Google Forms datenschutzkonform nutzen: Was wirklich gilt

„Ist Google Forms datenschutzkonform?“ ist die meistgestellte und am schlechtesten beantwortete Frage rund um das Tool. Die üblichen Antworten lauten entweder „auf keinen Fall, die Daten liegen in den USA“ oder „ist doch nur eine Umfrage“. Beides greift zu kurz, und beide übersehen, dass in der Schweiz nicht die DSGVO die erste Adresse ist.

Google Forms lässt sich datenschutzkonform nutzen, wenn du ein kostenpflichtiges Google-Workspace-Konto verwendest, weil nur dort ein Vertrag mit Google zustande kommt, wenn du im Formular über Bearbeitungszweck, Speicherdauer und Widerruf informierst und wenn du nur die Angaben abfragst, die deine Auswertung wirklich braucht. Für diesen Artikel haben wir das DSG, die Verordnung dazu und die Verwaltungshilfe von Google im August 2026 einzeln nachgelesen.

📌 Das Wichtigste im Überblick

• Für Schweizer Stellen gilt das DSG, nicht automatisch die DSGVO.
• Das DSG verlangt für die Auftragsbearbeitung keinen schriftlichen Vertrag.
• Die USA gelten seit 15. September 2024 als angemessen, mit Vorbehalt.
• Die Datenregion Europa fehlt in Business Starter und im Gratiskonto.
• Für öffentliche Schulen gilt kantonales Recht, nicht das DSG.

Welches Recht bei deiner Umfrage überhaupt gilt

Bevor es um Google geht, geht es um die Frage, welches Gesetz dich überhaupt bindet. In der Schweiz ist das nicht selbstverständlich die DSGVO, und diese Verwechslung steckt in fast jedem Ratgeber, der aus Deutschland übernommen wurde.

Massgebend ist das Bundesgesetz über den Datenschutz, kurz DSG (SR 235.1), in Kraft seit dem 1. September 2023, zusammen mit der Datenschutzverordnung (SR 235.11). Zwei Einschränkungen dazu gehören an den Anfang.

Wann zusätzlich die DSGVO greift

Die DSGVO gilt für eine Schweizer Stelle über das Marktortprinzip nach Art. 3 Abs. 2 DSGVO, also wenn sich die Umfrage an Personen in der EU richtet oder deren Verhalten beobachtet. Wer nur in der Schweiz befragt, bleibt beim DSG. Wer eine Kundenbefragung auch nach Deutschland oder Frankreich schickt, hat beide Regime gleichzeitig, denn das DSG wird dadurch nicht verdrängt.

Wann du gar nicht betroffen bist

Nach Art. 2 Abs. 2 lit. a DSG findet das Gesetz keine Anwendung auf Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden. Die Schweizer Fassung ist damit enger formuliert als die europäische, die von persönlichen oder familiären Tätigkeiten spricht. Eine Terminabfrage im Freundeskreis fällt darunter. Sobald ein Verein, eine Firma oder eine Schule dahintersteht oder der Link öffentlich gestreut wird, endet der persönliche Gebrauch. Und bei kantonalen oder kommunalen Organen, wozu öffentliche Schulen gehören, gilt ohnehin nicht das DSG des Bundes, sondern das Datenschutzgesetz des jeweiligen Kantons.

Warum schon technische Daten reichen

Der häufigste Irrtum lautet: „Ich frage ja gar nichts Persönliches, also ist die Umfrage datenschutzrechtlich unkritisch.“ Dieser Schluss trägt nicht.

Sobald jemand ein Google-Formular öffnet, bearbeitet Google technische Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser- und Geräteinformationen. Personendaten sind nach Art. 5 lit. a DSG alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Ob eine IP-Adresse dazu zählt, hängt davon ab, wer sie in der Hand hat und mit welchem Aufwand eine Zuordnung möglich wäre. Für Google als Betreiber ist diese Zuordnung regelmässig zu bejahen.

Damit liegt eine Bearbeitung von Personendaten vor, unabhängig davon, was in deinem Fragebogen steht. Und damit stellt sich die Frage nach dem Verhältnis zu Google, noch bevor die erste inhaltliche Antwort eingeht.

