Darf ich Google Forms in der Schweiz nutzen?

Google Forms in der Schweiz einzusetzen ist nicht verboten. Das revidierte Datenschutzgesetz (nDSG, SR 235.1) enthält keine Bestimmung, die ausländische Software untersagt, und keine, die einen Serverstandort Schweiz vorschreibt. Das Gesetz knüpft die Nutzung an Bedingungen — und die Frage lautet deshalb nicht „ist Google Forms erlaubt?“, sondern „ist dieses konkrete Formular mit diesen konkreten Daten in meiner konkreten Rolle zulässig?“. Für die Anmeldung zu einem Anlass lautet die Antwort fast immer Ja. Für den Anamnesebogen einer Zürcher Praxis fast immer Nein — und zwar aus einem anderen Grund, als die meisten vermuten.

Dieser Beitrag beantwortet die rechtliche Frage. Die technische beantwortet unser Schwesterartikel Ist Google Forms sicher? — ob Antworten verschlüsselt sind und wer sie lesen kann. Dessen Kernaussage ist hier entscheidend: Google Forms verschlüsselt auf dem Transportweg und im Ruhezustand, aber nicht Ende zu Ende. Google, Ihre Workspace-Administration und alle, die Zugriff auf die verknüpfte Tabelle haben, sehen Klartext. Das Schweizer Recht interessiert sich nicht für Verschlüsselung an sich, sondern dafür, wer die Daten lesen kann und auf welcher vertraglichen Grundlage. Genau deshalb bestimmt der technische Befund die rechtliche Antwort.

Ist Google Forms in der Schweiz erlaubt?

Grundsätzlich ja. Das nDSG ist technologie- und anbieterneutral. Es führt keine Liste zugelassener Werkzeuge, verlangt kein Schweizer Hosting und behandelt US-Anbieter nicht per se als unzulässig. Ein Schweizer Unternehmen, das mit Google Forms Newsletter-Anmeldungen, Event-Registrierungen oder eine interne Umfrage zum Mittagessen erhebt, tut nichts Widerrechtliches — sofern es die gewöhnlichen Pflichten erfüllt: rechtmässig, nach Treu und Glauben und verhältnismässig bearbeiten (Art. 6), Datensicherheit gewährleisten (Art. 8), informieren (Art. 19) und löschen, was nicht mehr nötig ist.

Hinter dem Wort „zulässig“ steckt in der Praxis allerdings eine andere Sorge: dass jemand auf das Werkzeug zeigt und sagt, für diese Daten hätte es nie verwendet werden dürfen. Diese Sorge ist berechtigt, und sie hat vier voneinander unabhängige Quellen. Sie summieren sich, und jede einzelne kann ein ansonsten sauberes Setup unzulässig machen.

Die vier Fragen, die tatsächlich entscheiden

1. Wer sind Sie? Private Organisationen unterstehen dem eidgenössischen nDSG. Kantonale und kommunale Organe — Schulen, Verwaltungen, öffentlich-rechtliche Spitäler — unterstehen dem kantonalen Datenschutzrecht, das häufig strenger ist, sowie der Aufsichtspraxis der kantonalen Datenschutzbehörde.
2. Wie sensibel sind die Daten? Art. 5 lit. c nDSG definiert besonders schützenswerte Personendaten eng, aber folgenreich. Ihre Bearbeitung erhöht die Anforderungen an die Einwilligung (Art. 6 Abs. 7 lit. a verlangt ausdrückliche Einwilligung, wo die Bearbeitung darauf gestützt wird) und löst bei umfangreicher Bearbeitung eine Datenschutz-Folgenabschätzung nach Art. 22 Abs. 2 lit. a aus.
3. Liegt eine Geheimhaltungspflicht darüber? Das Berufsgeheimnis nach Art. 321 StGB, das Bankkundengeheimnis nach Art. 47 BankG und das Amtsgeheimnis nach Art. 320 StGB sind kein Datenschutzrecht. Es sind Strafnormen, sie treffen Sie persönlich, und ein Auftragsbearbeitungsvertrag erfüllt sie nicht.
4. Haben Sie die Unterlagen? Auftragsbearbeitungsvertrag nach Art. 9, gültige Grundlage für die Bekanntgabe ins Ausland nach Art. 16 oder Art. 17 und die Transparenzpflicht aus Art. 19 Abs. 4 — die verlangt, dass Sie den Zielstaat in der Datenschutzerklärung nennen. Diese Ebene überspringen fast alle.

