Ist Microsoft Forms datenschutzkonform in der Schweiz?

Die Frage taucht in jeder Schweizer Organisation auf, die Microsoft 365 bezahlt — meist in der Woche, in der jemand ein HR-Eingangsformular in Forms baut, weil es ohnehin da war. Die ehrliche Antwort ist nützlicher als die beiden, die man üblicherweise hört. Sie lautet weder «Microsoft ist nicht konform» — das ist falsch und leicht zu widerlegen — noch «wir haben den Microsoft-AVV, also passt es», denn das beantwortet eine andere Frage. Microsoft Forms ist für die meisten Schweizer Bearbeitungen zulässig, und vier konkrete Fakten entscheiden, wann es aufhört, die richtige Wahl zu sein.

Wenn Ihre Frage lautet, ob Forms verschlüsselt ist, haben wir das separat in ist Microsoft Forms verschlüsselt beantwortet — kurz: ja, auf dem Transportweg und im Ruhezustand, mit Microsoft als Schlüsselinhaber. Dieser Beitrag fragt, ob es in der Schweiz zulässig ist, und das ist eine andere Prüfung mit einer anderen Antwort.

Was das nDSG hier tatsächlich von Ihnen verlangt

Beginnen wir mit der Struktur, denn sie ist einfacher als die Debatte darum. Wer ein Cloud-Formularwerkzeug einsetzt, ist Verantwortlicher, und Microsoft ist Auftragsbearbeiterin im Sinn von Art. 9 nDSG. Die Verantwortung bleibt bei Ihnen. Was Sie schulden, ist eine kurze und prüfbare Liste.

1. Ein Auftragsbearbeitungsvertrag mit der Bearbeiterin. Microsofts Data Protection Addendum als Teil der Online-Services-Bedingungen ist das Dokument — Sie verhandeln es nicht, Sie finden und ablegen es. Was drinstehen muss und was es nicht leistet, steht in Auftragsverarbeitungsvertrag für Formular-Tools.
2. Eine Grundlage für die Auslandbekanntgabe. EU- und EWR-Staaten stehen auf der Schweizer Angemessenheitsliste (Anhang 1 der Datenschutzverordnung), EU/EFTA-Speicherung braucht also keine Standardklauseln. Aber die Microsoft Corporation ist ein US-Konzern, und Unterauftragsbearbeiter sowie Supportzugriffe muss man ansehen, nicht wegannehmen. Vollständige Analyse in welche Formulardaten die Schweiz verlassen dürfen.
3. Transparenz nach Art. 19. Teilnehmende müssen erfahren, wer der Verantwortliche ist, wozu bearbeitet wird, wer Empfänger ist und welche Staaten betroffen sind. «Microsoft» gehört in diesen Hinweis, nicht nur in Ihr internes Verzeichnis.
4. Verhältnismässigkeit und Zweckbindung nach Art. 6. Die am häufigsten verfehlte Anforderung — und sie hat mit Microsoft nichts zu tun: Es geht darum, welche Felder auf dem Formular stehen.
5. Risikoangemessene Sicherheit nach Art. 8 — hier wird aus der Frage «wer kann das lesen» eine Compliance-Prüfung statt einer Philosophie.
6. Ein Eintrag im Bearbeitungsverzeichnis, der Microsoft als Auftragsbearbeiterin, den Speicherort EU/EFTA und die Datenkategorie nennt.

Beachten Sie, was nicht auf der Liste steht: irgendeine Pflicht, die Daten in der Schweiz zu speichern. Für private Verantwortliche kennt das Schweizer Recht keine solche Regel. Der Standort zählt aus anderen Gründen — Dokumentationsaufwand, Verfahrensreibung, Branchenschichten —, und die legen wir in Serverstandort Schweiz bei Formularen dar.

