Formular-Statistiken ohne Tracking — Abschlussquoten, Abbrüche und Datenschutz
«Auf verschlüsselten Daten kann es keine Statistik geben» ist einer jener Einwände, die nach Physik klingen und in Wahrheit eine Entwurfsentscheidung sind. Fast jede lohnende Kennzahl — Startquote, Abbruch je Frage, Ausfülldauer, Geräteverteilung — ist ein Aggregat, und Aggregate lassen sich im Moment des Eingangs zählen, statt sie aus Besuchsdatensätzen zu rekonstruieren. Was das bringt, was es wirklich kostet und warum eine Formularseite ohne Cookie-Banner besser konvertiert.
«Wenn die Plattform die Antworten nicht lesen kann, kann sie keine Statistik liefern» ist der häufigste Einwand gegen verschlüsselte Formular-Tools — und er ist auf interessante Weise falsch. Er verwechselt zwei Dinge: zu wissen, was Menschen geantwortet haben, und zu wissen, wie das Formular funktioniert hat. Das Zweite ist fast vollständig ein Zählproblem, und Zählen setzt kein Lesen voraus.
Die Kurzfassung
Fast jede Kennzahl, die eine Entscheidung verändert, ist ein Aggregat: wie viele das Formular geöffnet haben, wie viele fertig wurden, welche Frage sie verliert, wie lange es dauert, auf welchem Gerät. Nichts davon braucht eine Besucheridentität, ein Cookie oder den Inhalt irgendeiner Antwort — es braucht Zähler, die bei Aufruf und Eingang erhöht werden. Verzichten müssen Sie auf Segmentierung: Sie können nicht fragen «überspringen Mobilnutzende Frage 7 häufiger», denn genau diese Kreuztabelle beginnt bei kleinen Fallzahlen Menschen zu identifizieren. Gewonnen ist eine Formularseite ohne Aufrufe Dritter und ohne Einwilligungsdialog vor der ersten Frage — was messbar der Kennzahl hilft, um die es Ihnen eigentlich geht.
Die Kennzahlen, die tatsächlich etwas verändern
Die meisten Formular-Dashboards zeigen viel und sagen wenig. Diese lohnen das Handeln, und keine davon verlangt Tracking:
| Kennzahl | Was sie sagt | Welche Handlung sie auslöst |
|---|---|---|
| Aufrufe → Einsendungen (Konversion) | Ob das Formular den Verkehr wert ist, den Sie darauf lenken | Unter rund 20 % bei einem kurzen Formular heisst meist: zu lang, zu früh — oder es fragt nach etwas, das niemand gibt |
| Antwortquote je Frage | Welche Frage übersprungen wird oder zum Abbruch führt | Die nützlichste Zahl überhaupt: diese Frage überarbeiten, entschärfen oder streichen |
| Ausfülldauer mit Perzentilen | Median und Ausläufer. Ein Mittelwert verbirgt die, die sich abgemüht haben | Ist p75 dreimal der Median, kämpft ein Teil Ihres Publikums mit einem bestimmten Feld |
| Geschätzte gegen tatsächliche Dauer | Ob das Formular so lange dauert, wie Sie denken | «Geschätzt zwei Minuten, tatsächlich sechs» ist die schnellste Begründung, Felder zu streichen |
| Geräteverteilung | Ob am Telefon ausgefüllt wird | Ein Zwölf-Felder-Formular mit Datumsauswahl ist mobil ein anderes Produkt — dort testen |
| Tageszeit und Wochentag | Wann Ihr Publikum wirklich verfügbar ist | Wann die Erinnerung rausgeht — und ob eine Ankündigung angekommen ist |
| Ungelesene und Reaktionszeit | Wie Ihr Team mit dem Eingehenden umgeht | Die Kennzahl, die niemand misst — und die Teilnehmende spüren |
Beachten Sie, was fehlt: einzelne Nutzungsverläufe, Mausbewegungs-Heatmaps, Session Replays, Kohortenbindung. Das sind Website-Optimierungsinstrumente, importiert in einen Kontext, in dem sie vor allem Folienmaterial erzeugen — und auf einem Formular sind genau sie es, die den realen Datenschutzpreis tragen.
