Formulare für Mitarbeiterbefragungen und internes Feedback

Jede Mitarbeiterbefragung beruht auf einem Versprechen, das die Befragten nicht überprüfen können. In der Einladung steht, die Auswertung sei anonym. Die Mitarbeitenden wissen aber, dass HR die Plattform ausgewählt hat, dass die IT das Konto administriert und dass irgendwo eine Datenbank mit ihren Antworten liegt. Ob je jemand hineinschauen würde, ist nicht der Punkt: Die Zusicherung ist eine Richtlinie — und Richtlinien schreibt dieselbe Organisation, die in der Befragung kritisiert werden soll.

Schweizerform verändert, woraus dieses Versprechen besteht. Jede Antwort wird im Browser der Mitarbeitenden verschlüsselt, bevor sie das Gerät verlässt, und nur wer den Tresorschlüssel hat, kann sie entschlüsseln. Wir sind ein Schweizer Unternehmen, verschlüsselte Einsendungen werden bei Infomaniak in der Schweiz gespeichert, und wir können keine Einsendung lesen — nicht für den Support, nicht für Statistiken, auch nicht auf behördliche Anordnung, weil wir den Schlüssel nicht besitzen. Auch Ihre eigene IT kann sie nicht lesen, denn auf dem Server liegt nichts Lesbares. Befragungen laufen auf Deutsch, Französisch, Italienisch und Englisch — für eine Arbeitgeberin mit Standorten in mehreren Sprachregionen ist das kein Detail.

Warum die Mitarbeiterbefragung das schwierigste Anonymitätsproblem im Unternehmen ist

Bei fast allen anderen Formularen steht die zu schützende Person ausserhalb der Organisation, und die Organisation ist auf ihrer Seite. Die Mitarbeiterbefragung dreht das um. Die Person, deren Verhalten gemessen wird, sitzt innen — oft ist es die direkte Vorgesetzte der antwortenden Person, manchmal die Leitung des Bereichs, der die Befragung bestellt hat, gelegentlich diejenige Person, die das Werkzeug administriert. Das Bedrohungsmodell ist intern, und alle Antwortenden wissen das.

Die Skepsis ist rational, nicht paranoid

Schweizer Arbeitnehmende rechnen die Folgen genau durch. Art. 336a OR begrenzt die Entschädigung bei missbräuchlicher Kündigung auf sechs Monatslöhne, die zugesprochenen Beträge liegen in der Praxis deutlich darunter — und die Kündigung bleibt gültig. Eine Weiterbeschäftigung gibt es nicht. Wer befürchtet, eine offene Antwort könnte zurückverfolgt werden, wägt nicht einen Prozess gegen eine schlechte Bewertung ab, sondern eine Stelle gegen eine Umfragefrage. Diese Rechnung erklärt, warum die Rücklaufquote genau in den Teams einbricht, deren Stimme Sie am dringendsten brauchen — und warum die üblichen Gegenmittel (ein Satz in der Richtlinie, eine Zusicherung des Anbieters, ein HR-Briefing) nichts daran ändern.

Die Befragung ist nebenbei auch eine Gesundheitsbefragung

Der Job-Stress-Index — seit 2014 von Gesundheitsförderung Schweiz gemeinsam mit der Universität Bern und der ZHAW erhoben — verortete in der Erhebung 2022 28,2 % der Schweizer Erwerbstätigen im kritischen Bereich mit mehr Belastungen als Ressourcen und fand 30,3 % emotional erschöpft, erstmals in der Reihe über der 30-Prozent-Marke; den damit verbundenen Produktivitätsverlust bezifferte er auf rund 6,5 Milliarden Franken pro Jahr. Diese Zahlen sind der Grund, weshalb überhaupt Engagement-Befragungen durchgeführt werden. Sie sind zugleich der Grund, weshalb der entstehende Datensatz heikler ist, als die meisten HR-Teams annehmen: Eine Skala, die nach der Erschöpfung am Ende des Arbeitstages fragt, ist eine Frage nach der Gesundheit.

