Darf ich IP-Adressen erheben? Was Ihr Formular still mitschreibt

«Darf ich IP-Adressen erheben?» ist fast immer die falsche erste Frage. Die Antwort lautet meistens ja — und sie ist das Uninteressanteste am Thema, denn die IP-Adresse ist das einzige Metadatum, von dem alle wissen, dass sie es erheben. Ein Anonymitätsversprechen scheitert am Rest: am User-Agent, am auf die Millisekunde genauen Zeitstempel, am Referrer, der die interne Ausgangsseite verrät, an den Zeitmessungen, an den GPS-Koordinaten im angehängten Foto, an den Kopfzeilen der Benachrichtigungsmail und an den sechs Aufrufen Dritter, welche die Formularseite absetzt, bevor jemand ein Wort getippt hat.

Die Bestandesaufnahme: Was ein Formular ausser den Antworten erfassen kann

Das ist die Liste, die Sie mit Ihrer Plattform durchgehen, keine Anklageschrift. Verschiedene Anbieterinnen erheben verschiedene Teilmengen; entscheidend ist, dass Sie sagen können, welche für Sie gilt.

Ist eine IP-Adresse ein Personendatum?

Nach Art. 5 lit. a nDSG sind Personendaten alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Eine IP-Adresse bezieht sich auf eine Person, sobald Mittel vorhanden sind, deren Einsatz vernünftigerweise zu erwarten ist — und in der EU hat der Gerichtshof die entsprechende Frage in Breyer (C-582/14, 2016) entschieden: Eine dynamische IP-Adresse ist für den Website-Betreiber ein Personendatum, wenn ihm rechtliche Mittel zur Verfügung stehen, um über den Provider die Identität zu erlangen. Behandeln Sie eine IP als Personendatum. Die Gegenposition ist nicht zu gewinnen und bringt ohnehin nichts.

Bewegt hat sich zuletzt die Behandlung pseudonymisierter Daten. Im September 2025 entschied der Gerichtshof in EDPS gegen SRB (C-413/23 P), dass die Bestimmbarkeit relativ zu beurteilen ist: Hinreichend pseudonymisierte Daten können für den ursprünglichen Verantwortlichen Personendaten sein und für eine Empfängerin, die niemanden vernünftigerweise re-identifizieren kann, gerade nicht — unter Berücksichtigung technischer, organisatorischer und rechtlicher Faktoren.

Das betrifft Formularplattformen unmittelbar, denn es ist der Unterschied zwischen zwei Bauweisen, die beide behaupten, «keine IPs zu speichern»:

• Ein Hash der IP mit einem festen, bekannten Verfahren. Per Brute Force umkehrbar — der IPv4-Raum lässt sich in Sekunden durchzählen. Das ist keine Pseudonymisierung, sondern Verschleierung, und ist wie eine IP zu behandeln.
• Ein Keyed Hash mit einem Geheimnis, das Angreifende nicht haben, pro Formular gesalzen. Ohne das serverseitige Geheimnis nicht umkehrbar und über Formulare hinweg nicht verknüpfbar, weil derselbe Adressraum je Formular einen anderen Hash ergibt. Das ist ein wirklich anderes Objekt — und der relative Ansatz ist der Grund, weshalb man das sagen darf.
• Gar kein Identifikator. Nichts umzukehren, nichts herauszugeben, nichts aufzubewahren. Immer die stärkste Position — und die zu wählende, wann immer der Zweck anders erreichbar ist.

Die grundsätzliche Unterscheidung — anonym gegenüber pseudonym, und warum die meisten «anonymen» Formulare keines von beidem sind — steht in anonyme vs. pseudonyme Formulare.