Zwei Wege zu diesen Zahlen
| Clientseitiges Tracking | Zähler beim Eingang | |
|---|---|---|
| Funktionsweise | Ein Skript auf der Formularseite protokolliert Ereignisse gegen eine Besucherkennung und sendet sie an einen Collector | Der Server erhöht Zähler beim Ausliefern der Seite und beim Eingang einer Antwort |
| Was gespeichert wird | Ein Sitzungsdatensatz pro Person mit Gerätedaten, Zeitstempeln und Ereignisstrom | Ganzzahlen. Keine Zeile pro Person, keine Kennung zum Auflösen |
| Einwilligungslage | Cookie- und Trackerregeln greifen; für EU-Teilnehmende ist meist ein Banner nötig | Auf dem Gerät wird nichts abgelegt — die Frage stellt sich weitgehend nicht |
| Segmentierung | Reichhaltig — jede Dimension gegen jede andere | Bewusst begrenzt: Jede Dimension wird separat gezählt, nie gekreuzt |
| Abbruch-Detailtiefe | Sieht genau, wo jemand aufgehört hat, auch bei nie Abgesendeten | Sieht übersprungene Fragen bei denen, die abgesendet haben, plus die Lücke Aufruf-zu-Einsendung im Aggregat |
| Was es kostet | Einen Tracker auf einer Seite, auf der Menschen Heikles tippen — plus eine dokumentationspflichtige Bekanntgabe | Gelegentlich wünschen Sie sich eine Kreuztabelle, die es nicht gibt |
Die ehrliche Lücke, klar benannt
Zähler beim Eingang können nicht sagen, wo jemand abgebrochen hat, der nie etwas abgesendet hat — es kam nichts an, das man zählen könnte. Sie erhalten die aggregierte Lücke zwischen Aufruf und Einsendung sowie die Auslassquoten unter den Abschliessenden; aus beidem lässt sich die problematische Frage meist erschliessen. Ist das genaue Verhalten vor dem Abbruch pro Person für Ihre Arbeit wirklich unerlässlich, brauchen Sie ein getracktes Formular samt Einwilligungsapparat. Für die meisten Formulare ist es das nicht.
Warum das Nicht-Kreuzen die Funktion ist
Es sieht nach Einschränkung aus und ist die bewussteste Entscheidung dieses Entwurfs. «Mobilnutzende, die am Dienstag abgesendet und die Lohnfrage übersprungen haben» ist keine Erkenntnis, sondern ein Filter — und bei 34 Antworten liefert dieser Filter zwei Personen, die das Team namentlich kennt.
Das ist dieselbe Re-Identifikationsrechnung, die entscheidet, ob eine anonyme Umfrage tatsächlich anonym ist — nachzulesen in wie viele Antworten es braucht, bis Anonymität hält. Die Absicherung ist architektonisch statt prozessual: Wurden die Zähler nie gekreuzt, kann kein Bericht sie versehentlich kreuzen, keine Administration in Versuchung geraten und kein Export die Kombination preisgeben. Ein Versprechen, das niemand brechen kann, ist mehr wert als eine Regel, an die sich alle erinnern müssen.
Zwei weitere Eigenschaften folgen aus dem Zählen beim Eingang, und sie sind in der Oberfläche sichtbar:
- Zähler gehen nicht zurück. Löschen Sie eine Einsendung, behalten die Fragenzähler sie, weil die personenbezogenen Daten zum Abziehen nie gespeichert wurden. Deshalb lauten diese Werte «von allen eingegangenen Antworten» statt «von Ihrem aktuellen Posteingang» — eine ehrliche Beschriftung für eine echte Eigenschaft, kein Fehler.
- Es gibt keine Nacherfassung. Was nie gezählt wurde, lässt sich später nicht rekonstruieren; ältere Antworten zeigen schlicht Lücken. Ein Produkt, das rückwirkend perfekte Historienstatistik erzeugt, hat dafür etwas pro Person aufbewahrt.
Das Konversionsargument, das niemand macht
Hier liegt ein kommerzielles Argument, das mit Compliance nichts zu tun hat. Eine Formularseite, die keine fremde Analytik, keinen Tag Manager, keine externen Schriften und kein gehostetes CAPTCHA lädt, braucht keinen Einwilligungsdialog. Das Erste, was Teilnehmende sehen, ist damit Frage eins — und nicht ein Fenster, das eine Cookie-Entscheidung verlangt, bevor überhaupt entschieden ist, etwas auszufüllen.