Was das Schweizer Recht von einer befragenden Arbeitgeberin verlangt

Art. 328b OR ist die Obergrenze — und die Einwilligung hebt sie nicht an

Die Arbeitgeberin darf Daten über Arbeitnehmende nur bearbeiten, soweit sie deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind. Das ist enger als die allgemeine Verhältnismässigkeit von Art. 6 nDSG und entscheidet, ob eine Frage überhaupt gestellt werden darf. Entscheidend, und in den meisten Fragebogen übersehen: Art. 362 OR macht Art. 328b zu zwingendem Recht, von dem nicht zuungunsten der Arbeitnehmenden abgewichen werden darf — nach Auffassung des EDÖB auch nicht mit deren Einwilligung. Sie können sich nicht in Fragen hineinwilligen lassen, die Sie nicht stellen dürfen.

Die Einwilligung von Mitarbeitenden ist von Haus aus schwach

Sowohl der EDÖB als auch der Europäische Datenschutzausschuss halten seit Jahren fest, dass eine Einwilligung im Arbeitsverhältnis wegen des Machtgefälles selten freiwillig erteilt wird. Das macht Befragungen nicht unzulässig, aber es macht die Einwilligung zum falschen tragenden Element. Die Teilnahme muss echt freiwillig und sichtbar freiwillig sein — keine Nachfasslisten, keine teambezogenen Teilnahmequoten, aus denen ersichtlich wird, wer nicht geantwortet hat, keine Erinnerung einer Führungskraft an eine einzelne Person. Die Legitimität trägt sich über Erforderlichkeit, Transparenz und Datenminimierung, nicht über ein Häkchen.

Art. 26 ArGV 3: bauen Sie nicht versehentlich ein Überwachungssystem

Art. 26 Abs. 1 der Verordnung 3 zum Arbeitsgesetz verbietet Überwachungs- und Kontrollsysteme, die das Verhalten der Arbeitnehmenden am Arbeitsplatz überwachen sollen — und davon kann auch vertraglich nicht abgewichen werden. Sind solche Systeme aus anderen Gründen erforderlich, müssen sie nach Abs. 2 so gestaltet sein, dass Gesundheit und Bewegungsfreiheit nicht beeinträchtigt werden; die SECO-Wegleitung zum Artikel erwartet einen anderen Zweck als die Verhaltensüberwachung, Erforderlichkeit und Verhältnismässigkeit sowie Information und Anhörung der Betroffenen vor der Inbetriebnahme. Eine wöchentliche Pulsbefragung mit personenbezogener Verfolgung, ein namentliches 360-Grad-Tool, das Einzelne laufend bewertet, oder ein Führungs-Dashboard, das bis auf eine einzelne antwortende Person filtert, laufen genau in diesen Artikel hinein. Ein anonymes Instrument tut das nicht.

Information und Mitsprache: Art. 48 ArG und das Mitwirkungsgesetz

Art. 48 des Arbeitsgesetzes gibt den Arbeitnehmenden oder ihrer Vertretung im Betrieb ein Recht auf Information und Anhörung in Fragen des Gesundheitsschutzes, bei der Organisation der Arbeitszeit und der Gestaltung der Arbeitszeitpläne sowie bei Massnahmen im Zusammenhang mit Nachtarbeit. Eine Befragung zu Belastung, Stress und Arbeitszeitmodellen liegt mitten in der ersten Kategorie — die Vertretung ist damit an der Gestaltung beteiligt und nicht bloss Publikum der Ergebnisse.

Das Mitwirkungsgesetz (SR 822.14) setzt den Rahmen. In Betrieben mit mindestens 50 Arbeitnehmenden kann eine oder können mehrere Vertretungen bestellt werden; auf Verlangen eines Fünftels der Belegschaft — in Betrieben mit mehr als 500 Beschäftigten von 100 Personen — ist in geheimer Abstimmung zu klären, ob eine Vertretung gewünscht wird. Art. 9 verpflichtet die Arbeitgeberin, die Vertretung mindestens einmal jährlich über die Auswirkungen des Geschäftsgangs auf Beschäftigung und Beschäftigte zu informieren; Art. 10 gewährt besondere Mitwirkungsrechte bei Arbeitssicherheit und Arbeitnehmerschutz, beim Betriebsübergang nach Art. 333/333a OR, bei Massenentlassungen nach Art. 335d–335g OR und beim Anschluss an eine Vorsorgeeinrichtung. Besteht keine Vertretung, stehen die Informations- und Mitspracherechte den Arbeitnehmenden direkt zu. Art. 14 verpflichtet die Vertretungen ihrerseits zur Verschwiegenheit über betriebliche Angelegenheiten.

