Datenschutz bei Umfragen: DSGVO-Regeln, Muster und Tools

Würdest du einer wildfremden Person auf der Straße dein Alter, deinen Beruf und deinen Gesundheitszustand nennen? Vermutlich nur, wenn du genau wüsstest, wer fragt und was mit den Antworten passiert. Genau darum geht es beim Datenschutz bei Umfragen.

Deine Umfrage ist dann DSGVO-konform, wenn du vor der ersten Frage eine Rechtsgrundlage nach Artikel 6 DSGVO hast, den Teilnehmenden sagst, wer du bist und wie lange du speicherst, nur abfragst, was du auswertest, und ein Tool mit Auftragsverarbeitungsvertrag nutzt.

Bei empirio.ai, einem Online-Umfrage-Tool aus Deutschland, gibt es den Auftragsverarbeitungsvertrag bereits im kostenlosen Tarif. Die Rechtsaussagen in diesem Beitrag haben wir am 3. November 2026 am Verordnungstext und an den Veröffentlichungen der österreichischen Datenschutzbehörde nachgeprüft.

📌 Das Wichtigste im Überblick

• Rein private Umfragen fallen gar nicht unter die DSGVO.
• Die Einwilligung braucht keine Schriftform, ein Häkchen genügt.
• Die IP-Adresse allein ist kein Nachweis der Einwilligung.
• In Österreich ergänzt das DSG die unmittelbar geltende DSGVO.
• Mit empirio.ai liegt der Auftragsverarbeitungsvertrag im kostenlosen Tarif.

So sieht das aus, wenn es richtig gemacht ist: eine eigene Datenschutzseite mit Zustimmung per Häkchen, die du an den Anfang deiner Umfrage stellst.

Privat oder geschäftlich: Gilt die DSGVO für deine Umfrage?

Für rein private Umfragen gilt die DSGVO nicht. Artikel 2 Absatz 2 Buchstabe c nimmt die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten aus dem Anwendungsbereich heraus. Wer im Familienchat abstimmen lässt, wann das Grillfest stattfindet, braucht weder Einwilligung noch Datenschutzhinweis.

Diese Haushaltsausnahme ist allerdings enger, als der Name vermuten lässt. Erwägungsgrund 18 stellt klar, dass sie nur greift, wenn die Tätigkeit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit stattfindet. Und sie gilt ausschließlich für natürliche Personen. Ein Verein ist eine juristische Person und fällt damit heraus, auch wenn er rein ehrenamtlich arbeitet und niemand daran verdient.

Zwei Missverständnisse sind an dieser Stelle verbreitet. Erstens macht die Haushaltsausnahme eine Umfrage nicht rechtsfrei: Der Anbieter des Tools verarbeitet die Daten weiterhin und unterliegt der DSGVO, nur trifft dich als Privatperson keine eigene Pflicht. Zweitens rutschst du schneller aus der Ausnahme heraus, als du denkst. Sobald du den Link öffentlich teilst und beliebige Menschen mitmachen können, ist der Zweck nicht mehr ausschließlich persönlich.

Studierende sind ein Sonderfall, der oft unterschätzt wird. Eine Umfrage für die Bachelorarbeit ist keine private Tätigkeit, sondern Teil eines Studiums, und viele Hochschulen haben eigene Vorgaben dazu. Was das für die Planung bedeutet, steht bei der Umfrage für Bachelorarbeit und Masterarbeit.

Personenbezogene Daten in Umfragen: was wirklich dazugehört

Personenbezogene Daten sind nach Artikel 4 Nummer 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Entscheidend ist dabei nicht die einzelne Angabe, sondern die Frage, ob sich über sie eine Person erreichen lässt. Genau dieser Zusatz fehlt in den meisten Ratgebern, und deshalb entstehen dort lange Listen, die mehr verwirren als helfen.

Ein Beispiel macht den Unterschied deutlich. Das Alter allein ist in einer Befragung mit 400 Teilnehmenden keine personenbezogene Angabe. In einem Team mit sieben Leuten kann die Kombination aus Alter, Geschlecht und Abteilung dagegen ausreichen, um eine einzelne Person zu erkennen. Personenbezug ist also nichts, was einer Angabe anhaftet, sondern etwas, das aus dem Zusammenhang entsteht.