Die vier Schweiz-spezifischen Fakten, die die meisten Tenants falsch haben

1. Die EU Data Boundary ist keine Schweizer Grenze

Microsofts EU Data Boundary ist eine echte technische Zusage, die den grössten Teil der Microsoft-365-Dienstdaten in EU- und EFTA-Regionen hält. Die Schweiz ist EFTA-Staat, Schweizer Tenants landen in der europäischen Makroregion — weshalb die Zusage intern oft als «unsere Daten bleiben in Europa» berichtet und dann still auf «unsere Daten bleiben hier» gerundet wird. Das sind verschiedene Aussagen. Die Daten Schweizer Teilnehmender in einem EU-Rechenzentrum zu speichern ist eine Auslandbekanntgabe: nach Art. 16 wegen Angemessenheit zulässig — und etwas, das Sie in Verzeichnis und Datenschutzhinweis benennen können müssen.

2. Forms fällt nicht unter Advanced Data Residency

Dieser Punkt erwischt gerade die sorgfältigen Organisationen, und er verdient Präzision statt Polemik. Die Schweiz ist eine Advanced-Data-Residency-Region, ein Schweizer Tenant kann also Exchange Online, SharePoint, OneDrive und Teams in der Schweiz halten. Forms hingegen zählt zu den zusätzlichen Diensten ohne spezifische Standortzusage. Die praktische Folge: Ein Kanton, ein Spital oder eine Schule, die Schweizer Residenz beschafft hat und annimmt, sie gelte tenantweit, hat in der eigenen Dokumentation eine falsche Aussage, sobald jemand ein Formular baut. Prüfen Sie die aktuelle Dienstliste, bevor Sie sich in die eine oder andere Richtung darauf stützen — Microsofts Abdeckung ändert sich.

3. Tenant-Administratorinnen können Antworten lesen — konstruktionsbedingt

Microsoft 365 bringt eDiscovery-, Aufbewahrungs- und Auditwerkzeuge genau deshalb mit, damit eine Organisation Inhalte für rechtliche und Governance-Zwecke suchen, sichern und herausgeben kann. Das ist eine legitime und oft rechtlich verlangte Fähigkeit. Es heisst zugleich, dass die ehrliche Antwort auf «wer kann diese Einsendung lesen» die Formularinhaberin, Mitautorinnen, Gruppenmitglieder, Ihre Tenant-Administration und Microsoft als Bearbeiterin darunter umfasst. Für eine Mittagsumfrage ist diese Liste in Ordnung. Für ein Beschwerdeformular ist sie genau die Liste, vor der Ihre Teilnehmenden Angst haben — und keine Einstellung entfernt sie, weil es keine Fehlkonfiguration ist.

4. Das Berufsgeheimnis reicht weiter als das Datenschutzrecht

Art. 321 StGB bindet Ärztinnen, Zahnärzte, Apothekerinnen, Psychologen, Anwältinnen — und ihre Hilfspersonen. Dieser letzte Begriff ist der für Software entscheidende: Wer im Rahmen der beruflichen Tätigkeit auf die geschützten Informationen zugreifen kann, steht innerhalb des Geheimnisbereichs. Ein AVV entbindet nicht von Art. 321 — er ist ein datenschutzrechtliches, kein strafrechtliches Instrument. Für eine Praxis ist der sauberste Weg, eine Anbieterin ausserhalb dieses Bereichs zu halten, ein Werkzeug, bei dem sie nichts entschlüsseln kann; das Argument führen wir in Gesundheitsdaten in Formularen erheben aus.

Wo Microsoft Forms völlig in Ordnung ist

Das gehört klar gesagt, denn eine Compliance-Kultur, die jedes Werkzeug als Bedrohung behandelt, verliert das Argument dann, wenn es zählt. Sind die Daten gewöhnlich und das Publikum intern, ist Forms bequem, bereits bezahlt, in Ihre Identitätsverwaltung integriert und auf dem Transportweg wie im Ruhezustand verschlüsselt. Etwas anderes einzusetzen hiesse, für Schutz zu zahlen, den die Daten nicht verlangen.