Welche Befragungsdaten heikel sind, wer sie lesen muss und was die Aufbewahrung bestimmt

Was sich mit Zero-Knowledge-Erhebung ändert

Konkret: Der Fragebogen wird auf dem Gerät der Mitarbeitenden mit einem Schlüssel verschlüsselt, den wir nie erhalten. Auf unseren Servern landet Chiffrat. Öffnet das Auswertungsteam eine Antwort, geschieht die Entschlüsselung im Browser mit dem Tresorschlüssel. Es gibt keine lesbare Kopie auf dem Server, in einem Support-Werkzeug, in einem Backup oder in etwas, dessen Herausgabe ein Anbieter angeordnet bekommen könnte.

• Die Anonymitätszusage ist keine Richtlinie mehr, sondern eine Eigenschaft. «Beim Anbieter kann das niemand lesen» ergibt sich aus der Architektur und nicht aus einer Datenschutzerklärung.
• Ihre eigene IT fällt aus der Betrachtung. Der häufigste interne Einwand — die Person, die unser Umfragekonto administriert, sitzt zwei Tische von meiner Chefin entfernt — löst sich auf, weil es im Konto nichts Lesbares zu administrieren gibt.
• Die angemessene Sicherheit nach Art. 8 nDSG stammt aus der Architektur und nicht nur aus Ihrem Berechtigungskonzept.
• Die Informationspflicht nach Art. 19 nDSG wird einmal auf dem Formular erfüllt, in der Sprache der Mitarbeitenden, einschliesslich der Frage, was an wen berichtet wird.
• Es wird nichts erhoben, das Sie später erklären müssten. Auf der öffentlichen Formularseite läuft kein Analysedienst und kein Beacon; an einer Antwort hängen keine IP-Adresse, kein User-Agent, kein Referrer, keine Geolokalisierung und keine Cookie-Kennung.
• Zwang ändert nichts. Eine gerichtliche Anordnung, ein Editionsbegehren aus dem Ausland und eine entschlossene Administratorin treffen alle auf dasselbe Chiffrat.

Wie geben Sie Führungskräften Teamergebnisse ohne Einzelantworten?

An dieser Frage entscheidet sich, ob eine interne Befragung geglaubt wird, und sie hat zwei Hälften: eine rechnerische und eine berechtigungstechnische. Die meisten Organisationen lösen die zweite und ignorieren die erste.

Die rechnerische Hälfte: Gruppengrösse — und warum die Schwelle für Zellen gilt

Die Konvention, Ergebnisse erst ab fünf, teils ab zehn Antworten auszuweisen, ist eine Praxis der statistischen Geheimhaltung und keine Schweizer Rechtsschwelle: Kein Artikel des nDSG nennt eine Zahl. Wesentlich ist, dass die Schwelle für die ausgewiesene Zelle gilt und nicht für die Befragung. Eine Erhebung mit 400 Antworten ist nicht anonym, wenn der Bericht «Frauen im Finanzbereich» ausweist und es dort drei gibt. Jeder zusätzliche Filter vervielfacht die Zellen und verkleinert jede einzelne. Die Rechnung mit Beispielen steht in wie viele Antworten braucht eine anonyme Mitarbeiterbefragung.