Die letzte Zeile unterschätzen viele. Ein offenes Feld mit der Bitte um Anmerkungen bringt regelmäßig Sätze wie „Das Problem liegt bei Frau Müller aus der Buchhaltung“. Damit hast du personenbezogene Daten einer Person erhoben, die an deiner Befragung gar nicht teilgenommen hat. Wer offene Fragen stellt, sollte im Feld darüber bitten, keine Namen zu nennen, und die Antworten vor der Auswertung durchsehen.

In Österreich gilt die DSGVO nach Auskunft der Datenschutzbehörde unmittelbar. Das österreichische Datenschutzgesetz, kurz DSG, ergänzt sie nur dort, wo die Verordnung den Mitgliedstaaten Spielraum lässt.

Besondere Kategorien: wann deine Frage unter Artikel 9 fällt

Besondere Kategorien personenbezogener Daten sind nach Artikel 9 DSGVO Angaben zu rassischer und ethnischer Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben sowie genetische und biometrische Daten. Für sie gilt ein grundsätzliches Verarbeitungsverbot mit Ausnahmen, und in einer Umfrage ist die ausdrückliche Einwilligung meist die einzige Ausnahme, die praktisch infrage kommt.

Weil die DSGVO in allen Mitgliedstaaten dieselbe ist, lohnt hier der Blick in ein Kurzpapier der deutschen Aufsichtsbehörden (Stand: 27.03.2018). Es zieht die Grenzen schärfer als die meisten Handreichungen.

Auch indirekte Angaben zählen

Besonders schützenswert sind demnach alle Angaben, die direkt oder indirekt Informationen zu den Kategorien aus Artikel 9 vermitteln. Als Beispiele genannt werden die Einnahme von Medikamenten, die körperliche oder geistige Verfassung und der regelmäßige Besuch einer bestimmten Kirche. Wer in einer Mitarbeiterbefragung nach Fehltagen wegen Krankheit fragt, ist damit bereits im Bereich der Gesundheitsdaten.

Nicht jede Nähe reicht aber aus

Die Grenze wird ausdrücklich auch nach unten gezogen, und diese Gegenbeispiele sind für die Fragebogenpraxis nützlicher als jede Aufzählung: Bloßer Alkoholkonsum ist im Gegensatz zu einer Alkoholabhängigkeit kein Gesundheitsdatum, der rein geografische Geburtsort keine Angabe zur ethnischen Herkunft, und der einmalige Besuch eines Sakralbaus sagt nichts über eine religiöse Überzeugung aus.

Ein Detail wird dabei fast immer übersehen. Artikel 9 verdrängt Artikel 6 nicht, sondern tritt hinzu: Du brauchst beides, eine Rechtsgrundlage nach Artikel 6 und eine Ausnahme nach Artikel 9. Und wer besondere Kategorien verarbeitet, muss nach Artikel 30 Absatz 5 DSGVO in jedem Fall ein Verzeichnis seiner Verarbeitungstätigkeiten führen, auch als kleiner Verein.

Auf welcher Rechtsgrundlage darfst du überhaupt fragen?

Jede Verarbeitung personenbezogener Daten braucht eine der sechs Rechtsgrundlagen aus Artikel 6 Absatz 1 DSGVO. Die österreichische Datenschutzbehörde formuliert das so: Eine Datenverarbeitung darf nur durchgeführt werden, sofern sie rechtmäßig ist, und dafür muss einer der in Artikel 6 genannten Erlaubnistatbestände vorliegen. Für Umfragen kommen praktisch drei infrage, und die Einwilligung ist entgegen der verbreiteten Annahme nicht immer die passende.

Vielmehr hängt die Wahl davon ab, wer fragt und in welchem Verhältnis er zu den Befragten steht. Ein Verein, der seine Mitglieder befragt, steht anders da als eine Hochschule, die eine Lehrveranstaltung evaluiert, und beide anders als ein Unternehmen, das seine Belegschaft befragt.

Die Datenschutzbehörde weist zugleich auf die Nachweispflicht hin: Stützt sich eine Verarbeitung auf die Einwilligung und beschwert sich die betroffene Person später, hat der Verantwortliche das Einholen der Einwilligung im Zweifel nachzuweisen. Wer also mit Einwilligung arbeitet, braucht eine Protokollierung und nicht nur ein gutes Gewissen.

