Anonyme Mitarbeiterbefragung: Ab wie vielen Antworten hält die Anonymität?

Jedem HR-Team, das je eine Mitarbeitendenbefragung gestartet hat, wurde dieselbe Frage von einer skeptischen Person gestellt: „Woher wissen Sie, dass das wirklich anonym ist?“ Die üblichen Antworten — „das Tool ist anonym“, „wir schauen keine Einzelantworten an“, „die Auswertung erfolgt aggregiert“ — sind genau jene, die einer Prüfung nicht standhalten, weil keine davon eine Eigenschaft der Daten beschreibt. Die Frage hat eine echte Antwort, und sie ist zuerst Rechnen und erst danach Recht.

Dieser Beitrag liefert die konkreten Zahlen, die Begründung dahinter und die arbeitsrechtliche Ebene darüber — Art. 328b OR, der einschränkt, was Arbeitgebende überhaupt bearbeiten dürfen, unabhängig davon, womit die Mitarbeitenden einverstanden sind.

Lässt sich eine Zufriedenheitsbefragung überhaupt anonym durchführen?

Ja — und wer es wirklich schafft, gewinnt mehr, als die meisten annehmen. Das Datenschutzrecht regelt Personendaten, also Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Echt anonymisierte Daten sind keine Personendaten mehr, und das nDSG findet auf sie keine Anwendung: kein Eintrag im Bearbeitungsverzeichnis für diese Antworten, keine Auskunftsbegehren, keine Aufbewahrungspflicht, keine Meldepflicht. Anonymität ist bei Befragungen nicht bloss eine ethische Feinheit, sondern der einzige Weg, die Bearbeitung ganz aus dem Anwendungsbereich zu nehmen.

Der Haken: „anonym“ ist eine technische Eigenschaft, kein Etikett, das man aufklebt. Eine Befragung ist anonym, wenn niemand — auch Sie nicht, auch die Plattform nicht, auch nicht eine entschlossene Analystin mit dem HR-System im zweiten Fenster — eine Antwort einer Person zuordnen kann. Die meisten als anonym vermarkteten Befragungen sind tatsächlich pseudonym: Der direkte Identifikator fehlt, aber es bleiben genügend Merkmale zur Re-Identifikation. Diese Unterscheidung und ihre rechtliche Bedeutung behandelt unser Beitrag zu anonymen und pseudonymen Formularen.

Ab wie vielen Antworten bleibt die Anonymität gewahrt?

Die Zahl, die alle nennen: fünf

Eine Mindestgruppengrösse von fünf ist in der Auswertung von Mitarbeitendenbefragungen die verbreitetste Konvention, und sie stammt aus der statistischen Geheimhaltung — jener Disziplin, mit der statistische Ämter Tabellen über kleine Bevölkerungsgruppen veröffentlichen. Die Regel ist einfach: Beruht eine ausgewiesene Zahl auf weniger als fünf Datensätzen, wird sie unterdrückt. Viele Organisationen heben die Grenze auf zehn an, sobald etwas einer namentlich bekannten Führungsperson zugeordnet wird — mit der Begründung, dass eine Führungsperson beim Lesen der Ergebnisse des eigenen Teams über mehr Kontextwissen verfügt als eine anonyme Öffentlichkeit und die Gruppe deshalb grösser sein muss.

Die Schwelle gilt für Zellen, nicht für die Befragung

An diesem Fehler scheitern die meisten gut gemeinten Befragungsprogramme. „Wir hatten 340 Antworten, also ist es anonym“ beschreibt die Befragung. Die Re-Identifikation passiert in den Zellen — in jeder Zahl, die aus einer Filterkombination entsteht. Die formale Fassung dieses Gedankens ist die k-Anonymität, Ende der 1990er-Jahre von Samarati und Sweeney eingeführt: Ein Datensatz ist k-anonym, wenn sich jeder Eintrag hinsichtlich der identifizierenden Merkmale von mindestens k−1 anderen nicht unterscheiden lässt. Diese Merkmale — Abteilung, Dienstjahresband, Altersband, Geschlecht, Standort, Hierarchiestufe — heissen Quasi-Identifikatoren, und keines davon identifiziert für sich allein jemanden.