Die Berechtigungshälfte: trennen Sie die Lesenden, nicht die Verschlüsselung

• Legen Sie die Befragung in einen eigenen Workspace. Nur dessen Mitglieder können die Einsendungen entschlüsseln. Soll allein die Arbeitnehmervertretung oder eine externe Auswertung lesen können, ergibt sich das aus der Mitgliedschaft — und nicht aus einem Berechtigungsschalter über einer Datenbank, an die jede Administration herankommt.
• Nutzen Sie die Viewer-Rolle für Mitlesende ohne Schreibrechte. Die Rollen sind Owner, Admin, Member und Viewer, wobei Viewer rein lesend ist — so kann eine Auftraggeberin oder ein Delegierter der Vertretung das Material verfolgen, ohne etwas ändern oder löschen zu können.
• Führungskräfte erhalten einen Bericht, keinen Posteingang. Die Teamauswertung schreibt ein Mensch nach der Entschlüsselung und oberhalb der Berichtsschwelle. Eine gefilterte Live-Sicht auf die Antworten lässt sich gar nicht übergeben — und diese Einschränkung leistet gute Arbeit.
• Schreiben Sie die Berichtsregel vor dem Start auf — Mindestzellengrösse, welche Auswertungen es gibt, wer was erhält und was mit zu kleinen Teams passiert. Legen Sie sie der Einladung bei. Eine nachträglich verkündete Regel wirkt wie eine nachträglich erfundene.
• Jeder Zugriff, Export und Löschvorgang wird protokolliert. Das Audit-Log ist anfügend und erfasst Anmeldungen, Exporte und Löschungen — «wer hat die Antworten geöffnet» ist damit eine beantwortbare Frage.

Am Freitext stirbt die Anonymität

Es sind nicht die demografischen Fragen, die Menschen identifizieren. Es ist das Kommentarfeld, und zwar mit grossem Abstand. Mitarbeitende schreiben «nach meiner Rückkehr aus dem Elternurlaub im März», «als einzige Teilzeitkraft im Team», «seit unser neuer Bereichsleiter da ist» — und jedes davon ist ein Identifikationsmerkmal, freiwillig geschrieben von genau der Person, die die Befragung schützen soll. Keine Plattform kann das verhindern, unsere eingeschlossen; die Verschlüsselung hindert den Anbieter und die Administration am Mitlesen, nicht die auswertende Person, die es soll.

1. Schreiben Sie es direkt über das Feld. Ein Satz: «Bitte schildern Sie die Situation, ohne sich selbst, Ihr Team oder einzelne Personen zu nennen — einen identifizierenden Kommentar können wir nachträglich nicht anonymisieren.» Diese Zeile wirkt stärker als jede technische Massnahme.
2. Geben Sie wörtliche Kommentare nie unterhalb der Berichtsschwelle weiter. Paraphrasieren und thematisch bündeln. Was sich nicht paraphrasieren lässt, ohne den Kern zu verlieren, lässt sich meist auch nicht teilen, ohne die Person zu verraten.
3. Entscheiden Sie vorher, was mit einem Kommentar geschieht, der ein ernstes Problem offenlegt — eine Belästigung, ein Sicherheitsrisiko, eine gesundheitliche Krise. Sie werden einen bekommen. Anonymität heisst, dass Sie nicht nachfragen können; genau deshalb muss neben der Befragung ein identifizierter Meldekanal bestehen und in der Einladung genannt werden.
4. Verzichten Sie auf automatische Stimmungsanalyse des Freitexts. Sie funktioniert hier ohnehin nicht — der Text ist verschlüsselt und erreicht kein Modell —, aber der tiefere Punkt ist: Sie macht aus einem Kommentar eine Kennzahl über eine Gruppe, und die Gruppen sind klein.

Eine Antwort pro Person, ohne zu wissen wer — und die Falle, vor der niemand warnt

Alle Befragenden wollen zwei Dinge gleichzeitig: eine Antwort pro Mitarbeitendem und keine Ahnung, von wem. Ehrlich beantwortet lässt sich das annähern, und jeder Mechanismus kostet ein messbares Stück Anonymität. Die Reihenfolge von günstig zu teuer: Gerätemarkierung, dann gehashte Netzwerkkennung, dann Einmal-Token, dann E-Mail-Adresse, dann Login — was jede Stufe tatsächlich bringt, steht in Spam, Bots und doppelte Einsendungen verhindern.

Das Muster, das für eine Belegschaft funktioniert, heisst «anonym, aber verifiziert»: Eine Stelle, die nicht auswertet — die Arbeitnehmervertretung, eine Treuhandstelle, die Lohnadministration —, gibt Einmal-Links oder Codes gegen die Personalliste aus und sieht die Antworten nie; das Auswertungsteam sieht die Antworten und nie die Liste. Zwei Rollen, zwei Wissensstände, keine Person mit beidem. Das ist mehr Aufwand als ein Serienbrief aus dem HR-System — und die einzige Version von «eine Stimme pro Person», die Mitarbeitende glauben können.