Brauchen Sie einen Auftragsbearbeitungsvertrag mit Google?

Ja. Wer über Google Forms Antworten erhebt, ist Verantwortlicher, und Google ist Auftragsbearbeiter: Es bearbeitet Personendaten in Ihrem Auftrag, nach Ihren Weisungen, für Ihre Zwecke. Art. 9 Abs. 1 nDSG erlaubt diese Übertragung vertraglich oder durch Gesetzgebung, unter zwei Bedingungen — der Auftragsbearbeiter darf die Daten nur so bearbeiten, wie es der Verantwortliche selbst dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht darf die Übertragung verbieten. Art. 9 Abs. 2 verlangt zusätzlich, dass Sie sich ausdrücklich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann.

Praktisch heisst das: das Cloud Data Processing Addendum von Google aktivieren beziehungsweise prüfen, ob Ihr Vertrag es bereits einbezieht. Es wird für Google Workspace und Cloud Identity angeboten und nimmt neben der DSGVO und dem britischen Recht ausdrücklich auf das Schweizer DSG Bezug. Google weist selbst darauf hin, dass Kundinnen und Kunden mit einer Rechnungsadresse ausserhalb von Europa, dem Nahen Osten und Afrika, deren Nutzung dem Schweizer DSG untersteht, dies entsprechend bestätigen müssen — genau die Konstellation eines Schweizer Kontos mit nicht-EMEA-Abrechnung. Prüfen Sie es, statt es anzunehmen.

Unterauftragsbearbeiter brauchen Ihre vorgängige Genehmigung

Art. 9 Abs. 3 nDSG hält fest, dass der Auftragsbearbeiter die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen darf. Google betreibt wie jeder Hyperscaler eine lange, sich verändernde Liste von Unterauftragsbearbeitern. Das saubere Muster ist die generelle Genehmigung mit Änderungsmeldung: Sie akzeptieren die publizierte Liste und den Änderungsprozess aus dem Addendum und bewahren eine Kopie des akzeptierten Stands auf. Das untaugliche Muster ist, die Liste nie angeschaut zu haben.

Was ein Auftragsbearbeitungsvertrag nicht leistet

Ein unterzeichnetes Addendum macht das Bearbeitungsverhältnis rechtmässig. Es ändert nichts daran, wer die Daten technisch lesen kann, es entbindet nicht von einer Geheimhaltungspflicht, und es verhindert keine rechtmässige Anordnung im Heimatstaat des Anbieters. Verträge verteilen Verantwortung; sie entfernen keine Fähigkeiten. Dieser Unterschied ist der ganze Kern der Schweizer Debatte über internationale Cloud-Dienste — und der Grund, weshalb sich technische und rechtliche Frage nicht sauber trennen lassen.

Ist es rechtswidrig, wenn Formulardaten die Schweiz verlassen?

Nicht für sich allein. Art. 16 Abs. 1 nDSG erlaubt die Bekanntgabe ins Ausland, wenn der Bundesrat festgestellt hat, dass der Zielstaat einen angemessenen Schutz gewährleistet — die Liste steht in Anhang 1 der Datenschutzverordnung (DSV, SR 235.11). Alle EU- und EWR-Staaten stehen darauf. Die USA ebenfalls, aber bedingt: Mit Verordnungsänderung vom 14. August 2024, in Kraft seit dem 15. September 2024, anerkennt der Bundesrat US-Empfänger, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, als angemessen. Google LLC ist unter dem Swiss-U.S. DPF zertifiziert, ebenso unter dem EU-U.S. DPF und der britischen Erweiterung.