Wann die Erhebung vertretbar ist — und wie lange

Das Schweizer Recht verlangt für die meisten Bearbeitungen durch Private keine Einwilligung; es verlangt Rechtmässigkeit, Verhältnismässigkeit, Erkennbarkeit und Treu und Glauben (Art. 6 nDSG), wobei ein überwiegendes Interesse nach Art. 31 zur Verfügung steht, wo eine Rechtfertigung nötig ist. Der DSGVO-Weg für denselben Sachverhalt ist üblicherweise das berechtigte Interesse nach Art. 6 Abs. 1 lit. f mit dokumentierter Abwägung. In beiden Systemen entscheidet die Frage, ob ein milderes Mittel denselben Zweck erreicht. Metadaten scheitern daran weit häufiger als Formularfelder.

Wie Sie sich auch entscheiden: Drei Pflichten folgen daraus, und nach ihnen wird geprüft. Die Metadaten gehören ins Verzeichnis der Bearbeitungstätigkeiten, die Kategorien in den Datenschutzhinweis nach Art. 19 nDSG (samt Empfängern und Staaten), und die Löschregel muss schriftlich bestehen und tatsächlich laufen. Siehe Aufbewahrungsfristen für Formulardaten und die nDSG-Checkliste für Formulare und Umfragen.

Die Cookie- und Tracker-Ebene ist eine eigene Regel

Die Schweiz regelt Cookies im Fernmelderecht, nicht im Datenschutzgesetz. Art. 45c lit. b FMG erlaubt die Bearbeitung auf dem Gerät, wenn die Nutzenden über die Bearbeitung und ihren Zweck informiert werden und darauf hingewiesen werden, dass sie sie ablehnen können — ein Modell aus Information plus Opt-out, nicht das EU-Modell der vorgängigen Einwilligung. Der EDÖB hat einen Leitfaden zu Datenbearbeitungen mittels Cookies und ähnlichen Technologien veröffentlicht (Version 1.1 vom 6. Oktober 2025), der erwartet, dass die Ablehnungsmöglichkeit sichtbar und mit wenigen Klicks ausübbar ist statt vergraben. Werden dabei Personendaten bearbeitet, kommt das nDSG hinzu; sitzen Ihre Teilnehmenden in der EU, gilt für sie der ePrivacy-Einwilligungsstandard unabhängig von Ihrem Sitz.

Für eine Formularseite ist die praktische Regel viel einfacher als das Recht: keine nicht notwendigen Tracker darauf. Ein Formular ohne Analytics, ohne Tag Manager, ohne externe Schriften und ohne CAPTCHA Dritter braucht kein Banner, gibt niemandem die IP der teilnehmenden Person bekannt und konvertiert besser, weil vor der ersten Frage kein Dialog steht. Werbung und Messung gehören auf Ihre Marketingseiten, wo der Zielkonflikt eine echte unternehmerische Entscheidung ist und kein Versehen.

Die vier, von denen Sie nicht wussten, dass Sie sie erheben

1. EXIF-Daten in hochgeladenen Fotos

Ein Handyfoto trägt häufig GPS-Koordinaten, Aufnahmezeit und Geräteidentität. Wer einen Mangel zuhause, eine Verletzung oder ein Dokument auf dem Küchentisch fotografiert, hängt seine Wohnadresse an eine Meldung, die er für anonym hielt. Entfernen Sie Metadaten beim Upload, wo möglich; wo nicht, schreiben Sie einen Satz dazu ans Upload-Feld. Mehr zum Upload-Pfad im vollständigen Leitfaden für sichere Datei-Uploads.

2. Die Benachrichtigungsmail

Verschickt Ihre Plattform den Antwortinhalt per Mail, haben Sie dauerhafte unverschlüsselte Kopien in jedem Postfach des Verteilers erzeugt, auf jedem Telefon, das synchronisiert, und in jedem Backup dahinter — dazu eine Mailspur mit eigenen Kopfzeilen und eigener Aufbewahrung. Die Lösung ist eine Einstellung: melden, dass eine Antwort eingegangen ist, den Inhalt nie mitsenden.