Was wir zählen können, ohne etwas zu lesen

Die Verschlüsselung nimmt uns die Antworten weg, nicht Ihnen den Überblick. Zum verschlüsselten Formular zählen wir weiterhin, wie viele Personen es geöffnet haben, wie viele geantwortet haben, wie lange die mittlere Bearbeitung dauerte und — pro Frage —, wie viele von denen, die eine Frage gesehen haben, sie beantwortet haben. Letzteres ist das Nützlichste an einem Pretest: Eine Frage mit tiefer Antwortquote ist eine Frage, die verweigert wird, und die Verweigerung sagt etwas über die Frage aus, nicht über die Person.

Die Gestaltungsregel lautet: Zähler sind flach und werden nie kreuztabelliert. Tag, Gerät, Kanal und Frage sind getrennte Zählungen, die sich nicht zu einer Person zusammenführen lassen — denn genau diese Kreuztabelle reidentifiziert bei kleinen Fallzahlen. Zähler laufen zudem zum Eingangszeitpunkt, werden nie dekrementiert, und es gibt keine Nacherfassung: Ein Produkt, das rückwirkend eine perfekte Historie erzeugt, hat pro Person etwas aufbewahrt, woraus es sie erzeugt. Die vollständige Darstellung steht in Formular-Statistiken ohne Tracking.

Erste Schritte für Mitarbeiterbefragungen

Eine Befragung von Anfang bis Ende

Häufige Einwände — und realistische Antworten

Wir haben schon eine Umfrageplattform, die hat einen Anonym-Modus.

Dann prüfen Sie zwei Dinge, statt dem Etikett zu vertrauen. Erstens, ob die anonyme Verarbeitung je Erhebungskanal eingeschaltet werden muss — bei den grossen Plattformen ist sie das, standardmässig aus, und eine über Weblink und E-Mail-Einladung verteilte Befragung braucht die Einstellung womöglich zweimal. Zweitens, ob die Einstellung die Kennung nur aus dem Ergebnisexport entfernt, während Netzwerkadressen in Backend-Protokollen über Monate bestehen bleiben. Beides macht einen Anbieter nicht unredlich. Es macht «anonym» zu einer Konfiguration, die Sie überprüfen müssen — und das ist etwas anderes als eine Garantie.

Unser Anbieter sichert vertraglich zu, nie unter fünf Antworten auszuweisen.

Das ist eine Zusage über den Bericht, nicht über die Daten. Die zugrunde liegenden Antworten liegen weiterhin lesbar auf den Systemen des Anbieters, sind für alle mit Produktionszugriff lesbar und reagieren weiterhin auf eine behördliche Anordnung. Eine Berichtsschwelle schützt vor der beiläufigen Reidentifikation durch Führungskräfte — das häufigste Szenario und durchaus wertvoll. Sie schützt nicht vor dem Szenario, das Mitarbeitende vor Augen haben, wenn sie am Kommentarfeld zögern.

Jemand meldet Belästigung im Freitext, und wir können nicht handeln.

Das wird passieren, und es ist das stärkste Argument für zwei Kanäle statt einen. Die Befragung misst; ein benannter, vertraulicher Meldekanal bearbeitet Fälle. Sagen Sie das in der Einladung, setzen Sie den Link neben das Kommentarfeld und akzeptieren Sie, dass eine wirklich anonyme Befragung kein Fallmanagement sein kann. Die Grenze beschreiben wir im Anwendungsfall HR und Hinweisgebersystem und im Vergleich der Hinweisgebersysteme, samt der Frage, wo eine spezialisierte Fallmanagement-Suite uns klar überlegen ist.

Wir brauchen Kreuzauswertungen nach Dienstjahren, Bereich und Geschlecht.

Nach der Entschlüsselung können Sie das in Ihrer eigenen Tabelle — und Sie sollten gründlich überlegen, ob Sie es tun. Serverseitig können wir es nicht: keine Abfragen über Chiffrat, kein gefiltertes Live-Dashboard, keine Gewichtung, keine Panelverwaltung, keine Verknüpfung derselben Person über mehrere Wellen. Für eine Studie mit Quoten und Gewichtung ist eine Spezialplattform die ehrliche Empfehlung. Für die Jahresbefragung in einer 200-Personen-Organisation ist die gewünschte Kreuzauswertung meist genau jene, die jemanden identifiziert hätte.

