Liebe Leserinnen und Leser,
die Einladung zur Mitarbeiterbefragung ist raus, „selbstverständlich anonym“ steht fett darüber – und jemand sitzt vor dem Fragebogen und zögert trotzdem. Verständlich. Gerade in einer Zeit, in der wir schnell das Gefühl haben können, gar nicht so genau zu wissen, was mit unseren Daten passiert. Und dann ist da noch die KI, die inzwischen auch Freitextantworten sortiert, zusammenfasst oder auswertet.
Und außerdem: Anonymität ist nur die halbe Miete. Hinter fast jeder Befragung steht heute eine ganze Verarbeitungskette: ein externes Tool, ein Anbieter, der die Antworten speichert, oft ein Server irgendwo – und Beschäftigte, die ein Recht darauf haben zu wissen, was mit ihren Angaben geschieht. Eine gute Befragung regelt diese Kette, bevor die erste Frage rausgeht.
Eine Befragung lebt von ehrlichen Antworten. Ehrlich antwortet aber nur, wer weiß, wer die Daten bekommt, wo sie landen, was damit gemacht wird – und wer sich sicher ist, dass seine Antworten wirklich anonym bleiben.
Auf welcher Grundlage darf überhaupt befragt werden?
Ist eine Befragung tatsächlich anonym, sind die Antworten keine personenbezogenen Daten mehr – die Datenschutzgrundverordnung (DSGVO) gilt für diese Antworten dann nicht. Ganz so einfach ist es in der Praxis aber oft nicht: Individuelle Einladungslinks, Logdaten oder sehr kleine Auswertungsgruppen können wieder einen Personenbezug herstellen. Sobald personenbezogene Beschäftigtendaten verarbeitet werden, braucht es eine passende Rechtsgrundlage. Je nach Zweck und Ausgestaltung kommen insbesondere natürlich Rechtsgrundlagen im Rahmen des Beschäftigungsverhältnisses (§ 26 BDSG), Einwilligung (Art. 6 Abs. 1 DSGVO) oder eine Kollektivvereinbarung in Betracht; bei einer Einwilligung muss gerade im Beschäftigungsverhältnis die Freiwilligkeit wirklich gewährleistet sein. Das ist nicht ganz einfach darstellbar, da in der Regel davon ausgegangen wird, dass zwischen Arbeitgeber und Arbeitnehmer ein „Abhängigkeitsverhältnis“ besteht.
Wer verarbeitet eigentlich mit? Der Dienstleister!
Die wenigsten Befragungen laufen auf eigenen Systemen. Meist kommt ein spezialisiertes Tool zum Einsatz – und damit ein externer Dienstleister, der die Antworten für Sie speichert und auswertet.
In der Regel liegt hier eine Auftragsverarbeitung vor – vorausgesetzt, der Dienstleister verarbeitet die Daten ausschließlich in Ihrem Auftrag und nach Ihren Weisungen. Verantwortlich bleiben Sie, der Anbieter ist Ihr Auftragsverarbeiter (kurz AV). Damit Rollen und Pflichten – etwa zu Datensicherheit, Löschung und Unterauftragnehmern – verbindlich geregelt sind, braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Verfolgt der Anbieter dagegen eigene Zwecke, muss die Rollenverteilung gesondert geprüft werden.
Zwei Punkte, die gern untergehen: Der Anbieter darf die Antworten bei einer Auftragsverarbeitung nur weisungsgebunden für Ihre Befragung verarbeiten – nicht plötzlich für eigene Zwecke und insbesondere nicht zum Training eigener KI-Modelle. Und ein privat angelegter Account bei einem beliebigen Umfragedienst ist kein tragfähiges Fundament für eine Personalbefragung. Wer es ernst meint, wählt bewusst aus.
Wohin fließen die Daten? Drittlandtransfer!
Viele verbreitete Umfrage-Tools werden von US-Anbietern betrieben oder dort gehostet. Sobald personenbezogene Daten – und sei es über Metadaten – in die USA oder ein anderes Drittland gelangen, muss zusätzlich geprüft werden, auf welcher Grundlage die Übermittlung nach Kapitel V DSGVO zulässig ist.
Für Übermittlungen in die USA kann derzeit der EU-US-Datenschutzrahmen (Data Privacy Framework) eine Grundlage bieten – allerdings nur, wenn der konkrete US-Empfänger entsprechend zertifiziert ist. Ist er das nicht, lässt sich die Übermittlung in der Regel auf Standardvertragsklauseln stützen, ergänzt um eine Abschätzung, ob im Zielland ein vergleichbares Schutzniveau tatsächlich gewährleistet ist. Am einfachsten – und oft am vertrauensförderndsten – ist ohnehin eine Lösung, die vollständig in der EU verarbeitet. Bei einer Befragung, in der Beschäftigte offen über Belastung, Konflikte oder Führung sprechen sollen, ist das meist die bessere Wahl.