Kombiniert brechen sie schnell zusammen. Nehmen Sie ein Unternehmen mit 340 Personen und ein Dashboard mit vier Filtern. Abteilung (12 Ausprägungen), Dienstjahresband (4), Altersband (4) und Geschlecht (3) ergeben 576 mögliche Kombinationen für 340 Personen. Die durchschnittliche Zelle enthält weniger als eine Person. Dass 340 Personen geantwortet haben, spielt keine Rolle — sobald jemand auf „Finanzen, 0–2 Jahre, 30–39, weiblich“ filtert, berichtet das Werkzeug über eine Gruppe von einer Person und zeichnet bereitwillig deren Zufriedenheitswert als Diagramm.

Die vier Lecks „anonymer“ Befragungen

1. Freitext — mit Abstand das grösste

Schwellenregeln wirken auf Zahlen. Ein Kommentarfeld wirkt auf Sprache, und Sprache identifiziert Personen: der Vorfall, den nur drei Leute miterlebt haben; das Projekt, an dem nur eine Person arbeitet; die Formulierung, die Kolleginnen sofort erkennen; die Zweitsprachenmuster der einzigen nicht muttersprachlichen Person im Team. Wer offene Kommentare einer Abteilung liest, die er kennt, kann meist mehrere Verfassende benennen — und liegt meistens richtig. Behandeln Sie Freitext als eigene, höher eingestufte Datenkategorie: nie unterhalb der Auswertungsgrenze aufgeschlüsselt zeigen, eine Zusammenfassung oder Schwärzung vor der Weitergabe an Führungspersonen erwägen und den Antwortenden klar sagen, dass konkrete Details sie identifizierbar machen.

2. Demografische Fragen, die Sie nicht gebraucht hätten

Jedes demografische Feld ist ein Quasi-Identifikator, und jedes vervielfacht die Zahl der Zellen. Der ehrliche Test lautet, ob Sie aufgrund der Aufschlüsselung tatsächlich handeln werden. Wenn niemand wegen der Altersband-Auswertung etwas ändert, ist die Altersfrage reines Re-Identifikationsrisiko ohne analytischen Ertrag. Zwei demografische Fragen zu streichen bringt der echten Anonymität in der Regel mehr als jede Plattformkonfiguration.

3. Metadaten, an deren Erhebung sich niemand erinnert

Die Befragung kann anonym sein, während es der Versandweg nicht ist. Personalisierte Einladungslinks, an eine E-Mail-Liste gebundene Einmal-Token, IP-Adressen, Gerätemerkmale, Eingangszeitpunkte und Bearbeitungsdauern liegen alle ausserhalb des Fragebogens — und alle können eine Antwort wieder mit einer Person verknüpfen. In einem kleinen Team mit unterschiedlichen Arbeitszeiten genügt ein Zeitstempel für sich allein. Fragen Sie Ihre Plattform ausdrücklich, was sie neben einer Einsendung speichert, und holen Sie die Antwort schriftlich ein, bevor Sie jemandem Anonymität versprechen.

4. Das Problem kleiner Grundgesamtheiten

Manche Gruppen lassen sich schlicht nicht anonym befragen, und so zu tun als ob, ist schlimmer, als es zuzugeben. Ein vierköpfiges Führungsteam, die zwei Personen einer Spezialfunktion, die einzige Angestellte in einem Kanton: Keine Schwelle, keine Plattform und kein Versprechen macht deren Antworten unzuordenbar. Richtig ist, es zu sagen, sie einer grösseren Auswertungseinheit zuzuschlagen — oder dieses Gespräch persönlich zu führen.

Können Führungspersonen Einzelantworten sehen?

In den meisten Befragungsplattformen lautet die technische Antwort: irgendjemand kann es — und diese Person berichtet meist an dieselbe Geschäftsleitung, die die Befragung beurteilt. Zugriff auf Rohantworten haben typischerweise die Kontoadministration, wer auch immer exportiert, und das Personal des Anbieters. „Führungspersonen sehen keine Einzelantworten“ ist deshalb eine Aussage über Konfiguration und Weisungslage, nicht über technische Möglichkeiten — es sei denn, die Plattform ist so gebaut, dass gar kein lesbarer Einzeldatensatz existiert.

