7 Warnsignale, dass Ihr Formular-Tool Ihre Daten falsch behandelt

Auf den ersten Blick sieht jedes moderne Formular-Tool weitgehend gleich aus: ein klarer Editor, eine freundliche Startseite, eine Sicherheitsseite, die Verschlüsselung und Verfügbarkeit erwähnt. Eine Schicht tiefer sind die Unterschiede deutlich — der Unterschied zwischen einem Tool, das die Daten Ihrer Befragten ernst nimmt, und einem, das lediglich eine Sicherheitsseite darüber geschrieben hat. Dies ist eine Checkliste mit sieben konkreten Warnsignalen. Wenn Ihr aktueller Anbieter drei oder mehr trifft, verdient das Vertrauen, das Sie ihm entgegenbringen, einen zweiten Blick.

Warnsignal 1 — "Verschlüsselung" bedeutet TLS und AES at rest, sonst nichts

Fast jedes Formular-Tool wirbt mit Verschlüsselung. Liest man genauer, ist die Aussage meist enger als sie klingt: TLS bei der Übertragung (HTTPS) und AES-256 at rest. Das ist heute Branchenstandard — kein Sicherheitsfeature, sondern Hosting-Hygiene. Es schützt die Daten auf der Leitung und vor Festplattendiebstahl, aber tut nichts gegen die häufigste Bedrohung: den Anbieter, dessen Personal, dessen Subunternehmer und jede Partei, die den Anbieter zwingen kann — alle können Einreichungen lesen, weil die Schlüssel beim Anbieter liegen.

Was Sie tatsächlich wollen — und bei Standard-SaaS-Formular-Tools fast nie bekommen — ist Ende-zu-Ende-/Zero-Knowledge-Verschlüsselung. Das heisst, die Daten werden im Browser des Befragten vor der Übertragung verschlüsselt, mit Schlüsseln, die Sie als Formularbesitzer halten. Der Anbieter speichert nur Chiffretext und kann Einreichungen physisch nicht lesen.

Warnsignal 2 — Verschlüsselung ist ein bezahltes Upgrade

Subtileres Signal: Einige Anbieter bieten etwas Verschlüsselungsähnliches an — "verschlüsselte Formulare", "HIPAA-konforme Verschlüsselung", "Feld-Verschlüsselung" — sperren es aber hinter Bezahltarifen. Das sagt etwas über die Haltung des Unternehmens: Verschlüsselung ist ein Umsatzhebel, nicht Standard. Kunden im günstigeren Tarif bezahlen das Formular-Feature mit ihrer eigenen Datensicherheit.

Echter Schutz sollte gratis sein, in jedem Tarif und auf jedem Formular. Wenn ein Anbieter extra für die wichtigste Sicherheitseigenschaft kassiert, ist die Frage nicht, ob das Feature funktioniert — sondern ob seine Prioritäten zu Ihren passen.

Warnsignal 3 — Öffentliche Formulare laden Drittanbieter-Tracker

Öffnen Sie eines Ihrer Live-Formulare in einem privaten Fenster mit DevTools. Schauen Sie ins Netzwerk-Panel. Gehen Anfragen an Google Analytics, Facebook, Hotjar, Segment, Mixpanel oder andere Analysedienste, die Sie nicht eingebunden haben? Wenn ja, sendet Ihr Formular-Anbieter Verhalten der Befragten — und manchmal Inhalte — an Dritte, bevor der Befragte überhaupt "Absenden" geklickt hat.

Der Anbieter wird das als "Produktanalytik" verteidigen. Für ein Marketing-Tool ok. Für ein Formular, in dem Befragte Anamnese, Finanzen oder Rechtsdaten eintragen, ist es ein leiser Datenabfluss, dem die Befragten nie zugestimmt haben und den sie nie sehen.

Warnsignal 4 — Es gibt keine ehrliche Antwort auf "Wo liegen die Daten?"

Viele Formular-Anbieter hosten auf AWS oder GCP und wählen die Region undurchsichtig. Die Marketing-Seite sagt "world-class security". Der AVV — falls auffindbar — sagt etwas Vageres: "branchenübliche Cloud-Anbieter". Für DSGVO- oder nDSG-Analysen reicht das nicht. Sie müssen genau wissen, in welcher Jurisdiktion Ihre Daten liegen — und welche Subunternehmer sie berühren.

Ein verantwortungsvoller Anbieter benennt seine Hosting-Region, seinen primären Infrastruktur-Anbieter, seine Subunternehmer und stellt explizit fest, was im Geltungsbereich ist. Ein ausweichender Anbieter umgeht das Thema marketingmässig.

Warnsignal 5 — Der AVV ist hinter einem Vertriebsgespräch versteckt

Unter DSGVO Art. 28 und entsprechenden Bestimmungen im nDSG brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) mit jedem Anbieter, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Ein verantwortungsvoller Anbieter veröffentlicht einen Standard-AVV prominent — häufig als Click-Through-PDF auf der Datenschutzseite oder als Annahme im Dashboard. Ein weniger verantwortungsvoller macht den AVV zum Vertriebsgespräch: "Kontaktieren Sie unser Enterprise-Team".