Zwei Klarstellungen, damit daraus kein Missverständnis wird:

• Google Forms zeigt dir als Ersteller keine IP-Adressen an, auch nicht im Export.
• Eine Umfrage kann aus deiner Sicht trotzdem anonym sein, das eine schliesst das andere nicht aus. Wie das geht, steht in Anonyme Umfrage erstellen.

Die Auftragsbearbeitung: hier liegt der Knackpunkt

Wenn Google Personendaten in deinem Auftrag bearbeitet, ist Google Auftragsbearbeiter im Sinne von Art. 5 lit. k DSG und du bleibst der Verantwortliche. Art. 9 DSG erlaubt diese Übertragung, wenn Google die Daten nur so bearbeitet, wie du es selbst dürftest, wenn keine Geheimhaltungspflicht entgegensteht und wenn die Datensicherheit gewährleistet ist.

Anders als Art. 28 DSGVO verlangt Art. 9 DSG dabei ausdrücklich keine Schriftform und keinen Pflichtinhalt. Das klingt entspannter, als es ist: Ohne Vertrag hast du keine Zusicherung zur Datensicherheit, keine Regel zum Beizug von Unterauftragnehmern und nichts, womit du deine Sorgfalt belegen könntest.

Google regelt diese Punkte im Cloud Data Processing Addendum. Dieses Addendum gilt laut Googles eigenen Vertragsbedingungen für Google Workspace, Cloud Identity und Google Cloud. Für private, kostenlose Google-Konten gilt es nicht.

⚠️ Achtung

Sobald deine Umfrage auch Personen in der EU erreicht, gilt zusätzlich Art. 28 DSGVO, und der verlangt den Vertrag in Schriftform. Aus der Schweizer Kulanz wird dann eine harte Voraussetzung, die ein kostenloses Google-Konto nicht erfüllt.

Der Serverstandort: entschärfter als sein Ruf

Das Standardargument gegen Google lautet: Die Daten liegen in den USA, also geht das nicht. Seit 2024 ist die Lage für Schweizer Stellen komplizierter, und zwar in beide Richtungen.

Die Bekanntgabe ins Ausland richtet sich nach Art. 16 DSG. Zulässig ist sie ohne weitere Garantien, wenn der Bundesrat festgestellt hat, dass der Zielstaat einen angemessenen Schutz gewährleistet. Genau das hat der Bundesrat am 14. August 2024 für die USA getan, in Kraft seit dem 15. September 2024, allerdings mit einem Vorbehalt: Die Angemessenheit gilt nur für Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Der Eintrag steht in Anhang 1 der Datenschutzverordnung. Google erklärt, dass Google LLC unter dem Swiss-U.S. DPF zertifiziert ist.

Warum die Grundlage weniger stabil ist, als sie klingt

Der Angemessenheitsentscheid stützt sich in weiten Teilen auf die Unabhängigkeit US-amerikanischer Aufsichtsstellen. Am 29.06.2026 hat der US Supreme Court in Trump v. Slaughter entschieden, dass der Kündigungsschutz der FTC-Kommissare verfassungswidrig ist, und den Präzedenzfall Humphrey's Executor aufgehoben. In der EU hat der Europäische Datenschutzausschuss die Kommission daraufhin zu einer Überprüfung aufgefordert. Eine entsprechende Stellungnahme des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten oder des Bundesrats haben wir nicht gefunden, und Anhang 1 der Verordnung ist unverändert.

Für dich heisst das: Der Serverstandort ist im August 2026 kein Ausschlusskriterium, denn der Entscheid gilt unverändert. Er ist aber ein Risiko, das du kennen solltest. Wer eine Erhebung aufsetzt, die über Jahre laufen soll, plant besser nicht darauf.

Die Datenregion Europa und was sie wirklich abdeckt

Viele halten die Datenregion für die Lösung: einfach Europa einstellen, dann bleiben die Daten hier. Zwei Einschränkungen machen diese Rechnung kaputt, und eine dritte betrifft die Schweiz besonders.