Was die Beschäftigten vorher wissen müssen: Information!
Transparenz ist keine Kür, sondern Pflicht – und zugleich der beste Weg, Teilnahmebereitschaft zu schaffen. Vor dem Start sollten die Beschäftigten klar und verständlich erfahren:
- Wozu wird befragt,
- auf welcher Grundlage,
- wer bekommt die Daten intern und extern,
- findet eine Übermittlung in ein Drittland statt,
- wie lange werden die Antworten gespeichert und
- welche Rechte haben die Betroffenen?
Ist die Teilnahme freiwillig, sollte auch das ausdrücklich gesagt werden – einschließlich des Hinweises, dass eine Nichtteilnahme keine Nachteile hat.
Genau diese Offenheit über Anbieter, Speicherort und Umgang mit den Ergebnissen ist es, die aus „anonym“ ein glaubwürdiges Versprechen macht.
Und ja: die Anonymität!
Sie bleibt wichtig – nur eben als ein Baustein unter mehreren. Entscheidend ist der Unterschied zwischen echter und scheinbarer Anonymität. Echt anonym ist eine Befragung erst, wenn sich aus den Antworten niemand zurückverfolgen lässt – auch nicht über Umwege wie die Kombination aus Abteilung, Alter und Betriebszugehörigkeit, die in einem kleinen Team nur auf eine Person passt.
Zwei Stellschrauben helfen: sparsame Demografiefragen (nur abfragen, was die Auswertung wirklich braucht, und bei kleinen Einheiten gröber gruppieren) und eine Mindestgruppengröße bei der Auswertung (Ergebnisse erst ab einer bestimmten Zahl von Antworten je Gruppe ausweisen). Und der Grundsatz dahinter: Die Ergebnisse dienen dem vereinbarten Zweck – dem Stimmungsbild, der Verbesserung – nie der Bewertung einzelner Personen.
Besondere Aufmerksamkeit verdienen Freitextfelder. Hier „verraten“ sich Menschen am ehesten selbst („als einzige Teilzeitkraft im Vertrieb …“), und hier setzt auch die eingangs erwähnte KI-Auswertung an: Wer Freitextantworten automatisiert sortieren oder zusammenfassen lässt, verarbeitet ihren Inhalt – mitsamt allem, was an Personenbezug darin steckt. Freitext also sparsam einsetzen, in der Auswertung besonders vorsichtig behandeln und die KI-Funktion nur mit geprüftem Anbieter und klarer Rechtsgrundlage nutzen.
Sonderfall: sensible Fragen!
Fragen nach Arbeitsbelastung oder Stress sind nicht automatisch Gesundheitsdaten. Werden jedoch konkrete Angaben zum körperlichen oder psychischen Gesundheitszustand abgefragt, können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO betroffen sein – mit entsprechend höherem Schutzbedarf. Das kann zum Beispiel bei Befragungen im Umfeld einer Gefährdungsbeurteilung psychischer Belastung nach § 5 ArbSchG relevant werden. Hier heißt es: besonders sparsam fragen, Anonymität sorgfältig absichern und die Rechtsgrundlage genau prüfen.
Und der Betriebsrat?
Auch das sollte früh geklärt werden. Je nach Gestaltung der Befragung können Beteiligungs- oder Mitbestimmungsrechte des Betriebsrats betroffen sein. Das gilt etwa bei Personalfragebögen (§ 94 BetrVG) und kann zusätzlich relevant werden, wenn ein technisches System eingesetzt wird, das zur Überwachung von Verhalten oder Leistung geeignet ist (§ 87 Abs. 1 Nr. 6 BetrVG). Unser Praxistipp: lieber vor dem Start gemeinsam klären als nach dem Versand der ersten Einladung.
Nach der Befragung: die Ergebnisse zeigen!
Ein Punkt, der wenig mit Datenschutz zu tun hat, der aber über den Erfolg der nächsten Befragung entscheidet: Was passiert eigentlich mit den Antworten? Wer eine Befragung startet und danach schweigt, erntet beim nächsten Mal leere Fragebögen. Melden Sie die zentralen Ergebnisse an die Belegschaft zurück – auch die unbequemen – und machen Sie sichtbar, welche Maßnahmen daraus folgen.
