Datenschutz bei Umfragen: DSGVO-Regeln, Muster & Tools

Würdest du einer wildfremden Person auf der Straße dein Alter, deinen Beruf und deinen Gesundheitszustand nennen? Vermutlich nur, wenn du genau wüsstest, wer fragt und was mit den Antworten passiert. Genau darum geht es im Datenschutz bei Umfragen.

Deine Umfrage ist dann DSGVO-konform, wenn du vor der ersten Frage eine Rechtsgrundlage nach Artikel 6 DSGVO hast, den Teilnehmenden sagst, wer du bist, was du erhebst und wie lange du es speicherst, nur die Daten abfragst, die du wirklich auswertest, und ein Tool nutzt, mit dem ein Auftragsverarbeitungsvertrag vorliegt. Wir haben die Vorgaben für diesen Beitrag an den Papieren der deutschen Aufsichtsbehörden geprüft.

📌 Das Wichtigste im Überblick

• Rein private Umfragen fallen gar nicht unter die DSGVO.
• Für Vereine gilt die Haushaltsausnahme dagegen nicht.
• Die Einwilligung braucht laut Aufsichtsbehörden keine Schriftform.
• Vorangekreuzte Kästchen sind keine wirksame Einwilligung.
• Der Datenschutzhinweis gehört vor alle anderen Fragen.

So sieht das aus, wenn es richtig gemacht ist: eine eigene Datenschutzseite mit Zustimmung per Häkchen, die du an den Anfang deiner Umfrage stellst.

Privat oder geschäftlich: Gilt die DSGVO für deine Umfrage?

Für rein private Umfragen gilt die DSGVO nicht. Artikel 2 Absatz 2 Buchstabe c nimmt die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten aus dem Anwendungsbereich heraus. Wer im Familienchat abstimmen lässt, wann das Grillfest stattfindet, braucht weder Einwilligung noch Datenschutzhinweis.

Diese Haushaltsausnahme ist allerdings enger, als der Name vermuten lässt. Erwägungsgrund 18 stellt klar, dass sie nur greift, wenn die Tätigkeit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit stattfindet. Und sie gilt ausschließlich für natürliche Personen. Ein Verein ist eine juristische Person und fällt damit heraus, auch wenn er rein ehrenamtlich arbeitet und niemand daran verdient.

Zwei Missverständnisse sind an dieser Stelle verbreitet. Erstens macht die Haushaltsausnahme eine Umfrage nicht rechtsfrei: Der Anbieter des Tools verarbeitet die Daten weiterhin und unterliegt der DSGVO, nur trifft dich als Privatperson keine eigene Pflicht. Zweitens rutschst du schneller aus der Ausnahme heraus, als du denkst. Sobald du den Link öffentlich teilst und beliebige Menschen mitmachen können, ist der Zweck nicht mehr ausschließlich persönlich.

Studierende sind ein Sonderfall, der oft unterschätzt wird. Eine Umfrage für die Bachelorarbeit ist keine private Tätigkeit, sondern Teil eines Studiums, und viele Hochschulen haben eigene Vorgaben dazu. Was das für die Planung bedeutet, steht bei der Umfrage für Bachelorarbeit und Masterarbeit.

Personenbezogene Daten in Umfragen: was wirklich dazugehört

Personenbezogene Daten sind nach Artikel 4 Nummer 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Entscheidend ist dabei nicht die einzelne Angabe, sondern die Frage, ob sich über sie eine Person erreichen lässt. Genau dieser Zusatz fehlt in den meisten Ratgebern, und deshalb entstehen dort lange Listen, die mehr verwirren als helfen.

Ein Beispiel macht den Unterschied deutlich. Das Alter allein ist in einer Befragung mit 400 Teilnehmenden keine personenbezogene Angabe. In einem Team mit sieben Leuten kann die Kombination aus Alter, Geschlecht und Abteilung dagegen ausreichen, um eine einzelne Person zu erkennen. Personenbezug ist also nichts, was einer Angabe anhaftet, sondern etwas, das aus dem Zusammenhang entsteht.