Ein zweiter Punkt ist für Mitarbeiter- und Lehrveranstaltungsbefragungen entscheidend. Eine Einwilligung setzt eine echte und freie Wahl voraus. Wo ein klares Ungleichgewicht besteht, etwa zwischen Studentin und Prüfer, ist diese Freiheit selten gegeben. Dieselbe Linie ziehen die deutschen Aufsichtsbehörden im Kurzpapier zur Einwilligung (Stand: 23.09.2026), das als Auslegungshilfe zur gemeinsamen Verordnung auch hier weiterhilft.

Generell gilt: Wer in einem solchen Verhältnis befragt, sollte die Umfrage von Anfang an so anlegen, dass gar keine personenbezogenen Daten anfallen. Dann stellt sich die Frage nach der Rechtsgrundlage nicht mehr. Maßgeblich ist im Zweifel die Einschätzung der Datenschutzbehörde oder deiner Hochschule, dieser Beitrag ersetzt keine Rechtsberatung.

Einwilligungserklärung bei Umfragen: die Checkliste

Eine wirksame Einwilligung ist freiwillig, bezogen auf einen bestimmten Fall, informiert und unmissverständlich abgegeben. Sie steht am Anfang der Befragung, vor der ersten inhaltlichen Frage und damit im ersten der vier Bestandteile einer Umfrage. Wie sie technisch eingeholt wird, lässt die DSGVO offen und genau dort entstehen die meisten Fehler.

Der DSGVO-Leitfaden der Datenschutzbehörde (Stand: September 2022) ist an dieser Stelle sehr deutlich: Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit können keine Einwilligung im Sinne der DSGVO darstellen. Und: Die Einwilligung kann jederzeit widerrufen werden. Auf beides muss deine Umfrage vorbereitet sein.

Häufig liest man außerdem, eine Einwilligung müsse schriftlich vorliegen. Das stimmt so nicht. Die DSGVO verlangt keine Schriftform, eine eindeutige bestätigende Handlung genügt. Das neu gefasste Kurzpapier Nr. 20 der deutschen Datenschutzkonferenz (Stand: 23.09.2026) wird an dieser Stelle noch konkreter: Ausreichend ist zum Beispiel eine einfache E-Mail oder das Anklicken eines Kästchens auf einem Online-Formular. Eine Formvorschrift für das Beschäftigtenverhältnis, wie sie das deutsche Recht in § 26 Absatz 2 BDSG kennt, gibt es in Österreich nicht.

Was in die Einwilligung gehört

Die folgenden Angaben sind das Minimum. Sie passen zusammen in fünf Sätze und müssen in klarer, einfacher Sprache formuliert sein.

• Wer die Befragung verantwortet, mit Name und Kontakt.
• Zu welchem Zweck die Daten verarbeitet werden.
• Welche Art von Daten erhoben wird.
• Dass die Teilnahme freiwillig ist.
• Dass die Einwilligung jederzeit widerrufbar ist.
• Ob Daten in ein Land außerhalb der EU übermittelt werden.

Drei technische Vorgaben kommen hinzu und an ihnen scheitern die meisten Formulare, die jemand selbst zusammenstellt. Ein bereits angekreuztes Kästchen ist nach Erwägungsgrund 32 DSGVO keine Einwilligung, ebenso wenig Stillschweigen oder Untätigkeit. Der Widerruf muss so einfach sein wie die Erteilung. Und die Freiwilligkeit setzt voraus, dass eine Ablehnung ohne Nachteil möglich ist.

Bei besonderen Kategorien nach Artikel 9 reicht eine stillschweigende oder schlüssige Handlung nicht aus. Dort verlangt Artikel 9 Absatz 2 Buchstabe a eine ausdrückliche Einwilligung, die sich genau auf diese Daten bezieht. Praktisch heißt das: eine eigene Zeile mit eigenem Häkchen, nicht ein Sammelhäkchen für alles.

Wie du die Einwilligung nachweist

Artikel 7 Absatz 1 DSGVO verlangt, dass du die Einwilligung nachweisen kannst. Nachzuweisen ist dabei die konkrete Einwilligungserklärung jeder einzelnen betroffenen Person, und zwar vollständig dokumentiert. Das bloße Abspeichern einer IP-Adresse samt der Behauptung, von dieser Adresse sei die Einwilligung gekommen, genügt ausdrücklich nicht. Kann der Verantwortliche die Einwilligung nicht nachweisen, fehlt die Rechtsgrundlage.