Jedes Element zwischen Klick und erster Frage kostet Abschlüsse. Ein Einwilligungsbanner ist das grösste davon, es erscheint im Moment grösster Unsicherheit — und bei einem Formular, das nach Gesundheitsangaben, einer Beschwerde oder einem Lohn fragt, sendet es zum denkbar schlechtesten Zeitpunkt die Botschaft «wir messen Sie». Tracker von einer Formularseite zu entfernen ist eine der wenigen Datenschutzentscheidungen, die genau die Kennzahl verbessert, an der sie gemessen wird.
Der rechtliche Rahmen in der Schweiz ist Art. 45c lit. b FMG — informieren und Ablehnung ermöglichen statt das EU-Modell der vorgängigen Einwilligung —, mit dem EDÖB-Leitfaden zu Cookies und ähnlichen Technologien (V. 1.1 vom 6. Oktober 2025), der eine sichtbare, mit wenigen Klicks ausübbare Ablehnung erwartet. Sitzen Ihre Teilnehmenden in der EU, gilt für sie der strengere Einwilligungsstandard. Der günstigste Weg, jede Fassung der Regel zu erfüllen, ist, nichts auf der Seite zu haben, das sie auslöst. Die vollständige Bestandesaufnahme steht in was Ihr Formular still mitschreibt.
Wie Schweizerform Formulare misst, die es nicht lesen kann
Konkret, weil genau das für unmöglich gehalten wird:
- Die öffentliche Formularseite bindet keine Analytik und kein Beacon ein. Keine konfigurierbare Option — der Analytik-Provider ist schlicht nicht Teil dieser Route. Nichts misst die teilnehmende Person.
- Nichts im Statistikpfad entschlüsselt etwas. Jede Zahl ist entweder ein serverseitig bei Aufruf oder Eingang erhöhter Zähler oder aus Datenbankspalten abgeleitet, die nie verschlüsselt waren, weil sie kein Inhalt sind.
- Pro Tag und Formular: Aufrufe, QR-Aufrufe und Einsendungen nach Geräteklasse. Flache Tageszähler, jede Dimension eigenständig gezählt und nie mit einer anderen gekreuzt.
- Pro Frage: wie viele sie gesehen und wie viele sie beantwortet haben. Beim Absenden meldet der Client die beantworteten Frage-IDs, der Server erhöht die Zähler gegen den veröffentlichten Fragensatz — eine gefälschte ID kann also nichts aufblähen — und verwirft die Meldung danach. Zu keinem Zeitpunkt existiert ein Datensatz pro Person und Frage.
- Pro Einsendung: drei grobe Ganzzahlen — Zeit vom Öffnen bis zum Absenden, Anzahl beantworteter Fragen, Anzahl vorhandener Fragen — dazu die angezeigte der vier Sprachen. Das ist der gesamte personenbezogene Statistik-Fussabdruck: begrenzt, leer zulässig und identitätsfrei.
- Abgeleitet statt erhoben: eine Zeitschätzung je Fragetyp im Vergleich zu Ihrem gemessenen Durchschnitt («geschätzt ~2 Min., tatsächlich 4 Min.») und eine kleine regelbasierte Hinweisfunktion — deterministisch, höchstens zwei Hinweise, ohne KI und ohne Zugriff auf Inhalte.
In der Oberfläche entsteht daraus die nützliche Hälfte eines normalen Analytics-Dashboards: Konversion, Perzentile und Klassen der Ausfülldauer, Antwortquoten je Frage, eine Heatmap nach Wochentag und Stunde, Geräte- und Kanalverteilung, Veränderungen zur Vorperiode und Posteingangskennzahlen. Nicht entstehen können eine Besucherliste, ein Session Replay oder irgendeine Kreuztabelle — und das ist der bewusst eingegangene Tausch.
Die Zahlen Ihres Formulars lesen, ohne sich selbst zu täuschen
Mit der Konversion beginnen, nicht mit dem Volumen
Einsendungen allein sagen etwas über Ihren Verkehr. Aufrufe-zu-Einsendungen sagt etwas über Ihr Formular. Nur das Zweite können Sie diese Woche beheben.