Die letzte Zeile unterschätzen viele. Ein offenes Feld mit der Bitte um Anmerkungen bringt regelmäßig Sätze wie „Das Problem liegt bei Frau Müller aus der Buchhaltung“. Damit hast du personenbezogene Daten einer Person erhoben, die an deiner Befragung gar nicht teilgenommen hat. Wer offene Fragen stellt, sollte im Feld darüber bitten, keine Namen zu nennen, und die Antworten vor der Auswertung durchsehen.

Besondere Kategorien: wann deine Frage unter Artikel 9 fällt

Besondere Kategorien personenbezogener Daten sind nach Artikel 9 DSGVO Angaben zu rassischer und ethnischer Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben sowie genetische und biometrische Daten. Für sie gilt ein grundsätzliches Verarbeitungsverbot mit Ausnahmen, und in einer Umfrage ist die ausdrückliche Einwilligung meist die einzige Ausnahme, die praktisch infrage kommt.

Die Datenschutzkonferenz, das Gremium der deutschen Aufsichtsbehörden, hat dazu ein Kurzpapier zu den besonderen Kategorien veröffentlicht (Stand: 27.03.2018). Zwei Punkte daraus ändern die Praxis spürbar.

Auch indirekte Angaben zählen

Nach Auffassung der Datenschutzkonferenz sind alle Angaben besonders schützenswert, die direkt oder indirekt Informationen zu den Kategorien aus Artikel 9 vermitteln. Als Beispiele nennt sie die Einnahme von Medikamenten, die körperliche oder geistige Verfassung und den regelmäßigen Besuch einer bestimmten Kirche. Wer in einer Mitarbeiterbefragung nach Fehltagen wegen Krankheit fragt, ist damit bereits im Bereich der Gesundheitsdaten.

Nicht jede Nähe reicht aber aus

Die Aufsichtsbehörden ziehen die Grenze ausdrücklich auch nach unten, und diese Gegenbeispiele sind für die Fragebogenpraxis nützlicher als jede Aufzählung: Bloßer Alkoholkonsum ist im Gegensatz zu einer Alkoholabhängigkeit kein Gesundheitsdatum, der rein geografische Geburtsort keine Angabe zur ethnischen Herkunft, und der einmalige Besuch eines Sakralbaus sagt nichts über eine religiöse Überzeugung aus.

Ein Detail wird dabei fast immer übersehen. Artikel 9 verdrängt Artikel 6 nicht, sondern tritt hinzu: Du brauchst beides, eine Rechtsgrundlage nach Artikel 6 und eine Ausnahme nach Artikel 9. Und wer besondere Kategorien verarbeitet, muss nach Artikel 30 Absatz 5 DSGVO in jedem Fall ein Verzeichnis seiner Verarbeitungstätigkeiten führen, auch als kleiner Verein.

Auf welcher Rechtsgrundlage darfst du überhaupt fragen?

Jede Verarbeitung personenbezogener Daten braucht eine der sechs Rechtsgrundlagen aus Artikel 6 Absatz 1 DSGVO. Die DSGVO folgt einem Verbot mit Erlaubnisvorbehalt: Was nicht ausdrücklich erlaubt ist, ist untersagt. Für Umfragen kommen praktisch drei Grundlagen infrage, und die Einwilligung ist entgegen der verbreiteten Annahme nicht immer die passende.

Vielmehr hängt die Wahl davon ab, wer fragt und in welchem Verhältnis er zu den Befragten steht. Ein Verein, der seine Mitglieder befragt, steht anders da als eine Hochschule, die eine Lehrveranstaltung evaluiert, und beide anders als ein Unternehmen, das seine Belegschaft befragt.

Ein Punkt daraus ist für Mitarbeiter- und Lehrveranstaltungsbefragungen entscheidend. Nach dem Kurzpapier zur Einwilligung der Datenschutzkonferenz (Stand: 22.02.2019) liefert eine Einwilligung regelmäßig keine gültige Rechtsgrundlage, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht. Eine Studentin, die vom eigenen Prüfer um Teilnahme gebeten wird, ist selten wirklich frei in ihrer Entscheidung.