Für eine Online-Umfrage heißt das konkret: Der Zustimmungstext, den jemand gesehen hat, und das gesetzte Häkchen gehören zusammen in den Datensatz der Antwort. Wer den Hinweis als gewöhnliche Textfrage nachstellt und die Zustimmung an anderer Stelle abfragt, kann hinterher nicht zeigen, welchem Text jemand zugestimmt hat.

Und wenn die Einwilligung unwirksam war, lässt sie sich nicht nachträglich gegen eine andere Rechtsgrundlage tauschen. Ein willkürliches Wechseln zwischen Einwilligung und anderen Rechtsgrundlagen ist nach den Aufsichtsbehörden nicht möglich, weil es die Fairness und die Transparenz der Verarbeitung berührt. Die Grundlage muss also vorher stimmen und nicht hinterher gefunden werden.

Wenn Minderjährige an deiner Umfrage teilnehmen

Artikel 8 DSGVO regelt die Einwilligung von Kindern, allerdings nur für Dienste der Informationsgesellschaft. Die Verordnung nennt dort das vollendete 16. Lebensjahr und erlaubt den Mitgliedstaaten, die Grenze bis auf 13 Jahre abzusenken. Ob und auf welches Alter Österreich das getan hat, regelt das DSG, und ein Blick hinein lohnt, bevor du eine jüngere Zielgruppe befragst.

Eine Umfrage für die Seminararbeit ist ohnehin in der Regel kein Dienst der Informationsgesellschaft. Für sie kommt es auf die Einsichtsfähigkeit des Kindes an, also darauf, ob es Zweck und Folgen der Verarbeitung versteht. Praktisch folgen daraus zwei Dinge. Bei Befragungen in Schulen holst du die Einwilligung der Erziehungsberechtigten ein und klärst die Erhebung vorher mit der Schulleitung, die dafür oft eigene Vorgaben hat. Und je jünger die Zielgruppe, desto einfacher muss die Sprache sein, in der du fragst, denn eine Einwilligung, die niemand versteht, ist nicht informiert.

Datenschutzhinweis für deine Umfrage: ein Muster zum Anpassen

Der Datenschutzhinweis erfüllt die Informationspflichten aus Artikel 13 DSGVO und ist etwas anderes als die Einwilligung. Die Einwilligung ist die Erlaubnis, der Hinweis ist die Information darüber, was passiert. Beides steht üblicherweise auf derselben ersten Seite der Umfrage und beides darf kurz sein.

Das folgende Muster deckt die Pflichtangaben für eine einfache Befragung ohne besondere Datenkategorien ab. Die eckigen Klammern ersetzt du, den Rest kannst du übernehmen.

Verantwortlich für diese Befragung ist [Name, E-Mail-Adresse]. Erhoben werden [Angaben], um [Zweck] zu untersuchen. Rechtsgrundlage ist deine Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO. Die Teilnahme ist freiwillig, du kannst sie jederzeit abbrechen. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, eine Nachricht an [E-Mail-Adresse] genügt. Die Antworten werden bis [Zeitpunkt] gespeichert und danach gelöscht, eine Weitergabe an Dritte findet nicht statt. Du hast das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung sowie ein Beschwerderecht bei der Datenschutzbehörde.

Zwei Stellen darin verdienen Aufmerksamkeit. Der Speicherzeitraum muss ein konkreter Zeitpunkt oder ein nachvollziehbares Kriterium sein, „solange erforderlich“ genügt nicht. Und wenn dein Umfrage-Tool Daten außerhalb der EU verarbeitet, gehört ein Satz dazu, in welches Land und auf welcher Grundlage.

Der freundliche Teil derselben Seite, also Begrüßung, Anliegen und Dauer, folgt eigenen Regeln. Sie stehen im Beitrag zum Begrüßungstext für Umfragen.

Anonym, pseudonym oder doch personenbezogen?

Eine anonyme Umfrage fällt gar nicht erst unter die DSGVO. Nach Erwägungsgrund 26 gelten die Grundsätze des Datenschutzes nicht für anonyme Informationen, also für Daten, die sich nicht auf eine identifizierte oder identifizierbare Person beziehen. Wer wirklich anonym erhebt, braucht weder Einwilligung noch Löschkonzept.

Der Haken liegt im Wort „wirklich“. Dieselbe Erwägung verlangt, dass man alle Mittel berücksichtigt, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um eine Person zu identifizieren. Eine Umfrage ohne Namensfeld, die im Hintergrund IP-Adressen protokolliert und nach Abteilung fragt, ist nach diesem Maßstab nicht anonym.