Kantonale Verwaltungen, Spitäler und Schulen

Öffentliche Organe haben am ehesten bereits eine formelle Antwort — und am ehesten eine, die Forms nicht abdeckt. Je nach Stelle gilt kantonales Datenschutzrecht statt oder neben dem eidgenössischen nDSG, und viele Kantone und Institutionen haben eigene Microsoft-365-Beurteilungen mit Auflagen erstellt: Datenkategorien, die nicht bearbeitet werden dürfen, Konfigurationsanforderungen oder eine Beschränkung auf bestimmte Dienste.

Der schärfste externe Bezugspunkt ist hier die privatim-Resolution vom November 2025 zu internationalen Cloud-Diensten. Sie hält den Einsatz von Anbietern mit ausländischem Zugriff nur in engen Fällen für zulässig — mit der bemerkenswerten Ausnahme, dass das öffentliche Organ die Daten selbst verschlüsselt und der Anbieter keinen Schlüssel hält. Diese Ausnahme lohnt genaues Lesen, denn sie beschreibt exakt die Architektur, die es einer Stelle erlaubt, einen Cloud-Dienst für Inhalte zu nutzen, die sie sonst nicht dorthin geben könnte.

Wenn Sie bei Forms bleiben: diese sechs Dinge

Wann etwas anderes — und was sich dadurch ändert

Der Auslöser ist nicht Sensibilität im Abstrakten, sondern die Frage, ob die Lesbarkeit der Daten durch Ihre Administration und durch die Anbieterin ein Problem ist. Wenn ja, ist die Lösung architektonisch statt vertraglich: Ende-zu-Ende-Verschlüsselung, bei der die Antwort im Browser der teilnehmenden Person verschlüsselt wird und nur die Schlüsselinhaberin entschlüsseln kann. Eine Tenant-Administration sieht Geheimtext. eDiscovery findet Geheimtext. Eine Anordnung an die Anbieterin produziert Geheimtext. Das ist eine wirklich andere Eigenschaft als «im Ruhezustand mit anbietereigenen Schlüsseln verschlüsselt» — und die einzige, die die Leseliste verändert.

Sie kostet auch etwas, und das gehört gesagt: keine serverseitige Suche in Antworten, keine anbieterseitige Inhaltsanalyse und keine Wiederherstellung bei Schlüsselverlust. Die meisten Organisationen landen bei einer sinnvollen Aufteilung — Forms für interne, unkritische Erhebungen im ohnehin bezahlten Tenant, und ein verschlüsseltes Werkzeug für den engen Kreis von Formularen, deren Inhalt in falschen Händen echten Schaden anrichtet. Zwei Werkzeuge zu führen ist Abgrenzung, kein Konsolidierungsversagen. Der Funktionsvergleich steht in Schweizerform vs. Microsoft Forms.

Fazit

Ist Microsoft Forms datenschutzkonform in der Schweiz? Für gewöhnliche interne Daten ja — mit abgelegtem AVV, dokumentiertem EU/EFTA-Standort, Microsoft im Datenschutzhinweis und einer verhältnismässigen Feldliste. Die Schweiz-spezifischen Fallen sind, dass die EU Data Boundary keine Schweizer Grenze ist, dass Advanced Data Residency Forms nicht erfasst und dass die Lesbarkeit von Antworten durch die Administration eine Entwurfseigenschaft ist und keine Einstellung.

Für vertrauliche Eingänge — HR-Beschwerden, Hinweisgebermeldungen, Patienten- und Mandantendaten unter Berufsgeheimnis — ändert sich die Antwort, und zwar aus einem Grund, den kein Vertrag adressieren kann: Jemand ausser der vorgesehenen Person kann die Einsendung lesen. Das ist die ganze Prüfung — und sie lohnt sich bei jedem Werkzeug, das Sie evaluieren, auch bei unserem.