Generell gilt: Wer in einem solchen Verhältnis befragt, sollte die Umfrage so bauen, dass gar keine personenbezogenen Daten anfallen. Dann stellt sich die Frage nach der Rechtsgrundlage nicht mehr. Maßgeblich ist im Zweifel die Einschätzung der für dich zuständigen Aufsichtsbehörde oder deiner Hochschule, dieser Beitrag ersetzt keine Rechtsberatung.

Einwilligungserklärung bei Umfragen: die Checkliste

Eine wirksame Einwilligung ist freiwillig, bezogen auf einen bestimmten Fall, informiert und unmissverständlich abgegeben. Sie steht am Anfang der Befragung, vor der ersten inhaltlichen Frage. Wie sie technisch eingeholt wird, lässt die DSGVO offen, und hier räumt die Datenschutzkonferenz mit einem hartnäckigen Irrtum auf.

Häufig liest man, eine Einwilligung müsse schriftlich vorliegen. Das stimmt so nicht. Nach dem Kurzpapier der Aufsichtsbehörden ist die Schriftform nicht erforderlich; die bestätigende Handlung kann auch elektronisch durch Anklicken eines Feldes oder mündlich erfolgen. Eine Ausnahme gilt im Beschäftigtenverhältnis, dort sieht § 26 Absatz 2 BDSG weiterhin die Schriftform vor, wenn nicht besondere Umstände eine andere Form angemessen machen.

Was in die Einwilligung gehört

Die folgenden Angaben verlangen die Aufsichtsbehörden mindestens. Sie passen zusammen in fünf Sätze und müssen in klarer, einfacher Sprache formuliert sein.

• Wer die Befragung verantwortet, mit Name und Kontakt.
• Zu welchem Zweck die Daten verarbeitet werden.
• Welche Art von Daten erhoben wird.
• Dass die Teilnahme freiwillig ist.
• Dass die Einwilligung jederzeit widerrufbar ist.
• Ob Daten in ein Land außerhalb der EU übermittelt werden.

Drei technische Vorgaben kommen hinzu, und an ihnen scheitern die meisten selbst gebauten Formulare. Ein bereits angekreuztes Kästchen ist nach Erwägungsgrund 32 DSGVO keine Einwilligung, ebenso wenig Stillschweigen oder Untätigkeit. Der Verantwortliche muss die Erteilung nach Artikel 7 Absatz 1 nachweisen können, bei elektronischer Einwilligung also protokollieren. Und der Widerruf muss so einfach sein wie die Erteilung.

Bei besonderen Kategorien nach Artikel 9 reicht eine stillschweigende oder schlüssige Handlung nicht aus. Dort verlangt Artikel 9 Absatz 2 Buchstabe a eine ausdrückliche Einwilligung, die sich genau auf diese Daten bezieht. Praktisch heißt das: eine eigene Zeile mit eigenem Häkchen, nicht ein Sammelhäkchen für alles.

Datenschutzhinweis für deine Umfrage: ein Muster zum Anpassen

Der Datenschutzhinweis erfüllt die Informationspflichten aus Artikel 13 DSGVO und ist etwas anderes als die Einwilligung. Die Einwilligung ist die Erlaubnis, der Hinweis ist die Information darüber, was passiert. Beides steht üblicherweise auf derselben ersten Seite der Umfrage, und beides darf kurz sein.

Das folgende Muster deckt die Pflichtangaben für eine einfache Befragung ohne besondere Datenkategorien ab. Die eckigen Klammern ersetzt du, den Rest kannst du übernehmen.

Verantwortlich für diese Befragung ist [Name, E-Mail-Adresse]. Erhoben werden [Angaben], um [Zweck] zu untersuchen. Rechtsgrundlage ist deine Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO. Die Teilnahme ist freiwillig, du kannst sie jederzeit abbrechen. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, eine Nachricht an [E-Mail-Adresse] genügt. Die Antworten werden bis [Zeitpunkt] gespeichert und danach gelöscht, eine Weitergabe an Dritte findet nicht statt. Du hast das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung sowie ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.