Dazwischen liegt die Pseudonymisierung, und sie wird oft mit Anonymität verwechselt. Bei einem Pseudonym bleibt eine Zuordnung möglich, sie erfordert nur zusätzliche Informationen, etwa eine Codeliste. Pseudonymisierung ist deshalb eine Schutzmaßnahme und kein Ausstieg aus dem Gesetz.

Für die meisten kleinen Befragungen ist echte Anonymität trotzdem erreichbar, wenn du drei Dinge zusammen machst: keine E-Mail-Adresse und kein Login erfassen, die IP-Speicherung im Tool abschalten und demografische Fragen so grob halten, dass keine Zelle mit weniger als fünf Personen entsteht. Wie das im Einzelnen aussieht, steht ausführlich bei der anonymen Umfrage, und welche demografischen Fragen du dabei streichen kannst, ist eine eigene Abwägung.

Brauchst du für ein Gewinnspiel trotzdem eine Adresse, gehört sie hinter die letzte Frage. Wie du sie dort von den Antworten trennst, zeigt der Beitrag zum Abschluss einer Umfrage.

Was der Europäische Gerichtshof zur Pseudonymisierung entschieden hat

Wie weit die Pseudonymisierung trägt, hat der Europäische Gerichtshof am 4. September 2025 geklärt (Rechtssache C-413/23 P). Der Fall betraf keine Umfrage, sondern Stellungnahmen, die eine EU-Behörde in pseudonymisierter Form an ein Beratungsunternehmen weitergegeben hatte. Die Kernaussage lässt sich aber übertragen: Ob Daten personenbezogen sind, hängt davon ab, welche zusätzlichen Informationen derjenige hat, der sie in der Hand hält.

Für dich als Verantwortliche oder Verantwortlichen heißt das: Solange du die Codeliste hast, bleiben die Antworten personenbezogen, daran ändert die Pseudonymisierung nichts. Für einen Dritten, bei dem eine erneute Zuordnung wirksam ausgeschlossen ist, können dieselben Daten dagegen nicht personenbezogen sein. Das Gericht hat zugleich klargestellt, dass eine geäußerte Meinung immer ein personenbezogenes Datum ist, ohne dass man ihren Inhalt erst prüfen müsste. Für Freitextantworten in Umfragen ist das die wichtigere Hälfte des Urteils.

Ein zweiter Punkt ist für die Praxis entscheidend. Die Informationspflicht wird aus der Sicht des Verantwortlichen im Zeitpunkt der Erhebung beurteilt. Du kannst den Datenschutzhinweis also nicht mit dem Argument weglassen, dass du später sowieso pseudonymisierst oder anonymisierst. Bei der ersten Antwort liegen die Daten mit Personenbezug vor und genau dann muss der Hinweis stehen.

Ob du IP-Adressen speichern darfst

Die IP-Adresse ist in der Regel ein personenbezogenes Datum, auch wenn sie dynamisch vergeben wird. Sie zu speichern ist deshalb nicht verboten, sie braucht aber einen eigenen Zweck und eine eigene Rechtsgrundlage. Ein naheliegender Zweck ist der Schutz vor Mehrfachteilnahme oder vor automatisierten Antworten, und dafür kommt das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f in Betracht, samt der Abwägung, die dazugehört.

Zwei Grenzen gelten trotzdem. Wer Anonymität zusagt, darf die IP-Adresse nicht mitschreiben, sonst ist die Zusage falsch. Und die IP-Adresse ist kein Nachweis für eine Einwilligung, das lehnen die Aufsichtsbehörden ausdrücklich ab. Die Faustregel lautet deshalb: Brauchst du die Adresse nicht für einen Zweck, den du benennen kannst, schalte ihre Speicherung ab, bevor der erste Link hinausgeht.

Anonym ist eine Umfrage erst dann, wenn auch du selbst die Zuordnung nicht mehr herstellen könntest.

Woran du ein DSGVO-konformes Umfrage-Tool erkennst

Ein DSGVO-konformes Umfrage-Tool erkennst du nicht am Werbeversprechen auf der Startseite, sondern an fünf prüfbaren Punkten. Sobald du ein Tool nutzt, verarbeitet der Anbieter die Daten deiner Teilnehmenden in deinem Auftrag. Damit bist du der Verantwortliche und haftest, auch wenn der Fehler beim Anbieter passiert.