Die erste betrifft den Tarif, die zweite den Dienst. Dazu kommt: Google bietet Europa als Region an, nicht die Schweiz. Wer Daten zwingend im Inland halten muss, löst das mit Google Forms nicht.

Datenregionen gibt es nicht in jedem Tarif

Die Funktion Datenregionen ist an bestimmte Google-Workspace-Editionen gebunden. Welche das sind, steht in der Verwaltungshilfe von Google und ändert sich gelegentlich.

Quelle: Google-Workspace-Verwaltungshilfe, Stand 29. Juli 2026, Änderungen möglich.

Bei Google Forms deckt die Datenregion nur die Hälfte ab

Google unterscheidet zwischen Daten im Ruhezustand und Daten während der Bearbeitung. Für Dienste wie Gmail, Drive oder Docs gilt die Datenregion für beides. Bei Google Forms ist in der Übersicht von Google nur der Ruhezustand markiert, also Text, eingebettete Bilder, Antworten und Antwortentwürfe. Die Bearbeitung selbst ist nicht abgedeckt. Generell ausgenommen sind laut derselben Quelle Protokolle und im Cache gespeicherte Inhalte, also ausgerechnet die technischen Verbindungsdaten (Stand: 24. März 2026).

Die Datenregion ist damit ein sinnvoller Baustein, aber keine Garantie, dass keine Daten Europa verlassen. Wer diese Garantie braucht, kommt an einem europäischen Anbieter nicht vorbei.

Was du konkret tun musst

Angenommen, du bleibst bei Google Forms und nutzt es geschäftlich. Dann steht am Anfang der Vertrag und am Ende das Löschkonzept, und dazwischen liegen fünf Schritte, die sich in einer Stunde erledigen lassen.

Die Reihenfolge ist bewusst gewählt: Ohne den ersten Punkt bringen die übrigen sechs nichts.

1. Kostenpflichtiges Google Workspace nutzen. Nur dort kommt ein Vertrag mit Google zustande, der Datensicherheit und Unterauftrag regelt.
2. Rechtfertigung klären. Das DSG kennt keinen Katalog wie Art. 6 DSGVO. Bei Privaten ist die Bearbeitung erlaubt, solange sie die Persönlichkeit nicht verletzt (Art. 30 DSG). Wo sie das doch tut, rechtfertigen Einwilligung, überwiegendes Interesse oder Gesetz (Art. 31 DSG).
3. Informationspflicht erfüllen. Wer erhebt, mit Kontaktdaten, wozu, wie lange gespeichert wird, dass die Teilnahme freiwillig ist und in welche Staaten Daten bekanntgegeben werden. Ein Link auf deine Datenschutzerklärung gehört dazu.
4. Datensparsamkeit prüfen. Bei jeder Frage gilt: Brauche ich diese Angabe wirklich für die Auswertung? Was du nicht erhebst, musst du auch nicht schützen.
5. Einwilligung einholen, wenn du das Formular einbettest. Ein eingebettetes Google-Formular ist für den Betrieb deiner Seite nicht erforderlich und sollte deshalb erst nach aktiver Zustimmung laden.
6. Bearbeitungsverzeichnis führen. Nach Art. 12 DSG Pflicht, mit einer Ausnahme für kleinere Unternehmen unter 250 Beschäftigten.
7. Löschkonzept festlegen. Wann werden die Antworten gelöscht? Die verknüpfte Google-Tabelle ist eine zweite Kopie und muss separat gelöscht werden.

Eine allgemeine Vorlage für den Datenschutzhinweis in Umfragen und mehr Hintergrund findest du im Leitfaden zu Datenschutz bei Umfragen.

Drei Sonderfälle, die häufig vorkommen

In drei Konstellationen reicht die Checkliste aus dem vorigen Kapitel nicht, weil zusätzliche Anforderungen dazukommen, die nichts mit Google zu tun haben.

Gemeinsam ist ihnen, dass die Freiwilligkeit der Einwilligung angreifbar wird oder eine dritte Stelle mitentscheidet. Wer das übersieht, hat formal alles richtig gemacht und trotzdem ein Problem.