Zwei Stellen darin verdienen Aufmerksamkeit. Der Speicherzeitraum muss ein konkreter Zeitpunkt oder ein nachvollziehbares Kriterium sein, „solange erforderlich“ genügt nicht. Und wenn dein Umfrage-Tool Daten außerhalb der EU verarbeitet, gehört ein Satz dazu, in welches Land und auf welcher Grundlage.

💡 Tipp

Schreibe den Speicherzeitpunkt an das Ende deines Projekts und nicht an das Ende des Semesters. „Bis zum Abschluss des Prüfungsverfahrens, spätestens bis zum 31.03.2027“ ist eine Angabe, die du auch dann noch einhalten kannst, wenn sich die Abgabe verschiebt.

Anonym, pseudonym oder doch personenbezogen?

Eine anonyme Umfrage fällt gar nicht erst unter die DSGVO. Nach Erwägungsgrund 26 gelten die Grundsätze des Datenschutzes nicht für anonyme Informationen, also für Daten, die sich nicht auf eine identifizierte oder identifizierbare Person beziehen. Wer wirklich anonym erhebt, braucht weder Einwilligung noch Löschkonzept.

Der Haken liegt im Wort „wirklich“. Dieselbe Erwägung verlangt, dass man alle Mittel berücksichtigt, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um eine Person zu identifizieren. Eine Umfrage ohne Namensfeld, die im Hintergrund IP-Adressen protokolliert und nach Abteilung fragt, ist nach diesem Maßstab nicht anonym.

Dazwischen liegt die Pseudonymisierung, und sie wird oft mit Anonymität verwechselt. Bei einem Pseudonym bleibt eine Zuordnung möglich, sie erfordert nur zusätzliche Informationen, etwa eine Codeliste. Pseudonyme Daten sind deshalb weiterhin personenbezogen und unterliegen der DSGVO vollständig. Sie sind ein Schutzmaßnahme, kein Ausstieg aus dem Gesetz.

Für die meisten kleinen Befragungen ist echte Anonymität trotzdem erreichbar, wenn du drei Dinge zusammen machst: keine E-Mail-Adresse und kein Login erfassen, die IP-Speicherung im Tool abschalten und demografische Fragen so grob halten, dass keine Zelle mit weniger als fünf Personen entsteht. Wie das im Einzelnen aussieht, steht ausführlich bei der anonymen Umfrage, und welche demografischen Fragen du dabei streichen kannst, ist eine eigene Abwägung.

Anonym ist eine Umfrage erst dann, wenn auch du selbst die Zuordnung nicht mehr herstellen könntest.

Woran du ein DSGVO-konformes Umfrage-Tool erkennst

Ein DSGVO-konformes Umfrage-Tool erkennst du nicht am Werbeversprechen auf der Startseite, sondern an fünf prüfbaren Punkten. Sobald du ein Tool nutzt, verarbeitet der Anbieter die Daten deiner Teilnehmenden in deinem Auftrag. Damit bist du der Verantwortliche und haftest, auch wenn der Fehler beim Anbieter passiert.

Der wichtigste Punkt ist der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Er muss vorliegen, bevor die erste Antwort eingeht, und er ist schriftlich abzufassen, was auch elektronisch geschehen kann. Bei vielen Anbietern hängt er am Tarif: Google stellt ihn für Google Forms nur über ein bezahltes Workspace-Konto bereit, im privaten Konto gibt es ihn nicht.

Stand: August 2026, Anbieterangaben ändern sich.

Beim Serverstandort lohnt ein genauer Blick, weil die Angaben oft weniger versprechen, als sie zu versprechen scheinen. Manche Anbieter garantieren eine Datenregion nur für die gespeicherten Daten, nicht für die Verarbeitung und den Support-Zugriff. Bei Google Forms gilt die Datenregion beispielsweise nur für ruhende Daten und erst ab einem bestimmten Workspace-Tarif. Was das konkret bedeutet, steht im Beitrag dazu, wie du Google Forms datenschutzkonform nutzt.