Der Transferweg steht also offen. Übersehen wird regelmässig, dass Angemessenheit weder automatisch noch dauerhaft gilt: Sie hängt daran, dass der Empfänger für die betreffenden Datenkategorien zertifiziert bleibt, und eine Feststellung des Bundesrates kann revidiert werden. Trägt Art. 16 Abs. 1 nicht, greifen die Garantien nach Art. 16 Abs. 2 — vom EDÖB genehmigte Standarddatenschutzklauseln, verbindliche unternehmensinterne Datenschutzvorschriften und weitere — oder, nur im Einzelfall, die Ausnahmen nach Art. 17. Unser Leitfaden zur Auslandbekanntgabe arbeitet diesen Test vollständig ab.

Reicht ein Serverstandort in der EU für Schweizer Formulardaten?

Für die Angemessenheitsfrage: ja. Alle EU- und EWR-Staaten stehen in Anhang 1, die Speicherung von Antworten Schweizer Teilnehmender in einem EU-Rechenzentrum braucht also kein zusätzliches Transferinstrument. Google Workspace bietet mit den Datenregionen eine Einstellung, mit der die Administration primäre Daten im Ruhezustand auf die EU oder die USA festlegen kann; Google führt Forms in der Dokumentation unter den abgedeckten Diensten für Daten im Ruhezustand. Zwei Vorbehalte zählen. Erstens ist die Abdeckung für den Bearbeitungsort enger als für die Speicherung, vorübergehende Bearbeitungen können also anderswo stattfinden. Zweitens — und das übersehen Schweizer Einkäuferinnen und Einkäufer beharrlich — ist die Schweiz keine Option. Die EU-Multiregion schliesst Gebiete ausserhalb der EU, darunter die Schweiz und das Vereinigte Königreich, ausdrücklich aus. „EU-Hosting“ ist eine rechtmässige Antwort auf Art. 16; eine Antwort auf die Frage nach Schweizer Hosting ist es nicht.

Sie müssen den Zielstaat in der Datenschutzerklärung nennen

Art. 19 Abs. 4 nDSG ist kurz und wird breit ignoriert: Werden Personendaten ins Ausland bekanntgegeben, so teilt der Verantwortliche der betroffenen Person auch den Staat oder das internationale Organ mit und gegebenenfalls die Garantien nach Art. 16 Abs. 2 oder die Anwendung einer Ausnahme nach Art. 17. Eine Datenschutzerklärung mit dem Satz „wir setzen Dienste Dritter ein“ genügt dem nicht. „Google LLC, Vereinigte Staaten, gestützt auf das Swiss-U.S. Data Privacy Framework“ genügt. Die Verletzung der Informationspflicht ist ihrerseits nach Art. 60 nDSG mit Busse bis zu 250'000 Franken bedroht.

Wann Google Forms in der Schweiz völlig unproblematisch ist

Das gehört ausdrücklich gesagt, weil Compliance-Inhalte gerne suggerieren, jedes Werkzeug sei ein Risiko. Google Forms ist ein gutes Produkt, es ist kostenlos, alle kennen es, und für eine grosse Klasse Schweizer Anwendungsfälle stellt sich schlicht keine ernsthafte Rechtsfrage. Passt Ihr Formular auf die folgende Beschreibung, nutzen Sie es und investieren Sie Ihre Compliance-Energie anderswo:

• Sie betreiben es aus einem Google-Workspace-Konto mit aktivem Cloud Data Processing Addendum — nicht aus einem privaten Gmail-Konto.
• Es handelt sich um gewöhnliche Personendaten: Name, E-Mail, Firma, Menüwunsch, Sessionwahl, Zufriedenheitsnote.
• Es werden keine besonders schützenswerten Daten nach Art. 5 lit. c erhoben — keine Gesundheitsangaben, keine religiöse oder politische Zugehörigkeit, keine Strafverfahren, keine Sozialhilfe.
• Sie unterstehen gegenüber den Teilnehmenden keinem Berufsgeheimnis.
• Ihre Datenschutzerklärung nennt Google und den Zielstaat, und Ihr Verzeichnis der Bearbeitungstätigkeiten (Art. 12) führt das Werkzeug auf.
• Die Aufbewahrung ist bewusst geregelt: Antworten und verknüpfte Tabelle werden gelöscht, wenn der Zweck endet — nicht „irgendwann“.

Wann Google Forms die falsche Wahl ist

Die Trennlinie verläuft nicht zwischen „schweizerisch“ und „ausländisch“, sondern entlang der Frage, wer diese Daten überhaupt lesen können darf. Sobald die Antwort „nur ich und die einreichende Person“ lautet, ist ein Werkzeug, dessen Anbieter die Schlüssel hält, ungeeignet — unabhängig von Angemessenheitsbeschlüssen, Verträgen und der wirklich ausgezeichneten Sicherheitsarbeit von Google. Die folgende Tabelle ist die praktische Fassung der vier Fragen.

Die Bereiche, in denen die Antwort faktisch Nein lautet

In vier Schweizer Konstellationen wird die Prüfung abgekürzt: Eine Norm ausserhalb des Datenschutzrechts entscheidet die Frage, bevor der nDSG-Test überhaupt beginnt.

Arzt-, Zahnarzt-, Psychologie- und Apothekenpraxen

Art. 321 StGB stellt es unter Strafe — Freiheitsstrafe bis zu drei Jahren oder Geldstrafe —, wenn Ärztinnen, Zahnärzte, Chiropraktoren, Apothekerinnen, Hebammen, Psychologen und deren Hilfspersonen ein Geheimnis offenbaren, das ihnen in ihrer beruflichen Eigenschaft anvertraut wurde. Software-Anbieter mit technischem Zugriff auf Klartext-Patientendaten liegen unangenehm nahe an diesem Kreis, und das strafrechtliche Risiko trägt die Praxis persönlich. Art. 9 Abs. 1 lit. b nDSG schliesst den Kreis von der datenschutzrechtlichen Seite: Die Bearbeitung darf nicht übertragen werden, wenn eine gesetzliche oder vertragliche Geheimhaltungspflicht dies verbietet. Deshalb ist ein Auftragsbearbeitungsvertrag für eine Praxis keine Lösung — der Vertrag ist ein Datenschutzinstrument, das Hindernis ist Strafrecht. Wie zero-knowledge-basierte Aufnahme das löst, zeigt unser Anwendungsfall Gesundheitswesen.

Anwaltskanzleien und Notariate

Derselbe Art. 321 StGB gilt für Anwältinnen, Verteidiger und Notare, verstärkt durch die Berufsregeln der kantonalen Anwaltsverbände. Mandatsaufnahmeformulare erfassen regelmässig den Sachverhalt eines Streits, bevor überhaupt ein Mandat besteht — also genau das Material, das das Berufsgeheimnis schützen soll. Ein Anbieter, der das Formular lesen kann, ist eine Partei, die geheime Informationen hält, ohne dem Geheimnis zu unterstehen. Den praktischen Aufbau beschreibt unser Anwendungsfall Mandantenaufnahme.