Der wichtigste Punkt ist der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Er muss vorliegen, bevor die erste Antwort eingeht. Bei vielen Anbietern hängt er am Tarif: Im kostenlosen Zugang gibt es ihn dann nicht, erst ein bezahltes Konto schaltet ihn frei.

Stand: November 2026, Anbieterangaben ändern sich.

Was im Auftragsverarbeitungsvertrag stehen muss

Der Vertrag ist kein Formalakt, sondern eine Liste von Pflichten, und Artikel 28 Absatz 3 DSGVO sagt recht genau, welche. Er legt Gegenstand, Dauer, Art und Zweck der Verarbeitung fest, dazu die Art der Daten und die Kategorien der betroffenen Personen. Dann bindet er den Anbieter an deine Weisungen, verpflichtet ihn zur Vertraulichkeit und zu den Sicherheitsmaßnahmen nach Artikel 32, regelt seine Unterstützung bei Auskunfts- und Löschanfragen und bestimmt, was am Ende mit den Daten passiert, Rückgabe oder Löschung.

Drei Punkte daraus werden regelmäßig übersehen. Der Vertrag ist schriftlich abzufassen, was auch in einem elektronischen Format geschehen kann, eine Bestätigung im Konto genügt also. Unterauftragsverarbeiter darf der Anbieter nach Artikel 28 Absatz 2 nur mit deiner vorherigen Genehmigung einsetzen, und eine Änderung muss er dir vorher mitteilen, damit du widersprechen kannst. Für jeden von ihnen müssen dieselben Pflichten gelten, die der Anbieter dir gegenüber übernommen hat.

Das erklärt, warum die Liste der Unterauftragsverarbeiter mehr ist als eine Pflichtangabe: Du haftest für die gesamte Kette. Verarbeitet ein Anbieter die Daten für eigene Zwecke und entgegen deiner Weisung, gilt er für diese Verarbeitung nach Artikel 28 Absatz 10 selbst als Verantwortlicher und trägt die Folgen.

Warum das Siegel „DSGVO-konform“ allein nichts sagt

Fast jeder Anbieter schreibt irgendwo auf seine Seite, er sei DSGVO-konform. Das ist eine Selbstauskunft und kein Nachweis. Eine behördliche Konformitätsbestätigung für Software gibt es nicht. Artikel 42 DSGVO kennt Zertifizierungen, sie sind aber freiwillig, beziehen sich auf einen festgelegten Verarbeitungsvorgang und sind nicht dasselbe wie ein allgemeines Prädikat auf der Startseite.

Prüfbar ist stattdessen das, was in der Tabelle oben steht, und zwar in dieser Reihenfolge. Liegt der Auftragsverarbeitungsvertrag in genau dem Tarif vor, den du nutzen willst, und kommst du selbst an ihn heran? Nennt der Anbieter den Ort der Verarbeitung oder nur den Ort der Speicherung? Steht die Liste der Unterauftragsverarbeiter öffentlich? Lässt sich die Speicherung der IP-Adresse abschalten? Kannst du Antworten selbst löschen?

Fünf Fragen, und auf alle fünf antwortet ein Anbieter entweder mit einem Link auf ein Dokument oder er antwortet nicht. Das ist der Unterschied zwischen einer Zusage und einem Werbesatz. Welche Anbieter welche dieser Punkte erfüllen, vergleicht der Überblick zu den Umfrage-Tools.

Serverstandort: Speicherung ist nicht Verarbeitung

Beim Serverstandort lohnt ein genauer Blick, weil die Angaben oft weniger versprechen, als sie zu versprechen scheinen. Manche Anbieter garantieren eine Datenregion nur für die gespeicherten Daten, nicht für die Verarbeitung und nicht für den Zugriff aus dem Support, und oft erst ab einem bestimmten Tarif. Ein Zugriff aus einem Drittland ist datenschutzrechtlich eine Übermittlung, auch wenn die Festplatte in Frankfurt steht. Wie du das an einem konkreten Tool nachprüfst, steht im Beitrag dazu, wie du Google Forms datenschutzkonform nutzt.

Liegt die Verarbeitung ganz oder teilweise außerhalb der EU, brauchst du dafür eine eigene Grundlage. Für die USA stützt sich die Übermittlung derzeit auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework, und zwar nur dann, wenn der Anbieter dort selbst zertifiziert ist. Der Beschluss gilt, ein Rechtsmittel dagegen liegt beim Europäischen Gerichtshof und ist nicht entschieden (Rechtssache C-703/25 P, Stand: November 2026).