Warum zählt das? Weil eine kleine Zahnarztpraxis oder eine vierköpfige Kanzlei keinen AVV ohne Enterprise-Vertrieb bekommen sollte. Der Anbieter signalisiert sonst, dass die Compliance-Lage kleiner Kunden nicht seine Priorität ist — er verkauft Ihnen ein Formular, macht aber rechtliche Compliance zu Ihrem Problem.

Warnsignal 6 — Es gibt keine konfigurierbare Aufbewahrung

DSGVO Art. 5 Abs. 1 lit. e und das nDSG verlangen beide, dass personenbezogene Daten nicht länger als nötig aufbewahrt werden. Praktisch heisst das: Ihr Formular-Tool sollte erlauben, eine Aufbewahrungsfrist pro Formular (oder zumindest global) zu setzen und Einreichungen automatisch zu löschen, wenn sie abläuft.

Die meisten Formular-Tools voreingestellt: für immer. Keine Auto-Löschung, kein einfaches Massenlöschen, das Dashboard schiebt Sie zum Behalten. Wenn Ihr einziger Weg zur Aufbewahrungs-Compliance manuelle Bereinigung in einem wiederkehrenden Kalendereintrag ist, lässt das Tool Sie Arbeit machen, die es automatisieren sollte.

Warnsignal 7 — Datenschutz und Sicherheit sind reaktiv, nicht grundlegend

Lesen Sie den Blog des Anbieters. Sind Datenschutz und Sicherheit Teil des Routine-Schreibens — Erklärer zu Verschlüsselung, Löschung, Subunternehmer-Wechseln, Aufbewahrung — oder erscheinen sie erst nach einer Aufsichtsbeanstandung, einem Vorfall oder einer Veröffentlichung der Konkurrenz? Die Textur einer Sicherheitskultur zeigt sich daran, worüber ein Unternehmen schreibt, wenn keine akute Krise herrscht.

Reaktive Anbieter aktualisieren Datenschutzrichtlinien nach PR-Vorfällen. Grundlegende Anbieter strukturieren ihr Produkt um harte Garantien und erklären sie öffentlich. Erstere werden irgendwann von einem Vorfall eingeholt; Letztere waren bereits vorbereitet.

• Hat der Anbieter einen öffentlichen, datierten Sicherheits- oder Datenschutz-Blog?
• Werden Subunternehmer-Wechsel im Voraus angekündigt, mit einer Vorwarnzeit?
• Gibt es eine veröffentlichte Incident-Response-Richtlinie oder nur ein generisches "wir nehmen Sicherheit ernst"?
• Antwortet der Anbieter substanziell, wenn ein Mitbewerber oder Peer eine glaubwürdige Risikoanalyse publiziert — oder bleibt er still?

Schnellbewertung Ihres aktuellen Anbieters

Drucken Sie diese Liste und haken Sie die zutreffenden Warnsignale ab. Die Schwelle ist informell, aber als Leitfaden brauchbar:

• 0–1 Signale: Der Anbieter ist besser als die Mehrheit. Prüfen Sie, ob Ihr konkreter Anwendungsfall passt.
• 2–3 Signale: Es gibt echte Lücken. Bei sensiblen Formularen (Gesundheit, Recht, HR, Finanzen) Alternativen prüfen.
• 4+ Signale: Sie laufen auf einem Tool, dessen Haltung nicht zu Ihren Daten passt. Migrieren Sie zuerst die risikoreichsten Formulare.

Wie Schweizerform gegen diese Checkliste abschneidet

Da wir die Checkliste geschrieben haben, sollten Sie skeptisch sein, wie wir abschneiden. Hier ehrlich — auf unserer Sicherheitsseite und im AVV überprüfbar:

Was als Nächstes zu tun ist

1. Wenden Sie diese Checkliste heute auf Ihren aktuellen Formular-Anbieter an
2. Identifizieren Sie die drei Formulare, die die sensibelsten Daten erfassen
3. Wenn Ihr Anbieter drei oder mehr Signale trifft, planen Sie eine Migration dieser drei Formulare
4. Dokumentieren Sie die neue Auftragsverarbeitungs-Beziehung im Verarbeitungsverzeichnis
5. Jährlich wiederholen — Anbieterhaltungen ändern sich in beide Richtungen

Das Fazit

Formular-Tools sind leicht nach Funktionen zu bewerten und schwer nach Datenverarbeitung — bewusst. Die Marketingseiten sind so geschrieben, dass die wenigen Unterscheidungen, die wirklich zählen, undeutlich werden: Wer kann Einreichungen lesen? Wo liegen Daten? Wer berührt sie sonst? Wie lange bleiben sie? Die sieben Warnsignale oben sind die Abkürzung. Sie übersetzen Anbietersprache in ehrliche Antworten und erlauben eine begründete Wahl.

Schweizerform wurde so gebaut, dass es per Konstruktion auf jedem Signal gut abschneidet, nicht per Marketing. Ende-zu-Ende-Verschlüsselung in jedem Tarif. Schweizer Hosting. Öffentlicher AVV. Konfigurierbare Aufbewahrung mit kryptographischer Löschung. Keine Tracker auf öffentlichen Formularen. Wir werden weiter ehrlich über diese Kategorie schreiben — auch in Stücken wie diesem, die einladen, dieselbe Strenge auf uns anzuwenden.