Mitarbeitende ahnen das, weshalb die Beteiligung einbricht, sobald Ergebnisse einmal zu spezifisch wirken. Wenn die Befragung geglaubt werden soll, versprechen Sie präzise: Nennen Sie, wer das Werkzeug administriert, wer Rohdaten exportieren kann, wie hoch die Auswertungsgrenze als Zahl ist und was mit Freitext geschieht. Eine genaue, leicht unvorteilhafte Beschreibung Ihres Setups schafft mehr Vertrauen als ein selbstbewusstes „völlig anonym“, das eine skeptische Person in einer Sitzung widerlegt.

Was das Schweizer Recht von befragenden Arbeitgebenden verlangt

Art. 328b OR begrenzt, was Sie überhaupt bearbeiten dürfen

Art. 328b OR erlaubt Arbeitgebenden, Daten über Arbeitnehmende nur zu bearbeiten, soweit sie deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind. Der EDÖB hält ausdrücklich fest, dass von dieser Bestimmung nicht zuungunsten der Arbeitnehmenden abgewichen werden darf — auch nicht mit deren Einwilligung. Dieser eine Satz erledigt die verbreitetste Abkürzung im Befragungsdesign: Einen zu weit gefassten Fragebogen heilt kein Einwilligungshäkchen.

Die Einwilligung von Mitarbeitenden ist von Haus aus schwach

Die Erläuterungen des EDÖB zur Datenbearbeitung durch Arbeitgebende halten fest, dass Arbeitnehmende angesichts des Subordinationsverhältnisses nur selten in der Lage sind, eine Einwilligung frei zu erteilen, zu verweigern oder zu widerrufen. Behandeln Sie die Einwilligung von Mitarbeitenden deshalb als flankierende Formalität statt als Ihre Rechtfertigung und stützen Sie sich auf die Erforderlichkeit für das Arbeitsverhältnis samt Verhältnismässigkeit nach Art. 6 nDSG — was nichts anderes heisst als: Fragen Sie nur, was Sie auch umsetzen werden.

Fragen zum Befinden können Gesundheitsdaten sein

Das wird regelmässig übersehen. Fragen zu Stress, Erschöpfung, Burnout-Risiko, Schlaf, psychischem Wohlbefinden oder belastungsbedingter Krankheit erzeugen Daten über die Gesundheit — besonders schützenswerte Personendaten nach Art. 5 lit. c nDSG. Damit steigen die Anforderungen: ausdrückliche Einwilligung, wo die Einwilligung die Grundlage ist (Art. 6 Abs. 7 lit. a), und eine Datenschutz-Folgenabschätzung nach Art. 22, wenn solche Daten in grossem Umfang bearbeitet werden. Eine Wohlbefindensbefragung bei 2000 Mitarbeitenden liegt mitten darin. Echte Anonymisierung ist der sauberste Ausweg, weil anonyme Daten gar keine Personendaten sind — genau deshalb lohnt sich die Schwellendisziplin dieses Beitrags. Die umliegenden Pflichten führt unsere nDSG-Checkliste für Formulare und Umfragen auf.

Arbeitnehmervertretung und Mitwirkung

In Betrieben mit mindestens 50 Arbeitnehmenden können diese nach dem Mitwirkungsgesetz die Bestellung einer Arbeitnehmervertretung verlangen; wo eine besteht, hat sie Informations- und Mitspracherechte in Angelegenheiten, die Arbeitnehmende betreffen — Befragungsprogramme und jede Überwachungsdimension eingeschlossen. Die Vertretung früh einzubeziehen ist nicht nur rechtlich klug, sondern das wirksamste Vertrauenssignal überhaupt, weil sie Ihre Auswertungsgrenze unabhängig von HR überprüfen kann.

Lässt sich eine Lohnumfrage intern durchführen, ohne Identitäten preiszugeben?

Das ist der schwierigste Fall dieser Kategorie, weil Lohn in Kombination mit Funktion und einem demografischen Merkmal in den meisten Organisationen nahezu eindeutig ist — und weil es genau die Daten sind, deren interne Zirkulation Mitarbeitende am wenigsten wünschen. Drei Praktiken machen es machbar.