Schulen, kantonale Verwaltungen und weitere öffentliche Organe

Öffentliche Organe sind der strengste Fall, und die Position hat sich zuletzt verschärft. In einer im November 2025 publizierten Resolution hält privatim — die Konferenz der schweizerischen Datenschutzbeauftragten — fest, dass die Auslagerung besonders schützenswerter oder einer gesetzlichen Geheimhaltungspflicht unterstehender Personendaten an internationale Cloud-Anbieter für öffentliche Organe in den meisten Fällen unzulässig ist: Die meisten SaaS-Lösungen bieten keine echte Ende-zu-Ende-Verschlüsselung, die einen Zugriff des Anbieters auf Klartext ausschliessen würde, und global tätige Unternehmen bieten zu wenig Transparenz, als dass Behörden die Einhaltung der vertraglichen Pflichten überprüfen könnten. Die Ausnahme, die die Resolution offenlässt, ist eng und präzise: Das verantwortliche Organ verschlüsselt die Daten selbst, und der Anbieter hat keinen Zugang zum Schlüssel.

Für Schulen hat die Schweiz beim Plattformbetrieb einen gangbaren Mittelweg gefunden: educa hat einen Rahmenvertrag für Google Workspace for Education ausgehandelt, unter dem für das Verhältnis zu Google Ireland Schweizer Recht und ein Schweizer Gerichtsstand gelten, Speicherorte in der EU gewählt werden können und Werbeprofile von Lernenden vertraglich ausgeschlossen sind. Die begleitenden kantonalen Leitfäden sind allerdings konsistent: Besonders schützenswerte Daten gehören nicht in die Plattform, und Umfragen, die solche erheben, brauchen zusätzlichen Schutz. Die Klassen-Workspace für eine Terminumfrage zu nutzen ist unproblematisch; sie für einen Fürsorgefragebogen zu nutzen ist es nicht. Genau entlang dieser Trennlinie ist unser Anwendungsfall Bildungseinrichtungen aufgebaut.

Banken, Versicherungen und beaufsichtigte Finanzinstitute

Kundenidentifizierende Daten sind durch Art. 47 BankG geschützt, und die Auslagerungsanforderungen der FINMA verlangen von beaufsichtigten Instituten Kontrolle, Prüfbarkeit und Zugangsrechte über ausgelagerte Bearbeitungen — einschliesslich der Einsichtsrechte von Aufsicht und interner Revision. Ein kostenloses Formularwerkzeug für Endverbraucher hält keinem Auslagerungsinventar stand, und „wir haben den Onboarding-Fragebogen über Google Forms erhoben“ ist kein Satz, den jemand in einem Prüfbericht lesen will.

Ein Entscheidungsbaum für Schweizer Organisationen

Arbeiten Sie die Punkte der Reihe nach ab. Das erste Nein entscheidet — gemittelt wird hier nicht.

1. Sind Sie ein öffentliches Organ? Wenn ja, gelten zuerst kantonales Recht und die Praxis Ihrer kantonalen Aufsichtsbehörde; lesen Sie vor allem anderen die privatim-Resolution. Bei sensiblen oder geheimhaltungspflichtigen Daten gilt Nein, solange Sie die Schlüssel nicht selbst halten.
2. Unterstehen Sie einer Geheimhaltungspflicht nach Art. 321 StGB, Art. 320 StGB oder Art. 47 BankG? Wenn ja, hören Sie hier auf. Kein Auftragsbearbeitungsvertrag heilt eine strafrechtliche Pflicht; Sie brauchen ein Werkzeug, das der Anbieter nicht lesen kann.
3. Erhebt das Formular besonders schützenswerte Daten nach Art. 5 lit. c nDSG — Gesundheit, religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten, Intimsphäre, Ethnie, genetische oder biometrische Daten, Straf- und Verwaltungsverfahren, Sozialhilfe? Wenn ja, behandeln Sie Google Forms als ungeeignet und halten Sie den Grund fest.
4. Kann Freitext zu sensiblen Daten werden? Ein Feld „Gibt es sonst etwas, das wir wissen sollten?“ auf einem Anmeldeformular sammelt zuverlässig Gesundheitsangaben. Lässt sich das nicht verhindern, behandeln Sie das Formular als sensibel.
5. Nutzen Sie Workspace mit dem Cloud Data Processing Addendum, und können Sie es vorweisen? Wenn nicht, bringen Sie das in Ordnung, bevor Sie irgendetwas erheben.
6. Nennt Ihre Datenschutzerklärung Google und den Zielstaat, und führt Ihr Verzeichnis nach Art. 12 das Werkzeug auf? Wenn nicht, haben Sie unabhängig von allem Übrigen ein Problem nach Art. 19 und Art. 60.
7. Sind alle sechs Punkte geklärt, setzen Sie es ein. Legen Sie danach eine Löschfrist für Antworten und verknüpfte Tabelle fest und prüfen Sie die Freigabeeinstellungen von beidem.