Als Faustregel: Brauchst du besondere Kategorien nach Artikel 9 oder befragst du Beschäftigte, nimm ein europäisches Umfrage-Tool mit Verarbeitung in der EU und abschaltbarer IP-Speicherung. Geht es um eine Terminabfrage im Freundeskreis, reicht jedes Tool, solange du keine personenbezogenen Daten erhebst.

So erstellst du mit empirio.ai eine datenschutzkonforme Umfrage

Bei empirio.ai ist die Datenschutzseite ein eigener Seitentyp und kein Textblock, den du selbst zusammenstellst. Wer kostenlos eine Online-Umfrage erstellen will, fügt sie im Editor hinzu und entscheidet selbst, an welcher Stelle der Umfrage sie steht. Die Zustimmung per Häkchen gehört zu dieser Seite dazu, genau die Seite aus dem Bild oben entsteht so.

Der Unterschied zu einer selbst zusammengestellten Lösung liegt darin, dass Text und Häkchen zusammengehören. Wer den Hinweis als gewöhnliche Textfrage nachstellt, muss die Zustimmung separat abfragen und die Pflicht separat setzen, und genau dort entstehen die Lücken.

Vier Schritte, danach steht der Datenschutzteil deiner Umfrage.

1. Datenschutzseite hinzufügen. Im Editor als eigenen Seitentyp auswählen und an den Anfang setzen. Dafür brauchst du ein kostenloses Konto.
2. Text anpassen. Das Muster aus dem Kapitel oben eintragen und die eckigen Klammern ersetzen.
3. Häkchen beschriften. Der Text neben der Checkbox ist frei wählbar, etwa „Ich habe die Hinweise gelesen und willige ein“.
4. Auf Pflicht stellen. Ohne gesetztes Häkchen geht es dann nicht weiter und die Zustimmung wird mit der Antwort gespeichert.

Bei mehrsprachigen Befragungen lässt sich auch die Beschriftung des Häkchens je Sprache hinterlegen. Eine Einwilligung, die jemand auf Deutsch bestätigt, obwohl er den Fragebogen auf Französisch ausfüllt, ist nicht informiert im Sinne der DSGVO. Wie eine mehrsprachige Umfrage angelegt wird, steht im eigenen Beitrag.

Damit sind drei der fünf Kriterien aus dem Kapitel davor abgedeckt: Der Auftragsverarbeitungsvertrag liegt bereits im kostenlosen Tarif vor, das Hosting findet in der EU statt und die Datenschutzseite mit Zustimmung ist ein eigener Seitentyp statt einer Eigenkonstruktion. Wie empirio.ai den Datenschutz im Einzelnen umsetzt, zeigen wir dir im Beitrag So erstellst du mit empirio.ai DSGVO-konforme Umfragen. Was kein Tool abnimmt, ist die Entscheidung davor: ob du überhaupt eine Rechtsgrundlage hast und ob deine Fragen unter Artikel 9 fallen. Diesen Teil kann keine Software für dich prüfen.

Datenschutz bei Umfragen: die vier typischen Fehler

Die folgenden vier Fehler tauchen in Befragungen von Vereinen, Studierenden und kleinen Teams besonders häufig auf. Alle vier lassen sich vor dem Versand beheben.

Gemeinsam ist ihnen, dass sie nicht aus Nachlässigkeit entstehen, sondern aus einer plausibel klingenden Annahme. Genau deshalb fallen sie beim Gegenlesen selten auf.

Anonymität wird versprochen, aber nicht hergestellt

„Die Befragung ist natürlich anonym“ steht in der Einladung, während das Tool IP-Adressen protokolliert und nach Abteilung, Alter und Geschlecht fragt. Damit ist die Zusage falsch, und bei kleinen Gruppen ist sie auch praktisch widerlegbar. Prüfe die Einstellungen im Tool, bevor du das Wort anonym benutzt.

Mehr abgefragt als ausgewertet wird

Der Grundsatz der Datenminimierung aus Artikel 5 DSGVO verlangt, dass du dich auf das Notwendige beschränkst. Eine Frage nach dem genauen Geburtsdatum, obwohl du am Ende in Altersgruppen auswertest, ist genau das Gegenteil. Streiche jede Angabe, für die du keine geplante Auswertung nennen kannst.