Die Frage mit der schlechtesten Antwortquote finden
Dann prüfen: Ist sie Pflicht? Klingt sie wie ein Vorwurf? Nutzen Sie die Antwort überhaupt? Ein Feld zu streichen schlägt meist ein Seiten-Redesign.
Median lesen, dann p75
Der Median zeigt die typische Erfahrung, der Abstand zu p75 die Grösse der Gruppe, die kämpft. Ein grosser Abstand ist fast immer ein bestimmtes Feld.
Geschätzte mit tatsächlicher Dauer vergleichen
Dauert das Formular dreimal so lange, wie seine Struktur erwarten lässt, ist etwas verwirrend und nicht bloss lang — ein Formulierungs-, kein Längenproblem.
Das eigene Formular am Telefon öffnen
Sagt die Geräteverteilung «mobil» und getestet wurde nur am Laptop, haben die Zahlen bereits gesagt, woher der Abbruch kommt.
Den Ungelesen-Rückstau als Kennzahl behandeln
Reaktionszeit ist der Teil der Erfahrung, den Teilnehmende tatsächlich wahrnehmen. Sie sagt auch voraus, ob Ihr nächstes Formular ausgefüllt wird.
Keinen Segmente nachjagen, die es nicht gibt
Wünschen Sie sich bei 40 Antworten eine Kreuztabelle, ist die ehrliche Antwort: Die Stichprobe trägt die Schlussfolgerung ohnehin nicht. Stellen Sie stattdessen eine bessere Frage an die Gesamtheit.
Zählen ist nicht Lesen. Fast alles, was über ein Formular zu wissen lohnt, ist eine Anzahl von Menschen — keine Liste von ihnen.
Fazit
Verschlüsselung kostet Sie keine Formularstatistik. Sie kostet Sie Überwachungsstatistik — Verläufe pro Person, Replays und beliebige Segmentierung —, und für die meisten Formulare ist das ein Tausch zu Ihren Gunsten, weil die entscheidungsrelevanten Kennzahlen Aggregate sind und Aggregate ohne Identifikation gezählt werden können.
Es erspart Ihnen zudem eine Diskussion. Kein Tracker auf der Formularseite heisst: kein Banner, kein Einwilligungsnachweis für die Statistikebene, keine Bekanntgabe der IP-Adressen Ihrer Teilnehmenden an eine Messanbieterin und nichts zu erklären, wenn jemand fragt, was während des Tippens geschieht. Das Dashboard wird etwas schmaler und das Gespräch sehr kurz.
Schweizerform liefert Formularbesitzenden Konversion, Antwortquoten je Frage, Perzentile der Ausfülldauer, zeitliche Muster und Geräteverteilung — berechnet aus Zählern beim Eingang, ohne Tracker auf der Formularseite und ohne Entschlüsselung im gesamten Pfad. Verschlüsselte Einsendungen werden in der Schweiz gespeichert. Siehe Funktionen für die Übersichtsseite und ein sicheres Online-Formular erstellen für die Gestaltungsseite. Zur Toolauswahl auf dieser Grundlage siehe datenschutzkonforme Umfragetools im Vergleich; für den Fall, in dem diese Zahlen am meisten wiegen, Formulare für Mitarbeiterbefragungen.
Hinweis: Dieser Beitrag ist allgemeine Information und Marketinginhalt, keine Rechtsberatung. Verweise auf Art. 45c FMG, den EDÖB-Leitfaden zu Cookies und ähnlichen Technologien (V. 1.1 vom 6. Oktober 2025), Art. 6 nDSG und den ePrivacy-Einwilligungsstandard der EU sind vereinfachte Zusammenfassungen einer im Juli 2026 geprüften Lage. Aussagen zu Schweizerform beschreiben das dokumentierte Verhalten des Produkts zu diesem Zeitpunkt und können sich ändern; massgeblich ist die Sicherheitsseite. Richtwerte wie Konversionsprozente sind Faustregeln, keine Forschungsergebnisse — messen Sie Ihre eigene Ausgangslage, bevor Sie Schlüsse ziehen.