Was tun, wenn Sie Google Forms bereits für die falschen Daten nutzen?

Das ist der Normalfall, und Panik ist die falsche Reaktion. Eine Praxis, die seit zwei Jahren Anamnesebögen über Google Forms erhebt, hat einen Sachverhalt zu bereinigen, keinen Skandal zu vertuschen. Die Reihenfolge zählt, denn wer die Erhebung stoppt, ohne das Archiv aufzuräumen, lässt die Exposition bestehen.

Die Schweizer Zero-Knowledge-Alternative

Schweizerform ist genau für die Formulare der Nein-Spalte gebaut. Antworten werden im Browser der einreichenden Person mit AES-256-GCM verschlüsselt, bevor sie übertragen werden; der Schlüssel jeder Einreichung wird mit dem öffentlichen Schlüssel des Formulars verpackt, und die private Schlüsselkette schützt der Tresorschlüssel der Inhaberin — er erreicht unsere Server nie. Wir speichern verschlüsselte Einreichungen auf Schweizer Infrastruktur und können strukturell keine einzige Einreichung lesen.

Die rechtliche Konsequenz ist hier das Entscheidende, und sie ist präzise statt werblich: Es findet keine Bekanntgabe lesbarer Personendaten ins Ausland statt, weil ausserhalb der beiden Browser nirgends lesbare Daten existieren. Das Hindernis aus Art. 9 Abs. 1 lit. b — eine Geheimhaltungspflicht, die die Übertragung verbietet — entfällt, wenn der Anbieter keinen technischen Zugang zum Geheimnis hat. Und die enge Ausnahme der privatim-Resolution, bei der das verantwortliche Organ selbst verschlüsselt und der Anbieter keinen Schlüssel hält, beschreibt die Architektur statt einer Zusatzoption. Wer den Markt statt unserer Sicht sucht: Die Übersicht der in der Schweiz gehosteten Formular-Tools vergleicht die Schweizer Optionen ehrlich, und der Vergleich Schweizerform gegen Google Forms liefert die Funktionsebene.

Fazit: Darf ich Google Forms in der Schweiz nutzen?

Für gewöhnliche Personendaten, aus einem Google-Workspace-Konto, mit aktivem Cloud Data Processing Addendum und einer Datenschutzerklärung, die Google und den Zielstaat nennt: ja. Das Swiss-U.S. Data Privacy Framework steht seit dem 15. September 2024 in Anhang 1 der Datenschutzverordnung, Google LLC ist darunter zertifiziert, der Transferweg ist offen. Am Werkzeug selbst ist in der Schweiz nichts von Natur aus unzulässig.

Für besonders schützenswerte Daten nach Art. 5 lit. c nDSG, für alle, die Art. 321 StGB unterstehen, für öffentliche Organe mit geheimhaltungspflichtigen Informationen und für Hinweisgeber- oder Fürsorgemeldungen: nein — und der Grund ist nicht der Serverstandort, sondern dass der Anbieter den Klartext lesen kann. Der ehrliche Test ist der vom Anfang dieses Beitrags: Listen Sie auf, wer die Antworten lesen kann, und entscheiden Sie, ob jeder Name auf dieser Liste dort hingehört. Muss die Liste „nur ich“ lauten, muss es ein Werkzeug sein, das Ihre Daten überhaupt nicht lesen kann.