1. Bänder erheben statt Beträge. Lohnbänder mit einer Breite von 10'000–20'000 Franken zerstören weit weniger Analysewert als befürchtet und entfernen die mit Abstand identifizierendste Variable.
2. Nur auf Aggregationsstufen ausweisen, auf denen es eine echte Menge gibt. Eine Lohngleichheitsanalyse nach Funktionsfamilie über das ganze Unternehmen funktioniert; dieselbe Analyse für eine Funktion mit fünf Personen nicht — sie gehört unterdrückt, nicht mit einer Fussnote versehen.
3. Erhebung und Auswertung trennen. Bei hoher Sensibilität nimmt eine externe Auswertung oder eine Plattform, in der die Arbeitgeberin keine Einzeldatensätze lesen kann, die Frage des internen Zugriffs vollständig heraus — und genau diese Frage stellen die Mitarbeitenden.

Was die Plattform garantieren muss — und was nicht

Hier wird von einem Anbieter erwartet, dass er sagt: „Unsere Verschlüsselung macht Ihre Befragung anonym.“ Das wäre unwahr. Ende-zu-Ende-Verschlüsselung schützt Einsendungen vor dem Plattformbetreiber, vor kompromittierter Infrastruktur und vor allen dazwischen. Sie schützt Mitarbeitende nicht vor ihrer eigenen Arbeitgeberin, denn diese hält den Schlüssel und entschlüsselt die Antworten — genau dafür ist das Produkt da. Erhebt Ihre Befragung Abteilung, Dienstjahresband und ein Freitextfeld, ändert Verschlüsselung nichts daran, ob HR herausfinden kann, wer was geschrieben hat.

Anonymität in einer Mitarbeitendenbefragung entsteht also aus Gestaltungsentscheiden, und die Aufgabe der Plattform besteht darin, diese Entscheide möglich und durchsetzbar zu machen:

• Kein Identifikator der antwortenden Person erhoben oder herleitbar — keine Anmeldepflicht, kein personalisierter Link, der eine Antwort an eine Person bindet, keine E-Mail-Erfassung „nur für die Verlosung“.
• Metadaten minimiert und dokumentiert — Sie müssen genau sagen können, was neben jeder Antwort gespeichert wird, und IP-Adressen sollten nicht dazugehören.
• Auswertungsgrenzen, die Sie steuern, angewendet auf jede Aufschlüsselung statt auf die Gesamtzahl, mit Unterdrückung als Voreinstellung statt als Option, an die jemand denken muss.
• Freitext bewusst behandelt — trennbar von den strukturierten Ergebnissen, mit einem Weg zur Zusammenfassung oder Schwärzung vor der Verteilung.
• Kein Zugriff des Anbieters auf die Inhalte, damit „wer könnte das sonst noch lesen“ eine kurze und überprüfbare Antwort hat. Das ist es, was Verschlüsselung tatsächlich leistet: Sie nimmt den Anbieter aus der Vertrauensgleichung — die Arbeitgeberin nicht.

Eine Befragung, die einer Prüfung standhält

Fazit: Ab wie vielen Antworten hält die Anonymität?

Fünf pro ausgewiesener Zahl, zehn bevor etwas einer namentlich bekannten Führungsperson zugeordnet wird — und die Grenze auf jede Zelle angewendet statt auf die Befragung als Ganzes. Das ist die Arbeitsantwort, und sie ist eine aus der statistischen Praxis entlehnte Konvention und keine Regel eines Schweizer Erlasses. Sie schützt Sie also nur so weit, wie Sie sie auf jede veröffentlichte Aufschlüsselung tatsächlich anwenden.

Die tiefere Antwort lautet: Die Schwelle ist die letzte Verteidigungslinie, nicht die erste. Anonymität wird früher gewonnen, im Design — wie viele demografische Fragen Sie stellen, ob die Einladung personalisiert ist, welche Metadaten gespeichert werden und wie Freitext behandelt wird. Drei demografische Fragen weniger, und die Arithmetik arbeitet nicht mehr gegen Sie. Und seien Sie ehrlich in dem, was Sie den Mitarbeitenden sagen: Eine geglaubte Befragung ist mehr wert als eine technisch verteidigbare — und zweimal geglaubt wird nur, wer beim ersten Mal präzise war.