Umfragen in Schule und Unterricht

Für öffentliche Schulen gilt das Datenschutzgesetz des Kantons, nicht das DSG des Bundes, und zuständig ist die kantonale Datenschutzbehörde. Konkret wird es dort: Die Datenschutzbeauftragte des Kantons Zürich hat im Januar 2026 einen Leitfaden zu Google Workspace for Education veröffentlicht. Danach besteht über Switch ein Rahmenvertrag für universitäre Hochschulen, Pädagogische Hochschulen und Fachhochschulen, für Primar- und Sekundarschulen dagegen nicht. Verbindlich ist immer die Praxis deines Kantons, und bei Minderjährigen kommen zusätzliche Anforderungen an die Einwilligung dazu.

Mitarbeiterbefragungen im Unternehmen

Der Knackpunkt ist nicht der Serverstandort, sondern das Machtgefälle: Eine Einwilligung im Arbeitsverhältnis gilt nur eingeschränkt als freiwillig. Dazu kommt Art. 328b OR, der die Bearbeitung von Arbeitnehmerdaten auf das für das Arbeitsverhältnis Erforderliche beschränkt. Und praktisch gilt: Wenn die Belegschaft der Anonymität nicht traut, bekommst du keine ehrlichen Antworten. Mehr dazu im Leitfaden zur Mitarbeiterbefragung.

Erhebungen für wissenschaftliche Arbeiten

Bei Bachelor- und Masterarbeiten gelten meist die Vorgaben der Hochschule, und viele verlangen ausdrücklich eine Erhebung auf europäischen Servern. Dazu kommt: Im Methodenteil musst du beschreiben können, wie du Anonymität und Datenschutz sichergestellt hast. „Ich habe Google Forms genommen“ ist in der Verteidigung keine gute Antwort.

Die Alternative: gar nicht erst übertragen

Der einfachste Weg, all diese Fragen zu vermeiden, ist ein Anbieter, bei dem sie sich nicht stellen. Wenn die Daten Europa nie verlassen, braucht es weder eine Grundlage für die Bekanntgabe in die USA noch eine Diskussion über Datenregionen, und einen Vertrag bieten europäische Anbieter meist auch im kostenlosen Tarif an.

Mit empirio.ai, einem Online-Umfrage-Tool aus Deutschland, erstellst du Umfragen ähnlich einfach wie mit Google Forms, speicherst die Daten aber vollständig in der EU. Weitere Optionen mit ihren jeweiligen Stärken stehen im Vergleich der Google-Forms-Alternativen.

Das heisst nicht, dass Google Forms verboten wäre. Für eine anonyme Kurzbefragung ohne Personendaten, aus einem Workspace-Konto heraus und mit sauberem Datenschutzhinweis ist Google Forms ein vertretbares Werkzeug. Nur eben nicht für alles.

Fazit

Die Datenschutzfrage bei Google Forms entscheidet sich nicht am Serverstandort, sondern am Konto und am anwendbaren Recht: Das DSG verlangt zwar keinen schriftlichen Vertrag, ohne kostenpflichtiges Google Workspace hast du aber gar keinen. Für anonymes Kurzfeedback ist Google Forms vertretbar. Für Mitarbeiterbefragungen, Schulkontexte und Gesundheitsdaten raten wir zu einem Anbieter, bei dem die Daten Europa nicht verlassen.

Dieser Artikel gibt den Stand unserer Recherche vom August 2026 wieder und ersetzt keine Rechtsberatung. Bei kritischen Erhebungen sprich mit deinem Datenschutzberater oder einem Fachanwalt.

Wie es weitergeht

• Du baust die Umfrage gerade? Umfragen erstellen mit Google Forms
• Du willst wirklich anonym erheben? Anonyme Umfrage erstellen
• Du suchst den allgemeinen Rahmen? Datenschutz bei Umfragen
• Du überlegst zu wechseln? Google-Forms-Alternativen im Vergleich

Umfrage starten, ohne die Vertragsfrage?

Bei empirio.ai liegen die Daten in der EU und der Vertrag ist Teil der Nutzung, auch im kostenlosen Tarif. Kostenlos ausprobieren