Unsere Arbeitnehmervertretung will die Ergebnisse halten, nicht HR.

Das ist die sauberste Konfiguration, die diese Architektur zulässt, und es lohnt sich, sie bewusst zu bauen: Die Vertretung besitzt den Workspace und den Tresorschlüssel, HR erhält den Bericht, und die technische Garantie entspricht der politischen Abmachung, statt ihr zu widersprechen. Art. 14 des Mitwirkungsgesetzes verpflichtet die Vertretung ohnehin zur Verschwiegenheit über betriebliche Angelegenheiten; die Verschlüsselung macht auch die Gegenrichtung wahr.

Unsere Mitarbeitenden glauben uns trotzdem nicht.

Einige nicht — und ehrlich ist dann, das Überprüfbare zu sagen statt zu beruhigen. In die Einladung gehören je ein Satz: Die Antworten werden in Ihrem Browser verschlüsselt und der Anbieter kann sie nicht lesen; die Umfrageseite lädt keinen Tracker und speichert keine IP-Adresse; wer entschlüsseln kann, ist namentlich hier aufgeführt; Ergebnisse unter N Antworten werden nicht ausgewiesen; die Rohdaten werden an diesem Datum gelöscht. Jeder dieser Punkte ist von einer skeptischen Person mit dem Netzwerk-Inspektor des Browsers nachprüfbar — mehr, als jeder Beteuerungsabsatz je geboten hat.

Wo Schweizerform nicht die richtige Antwort ist

• Keine serverseitige Auswertung der Antworten. Keine Kreuztabellen, keine gefilterten Live-Dashboards, keine Gewichtung, Quoten oder Panels, keine Stimmungsanalyse, keine Benchmark-Datenbank. Alles geschieht nach der Entschlüsselung vor einem Menschen.
• Keine Verknüpfung über die Zeit. Ohne Identifikator können wir dieselbe Person nicht über mehrere Wellen verbinden — und der Identifikator ist genau das, was Sie nicht haben wollen. Trends funktionieren aggregiert, nicht personenbezogen.
• Kein Fallmanagement. Kein anonymes Postfach, in das die meldende Person zurückkehren kann, keine Fristenverfolgung, kein Untersuchungsworkflow. Wer das braucht, kauft eine Hinweisgeberplattform und nutzt die Befragung zum Messen.
• Keine automatische Aufbewahrungsregel je Formular. Löschen ist eine Handlung, einzeln oder als Sammelaktion. Termin setzen.
• Schlüsselverlust ist unwiederbringlich. Zwei benannte Verwahrende und eine Offline-Kopie, vereinbart vor dem Start, sind Voraussetzung und nicht Fussnote.
• Kein Single Sign-on, das manche IT-Abteilungen vor jeder Freigabe verlangen. Fragen Sie uns nach dem Stand, statt es anzunehmen.

Fazit zu Formularen für Mitarbeiterbefragungen

Eine Mitarbeiterbefragung erhebt Gesundheitsdaten nach Art. 5 lit. c nDSG, steht unter der Obergrenze von Art. 328b OR, die auch eine Einwilligung nicht anhebt, berührt Anhörungspflichten nach Art. 48 ArG und dem Mitwirkungsgesetz und kann in das Überwachungsverbot von Art. 26 ArGV 3 hineinlaufen, wenn sie personenbezogen und häufig genug durchgeführt wird. All das ist handhabbar. Nicht mit Richtlinien handhabbar ist das, was ehrliche Antworten tatsächlich verhindert: das Wissen, dass jemand im Betrieb hineinschauen könnte.

Ende-zu-Ende-Verschlüsselung ist die einzige Antwort darauf, die nicht darauf angewiesen ist, geglaubt zu werden. Antworten werden im Browser verschlüsselt, verschlüsselte Einsendungen in der Schweiz gespeichert, der Kreis der Lesenden ist ein Workspace, den Sie kontrollieren, und was an Statistik bleibt, sind Zählungen statt Inhalte. Worauf Sie verzichten — Kreuztabellen, Gewichtung, Längsschnitt, Live-Dashboards —, sollen Sie lieber vor der Entscheidung wissen als nach der ersten vorsichtig beantworteten Befragung.