Als Faustregel: Brauchst du besondere Kategorien nach Artikel 9 oder befragst du Beschäftigte, nimm ein Tool mit Verarbeitung in der EU und abschaltbarer IP-Speicherung. Geht es um eine Terminabfrage im Freundeskreis, reicht jedes Tool, solange du keine personenbezogenen Daten erhebst. Welche Anbieter welche dieser Punkte erfüllen, vergleicht der Überblick zu den Umfrage-Tools.

So erstellst du mit empirio.ai eine datenschutzkonforme Umfrage

Bei empirio.ai, einem Online-Umfrage-Tool aus Deutschland, ist die Datenschutzseite ein eigener Seitentyp und kein selbst gebauter Textblock. Du fügst sie im Editor hinzu und entscheidest selbst, an welcher Stelle der Umfrage sie steht. Die Zustimmung per Häkchen ist dabei schon eingebaut, genau die Seite aus dem Bild oben entsteht so.

Der Unterschied zur Bastellösung liegt darin, dass Text und Häkchen zusammengehören. Wer den Hinweis als normale Textfrage nachbaut, muss die Zustimmung separat abfragen und die Pflicht separat setzen, und genau dort entstehen die Lücken.

Vier Schritte, danach steht der Datenschutzteil deiner Umfrage.

1. Datenschutzseite hinzufügen. Im Editor als eigenen Seitentyp auswählen und an den Anfang setzen.
2. Text anpassen. Das Muster aus dem Kapitel oben eintragen und die eckigen Klammern ersetzen.
3. Häkchen beschriften. Der Text neben der Checkbox ist frei wählbar, etwa „Ich habe die Hinweise gelesen und willige ein“.
4. Auf Pflicht stellen. Ohne gesetztes Häkchen geht es dann nicht weiter, und die Zustimmung wird mit der Antwort gespeichert.

⚠️ Achtung

Die Position der Datenschutzseite ist frei wählbar, und genau darin liegt die Stolperfalle. Setze sie vor alle anderen Fragen. Eine Einwilligung, die erst nach der dritten Frage eingeholt wird, kommt zu spät, denn zu diesem Zeitpunkt hast du die Antworten bereits erhoben. Die Rechtsgrundlage muss vor der Verarbeitung vorliegen, nicht danach.

Bei mehrsprachigen Befragungen lässt sich auch die Beschriftung des Häkchens je Sprache hinterlegen. Eine Einwilligung, die jemand auf Deutsch bestätigt, obwohl er den Fragebogen auf Französisch ausfüllt, ist nicht informiert im Sinne der DSGVO. Wie eine mehrsprachige Umfrage aufgebaut wird, steht im eigenen Beitrag.

In der Kombination deckt das die fünf Kriterien aus dem Kapitel davor ab: Auftragsverarbeitungsvertrag, Verarbeitung in der EU, Datenschutzseite mit Zustimmung, abschaltbare Zusatzdaten und ein Export, mit dem du selbst löschen kannst. Was es nicht abnimmt, ist die Entscheidung davor: ob du überhaupt eine Rechtsgrundlage hast und ob deine Fragen unter Artikel 9 fallen. Diesen Teil kann kein Tool für dich prüfen.

Typische Fehler beim Datenschutz in Umfragen

Die folgenden vier Fehler tauchen in Befragungen von Vereinen, Studierenden und kleinen Teams besonders häufig auf. Alle vier lassen sich vor dem Versand beheben.

Gemeinsam ist ihnen, dass sie nicht aus Nachlässigkeit entstehen, sondern aus einer plausibel klingenden Annahme. Genau deshalb fallen sie beim Gegenlesen selten auf.

Anonymität wird versprochen, aber nicht hergestellt

„Die Befragung ist selbstverständlich anonym“ steht in der Einladung, während das Tool IP-Adressen protokolliert und nach Abteilung, Alter und Geschlecht fragt. Damit ist die Zusage falsch, und bei kleinen Gruppen ist sie auch praktisch widerlegbar. Prüfe die Einstellungen im Tool, bevor du das Wort anonym benutzt.