Kurz gesagt
Datenschutz ist bei Mitarbeiterbefragungen nicht der Spielverderber, sondern eine Bedingung fürs Gelingen. Wer Zweck und Rechtsgrundlage klärt, den Dienstleister sauber einbindet, Datenflüsse ins Ausland im Griff hat, offen informiert, echte Anonymität absichert und die Beschäftigtenvertretung dort einbezieht, wo es erforderlich ist, schafft vor allem eines: Vertrauen. Und genau das braucht es für ehrliche Antworten.
Denn eine Befragung, die „anonym“ verspricht und es nicht wirklich ist, ist am Ende nur eins: ein Kummerkasten mit Sichtfenster.
Die unten angehängte Checkliste fasst alle Schritte zum Abhaken zusammen. Geben Sie diesen Beitrag gerne innerhalb Ihres Unternehmens weiter.
Herzlichen Dank fürs Lesen
Ihr Team von Dapro Serv
Sie planen eine Mitarbeiterbefragung und möchten sie von Anfang an datenschutzkonform aufsetzen? Wir unterstützen Sie gern – von der Anbieterprüfung über den Auftragsverarbeitungsvertrag bis zum Auswertungskonzept. Sprechen Sie uns an. Datenschutz kann einfach sein.
Bitte beachten Sie, dass dieser Newsletter der Information dient und keine Rechtsberatung darstellt!
Datenschutz bei Mitarbeiterbefragungen – Checkliste
Zum Abhaken bei der Vorbereitung, Durchführung und Auswertung einer Befragung.
Vorbereitung
☐ Zweck ist klar definiert: Was soll die Befragung herausfinden – und welche Fragen sind dafür wirklich nötig?
☐ Ist die Befragung echt anonym oder bleibt ein Personenbezug (z. B. über Einladungslinks, Logdaten, Kleinstgruppen)?
☐ Bei Personenbezug: Rechtsgrundlage bestimmt (§ 26 BDSG, Art. 6 DSGVO oder Kollektivvereinbarung); bei Einwilligung ist die Freiwilligkeit gewährleistet.
☐ Betriebsrat – sofern vorhanden und Beteiligung betroffen (§ 94, § 87 Abs. 1 Nr. 6 BetrVG) – frühzeitig eingebunden.
Dienstleister und AV-Vertrag
☐ Anbieter bewusst ausgewählt – kein privat angelegter Umfrage-Account.
☐ Rolle geklärt: liegt eine Auftragsverarbeitung vor oder verfolgt der Anbieter eigene Zwecke?
☐ Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO liegt vor.
☐ Verarbeitung nur weisungsgebunden – keine Eigennutzung, kein Training eigener KI-Modelle mit den Antworten.
☐ Unterauftragnehmer und Speicherort des Anbieters sind bekannt.
Drittlandtransfer
☐ Geklärt, ob Daten (auch Metadaten) in die USA oder ein anderes Drittland gelangen.
☐ Falls ja: US-Empfänger nach Data Privacy Framework zertifiziert – oder Standardvertragsklauseln samt Prüfung des Schutzniveaus vereinbart.
☐ Im Zweifel eine Lösung mit vollständiger Verarbeitung in der EU gewählt.
Information der Betroffenen
☐ Vor dem Start informiert über: Zweck, Rechtsgrundlage, Empfänger (auch den Dienstleister), Drittlandtransfer, Speicherdauer und Betroffenenrechte.
☐ Freiwilligkeit der Teilnahme und Folgenlosigkeit einer Nichtteilnahme ausdrücklich benannt.
Anonymität und Auswertung
☐ Demografiefragen sparsam gehalten; bei kleinen Einheiten gröber gruppiert.
☐ Mindestgruppengröße für die Auswertung festgelegt – Kleinstgruppen werden zusammengefasst.
☐ Freitextfelder sparsam eingesetzt und in der Auswertung besonders vorsichtig behandelt (Selbstidentifikation, KI-Auswertung).
☐ Ergebnisse dienen nur dem vereinbarten Zweck, nicht der Bewertung einzelner Personen.
☐ Bei sensiblen Fragen (konkrete Gesundheitsangaben): erhöhter Schutz nach Art. 9 DSGVO beachtet.
Nach der Befragung
☐ Zentrale Ergebnisse an die Belegschaft zurückgemeldet und Maßnahmen sichtbar gemacht.
☐ Löschung von Rohdaten nach festgelegter Frist geregelt.
Diese Checkliste dient der Information und ersetzt keine Rechtsberatung. Fragen? Sprechen Sie uns gerne an!
