 Stück, darunter Matrix, Ranking, NPS und Bewertungsskalen. Die Antworten laufen live in ein Dashboard statt in eine Tabelle, und ein KI-Editor entwirft den Fragebogen aus einem einzigen Satz. Fragetypen, KI-Editor, Vorlagen, QR-Code und das Einbetten in die eigene Seite gehören zum kostenlosen Tarif, der bei 50 Teilnehmern pro Monat liegt.

Damit die Rechnung ehrlich bleibt: Genau an dieser Grenze ist Google Forms stärker, dort sind die Antworten unbegrenzt und kosten nichts. Für eine anonyme Kurzbefragung ohne personenbezogene Fragen, aus einem Workspace-Konto heraus und mit sauberem Datenschutzhinweis, bleibt Google Forms ein vertretbares Werkzeug. Sobald personenbezogene Daten, ein Betriebsrat oder eine Vorgabe der Hochschule dazukommen, dreht sich das Bild. Weitere Optionen mit ihren jeweiligen Stärken stehen im Vergleich der Google-Forms-Alternativen.

Fazit

Die Datenschutzfrage bei Google Forms entscheidet sich nicht am Serverstandort, sondern am Konto: Ohne kostenpflichtiges Google Workspace fehlt der Auftragsverarbeitungsvertrag, und diese Lücke lässt sich nicht umgehen. Für anonymes Kurzfeedback aus einem Workspace-Konto ist Google Forms vertretbar. Für Mitarbeiterbefragungen, Schulkontexte und Gesundheitsdaten raten wir zu einem Anbieter, bei dem die Daten die EU nicht verlassen.

Dieser Artikel gibt den Stand unserer Recherche vom August 2026 wieder und ersetzt keine Rechtsberatung. Bei kritischen Erhebungen sprich mit deinem Datenschutzbeauftragten oder einem Fachanwalt.

Wie es weitergeht

• Du baust die Umfrage gerade? Umfragen erstellen mit Google Forms
• Du willst wirklich anonym erheben? Anonyme Umfrage erstellen
• Du suchst den allgemeinen Rahmen? Datenschutz und DSGVO bei Umfragen
• Du überlegst zu wechseln? Google-Forms-Alternativen im Vergleich

Umfrage starten, ohne die Vertragsfrage?

Bei empirio.ai liegen die Daten in der EU und der Auftragsverarbeitungsvertrag ist Teil der Nutzung, auch im kostenlosen Tarif. Kostenlos ausprobieren