Der Speicherzeitraum fehlt oder ist unbestimmt

„Die Daten werden gespeichert, solange es erforderlich ist“ erfüllt die Informationspflicht aus Artikel 13 nicht. Verlangt ist die Dauer der Speicherung oder, wenn das nicht möglich ist, das Kriterium für ihre Festlegung. Ein Datum ist die einfachste Lösung und es zwingt dich, danach wirklich zu löschen.

Die Angst vor Geldbußen lenkt vom Wesentlichen ab

Bei Verstößen gegen die Bedingungen der Einwilligung kann die Datenschutzbehörde nach Artikel 83 Absatz 5 DSGVO eine Geldbuße verhängen, keine Geldstrafe, denn es handelt sich um Verwaltungsstrafrecht und nicht um Strafrecht. Für eine studentische Befragung ist das ein sehr unwahrscheinliches Szenario. Wahrscheinlicher und ärgerlicher ist, dass deine Hochschule die Erhebung beanstandet oder Teilnehmende die Antwort verweigern.

Quellen und weiterführende Literatur

Die Rechtsaussagen in diesem Beitrag stützen sich auf den Verordnungstext, auf ein Urteil des Europäischen Gerichtshofs und auf veröffentlichte Auslegungshilfen der Aufsichtsbehörden. Sie sind alle frei zugänglich und in wenigen Minuten gelesen.

• Österreichische Datenschutzbehörde: Verordnung (EU) 2016/679, Datenschutz-Grundverordnung. Leitfaden, Stand September 2022.
• Österreichische Datenschutzbehörde: Ihre Pflichten als Verantwortliche:r.
• Datenschutzkonferenz der deutschen Aufsichtsbehörden (2026): Kurzpapier Nr. 20, Einwilligung nach der DS-GVO, Stand 23.09.2026.
• Datenschutzkonferenz der deutschen Aufsichtsbehörden (2018): Kurzpapier Nr. 13, Auftragsverarbeitung nach Artikel 28 DS-GVO, Stand 17.12.2018.
• Datenschutzkonferenz der deutschen Aufsichtsbehörden (2018): Kurzpapier Nr. 17, Besondere Kategorien personenbezogener Daten, Stand 27.03.2018.
• Europäischer Gerichtshof, Urteil vom 4. September 2025, Rechtssache C-413/23 P (Europäischer Datenschutzbeauftragter gegen Einheitlicher Abwicklungsausschuss), zur Frage, wann pseudonymisierte Daten personenbezogen sind.
• Verordnung (EU) 2016/679, insbesondere die Artikel 4, 5, 6, 7, 8, 9, 13, 28 und 42 sowie die Erwägungsgründe 18, 26 und 32.

Unser Literaturtipp für alle, die tiefer einsteigen wollen: Voigt, Paul und Axel von dem Bussche (2018). EU-Datenschutz-Grundverordnung (DSGVO): Praktikerhandbuch. Berlin: Springer. Das österreichische Datenschutzgesetz ergänzt die Verordnung und ist über das Rechtsinformationssystem des Bundes abrufbar.

Ein Hinweis zur Einordnung: Die Kurzpapiere der Datenschutzkonferenz sind eine deutsche Auslegungshilfe und binden die österreichische Datenschutzbehörde nicht. Weil sie sich auf dieselbe Verordnung beziehen, sind sie für die Praxis trotzdem nützlich. Sie stehen unter der Datenlizenz Deutschland, Namensnennung, Version 2.0.

Fazit

Datenschutz bei Umfragen wirkt größer, als er ist. Wer die Rechtsgrundlage vorher klärt, nur das abfragt, was er auswertet, einen verständlichen Hinweis an den Anfang stellt und die Zustimmung so dokumentiert, dass sie sich einzeln nachweisen lässt, hat den weitaus größten Teil erledigt. Der sicherste Weg bleibt der, bei dem gar keine personenbezogenen Daten anfallen.

Wie es weitergeht

• Du willst die Umfrage insgesamt besser anlegen? 8 Tipps für eine erfolgreiche Online-Umfrage
• Du brauchst echte Anonymität? Anonyme Umfrage erstellen
• Du schreibst gerade eine Abschlussarbeit? Umfrage für Bachelorarbeit und Masterarbeit

Umfrage starten, ohne beim Datenschutz nachbessern zu müssen?

empirio.ai verarbeitet die Antworten in der EU und stellt den Auftragsverarbeitungsvertrag bereits im kostenlosen Tarif bereit.

Kostenlos ein Konto anlegen