3. Fehler-Monitoring und Session Replay

Crash-Reporting und Session-Replay werden zur Produktverbesserung eingebaut und sind für die Person, die den Datenschutzhinweis schreibt, in der Regel unsichtbar. Beide können Feldwerte erfassen — Replay von Konzept wegen, Fehler-Monitoring versehentlich, in Anfrageinhalten und Fehlerkontexten. Auf einem Formular mit Gesundheits-, HR- oder Rechtsinhalten ist ein Replay-Skript Dritter eine Bekanntgabe besonders schützenswerter Daten an eine Auftragsbearbeiterin, die niemand dokumentiert hat.

4. Alles, was die Seite von einem anderen Host lädt

Eine Webschrift, eine Icon-Bibliothek, ein CDN, ein CAPTCHA: Jeder dieser Hosts erhält als Bedingung der Auslieferung die IP-Adresse und den User-Agent der teilnehmenden Person. Das ist eine Bekanntgabe — liegt der Host im Ausland, eine grenzüberschreitende mit dokumentationspflichtiger Grundlage nach Art. 16/17 nDSG. Es ist zugleich das am leichtesten Überprüfbare auf dieser Seite; siehe die Prüfung unten und welche Formular-Tools in der Schweiz gehostet sind.

Was Schweizerform speichert — Feld für Feld

Wir veröffentlichen das, weil wir es von anderen Anbieterinnen verlangen. Eine Einsendung ist bei Schweizerform eine Datenbankzeile plus ein verschlüsselter Blob im Schweizer Objektspeicher. Das ist die ganze Zeile:

Und das steht nicht darauf: keine IP-Adresse, kein User-Agent, keine Geräte- oder Browserdaten, kein Referrer, keine Geolokalisierung, keine Cookie- oder Besucherkennung, keine Antwortzeiten pro Frage und kein Konto — Teilnehmende brauchen nie eines. Eine öffentliche Formularseite erhöht einen Tageszähler für Aufrufe (und einen separaten für QR-Scans); sie legt keinen Besuchsdatensatz an. Statistiken pro Frage sind flache Summenzähler: Der Client meldet, welche Frage-IDs beantwortet wurden, der Server erhöht die Zähler und verwirft die Meldung.

Die Überlegung hinter dem Hash für «einmal pro Netzwerk» — warum ein Salt pro Formular und ein Server-Pepper die drei Eigenschaften ergeben, die einen abgeleiteten Identifikator vertretbar machen, und wie die übrigen Anti-Doppel-Mechanismen im Anonymitätspreis abschneiden — steht in Spam, Bots und doppelte Einsendungen verhindern, ohne die Anonymität zu brechen.

Prüfen Sie Ihr eigenes Formular in zehn Minuten

Niemand hat je entschieden, die Metadaten zu erheben. Genau das ist das Problem — eine nicht getroffene Entscheidung ist auch eine Entscheidung, und es ist die, die Sie verteidigen müssen.

Fazit

Dürfen Sie IP-Adressen erheben? Meistens ja — mit Zweck, Rechtsgrundlage, einer Zeile im Datenschutzhinweis und einer Aufbewahrungsfrist, die endet. Was Sie nicht tun sollten: sie standardmässig erheben, unbefristet behalten und das Formular gleichzeitig als anonym bezeichnen. Diese drei Gewohnheiten machen aus einem technischen Detail einen Datenschutzbefund.

Das brauchbare Denkmodell: Jedes Formular hat zwei Nutzlasten — die Antworten, die Sie entworfen haben, und die Metadaten, die von selbst kamen. Die erste steuern Sie über die Feldliste, die zweite über die gewählte Plattform und die Einstellungen, die Sie nicht angefasst haben. Schauen Sie sich die zweite an: Es dauert zehn Minuten, und fast alle, die es tun, finden mindestens eine Sache, der sie nie zugestimmt hätten.