Mehr abgefragt als ausgewertet wird

Der Grundsatz der Datenminimierung aus Artikel 5 DSGVO verlangt, dass du dich auf das Notwendige beschränkst. Eine Frage nach dem genauen Geburtsdatum, obwohl du am Ende in Altersgruppen auswertest, ist genau das Gegenteil. Streiche jede Angabe, für die du keine geplante Auswertung nennen kannst.

Der Speicherzeitraum fehlt oder ist unbestimmt

„Die Daten werden gespeichert, solange es erforderlich ist“ erfüllt die Informationspflicht aus Artikel 13 nicht. Verlangt ist die Dauer der Speicherung oder, wenn das nicht möglich ist, das Kriterium für ihre Festlegung. Ein Datum ist die einfachste Lösung, und es zwingt dich, danach wirklich zu löschen.

Die Angst vor Bußgeldern lenkt vom Wesentlichen ab

Bei Verstoßen gegen die Bedingungen der Einwilligung kann die Aufsichtsbehörde nach Artikel 83 Absatz 5 DSGVO eine Geldbuße verhängen, keine Geldstrafe, denn es handelt sich um Ordnungswidrigkeiten und nicht um Strafrecht. Für eine studentische Befragung ist das ein sehr unwahrscheinliches Szenario. Wahrscheinlicher und ärgerlicher ist, dass deine Hochschule die Erhebung beanstandet oder Teilnehmende die Antwort verweigern.

Quellen und weiterführende Literatur

Die Rechtsaussagen in diesem Beitrag stützen sich auf den Verordnungstext und auf die abgestimmten Auslegungshilfen der deutschen Aufsichtsbehörden. Beide Kurzpapiere sind frei zugänglich und in wenigen Minuten gelesen.

• Datenschutzkonferenz (2019): Kurzpapier Nr. 20, Einwilligung nach der DS-GVO, Stand 22.02.2019.
• Datenschutzkonferenz (2018): Kurzpapier Nr. 17, Besondere Kategorien personenbezogener Daten, Stand 27.03.2018.
• Verordnung (EU) 2016/679, insbesondere die Artikel 4, 5, 6, 7, 9, 13 und 28 sowie die Erwägungsgründe 26 und 32.

Unser Literaturtipp für alle, die tiefer einsteigen wollen: Voigt, Paul und Axel von dem Bussche (2018). EU-Datenschutz-Grundverordnung (DSGVO): Praktikerhandbuch. Berlin: Springer. Für den Forschungskontext lohnt Watteler, Oliver und Thomas Ebel (2019): „Datenschutz im Forschungsmanagement“, in: Forschungsmanagement sozialwissenschaftlicher Umfragedaten, hrsg. von Uwe Jensen und anderen, Opladen und Berlin: Verlag Barbara Budrich.

Die Kurzpapiere der Datenschutzkonferenz stehen unter der Datenlizenz Deutschland, Namensnennung, Version 2.0. Beachte, dass das Kurzpapier zur Einwilligung derzeit überarbeitet wird und den Stand von Februar 2019 wiedergibt.

Fazit

Datenschutz bei Umfragen wirkt größer, als er ist. Wer die Rechtsgrundlage vorher klärt, nur das abfragt, was er auswertet, einen verständlichen Hinweis an den Anfang stellt und ein Tool mit Auftragsverarbeitungsvertrag nutzt, hat den weitaus größten Teil erledigt. Der sicherste Weg bleibt der, bei dem gar keine personenbezogenen Daten anfallen.

Wie es weitergeht

• Du willst die Umfrage insgesamt besser bauen? 8 Tipps für eine erfolgreiche Online-Umfrage
• Du brauchst echte Anonymität? Anonyme Umfrage erstellen
• Du schreibst gerade eine Abschlussarbeit? Umfrage für Bachelorarbeit und Masterarbeit

Umfrage starten, ohne beim Datenschutz nachbessern zu müssen?

empirio.ai, ein Online-Umfrage-Tool aus Deutschland, verarbeitet die Antworten in der EU und stellt den Auftragsverarbeitungsvertrag bereit.

Zum DSGVO-konformen Umfrage-Tool