Datenschutzkonforme Umfragetools im Vergleich

Der Befund, der diese Seite strukturiert: In jeder verbreiteten Umfrageplattform, die wir geprüft haben, ist Anonymität eine Einstellung, die jemand aktivieren muss — und sie ist standardmässig aus. SurveyMonkey erfasst die IP-Adresse der teilnehmenden Person, solange Sie sie nicht in jedem Erhebungskanal deaktivieren. Qualtrics erfasst IP und Standort, solange die Option «Anonymize Response» nicht aktiviert ist. LimeSurveys Einstellung «Anonymisierte Antworten» steht standardmässig auf Nein, womit Antworten mit der Teilnehmendentabelle verknüpfbar bleiben. Nichts davon ist ein Skandal — für viele Forschungsdesigns ist es der sinnvolle Standard. Es heisst aber, dass der Satz «unsere Umfrage ist anonym» in fast jedem Tool am Markt eine Aussage über ein Häkchen ist und nicht über die Software.

Umfragen sind nicht einfach Formulare mit mehr Fragen. Der Unterschied: In einer Umfrage ist Anonymität häufig das Produkt — sie ist der Grund, warum Menschen ehrlich über ihre Vorgesetzten, ihre Gesundheit, ihren Lohn oder erlebte Belästigung antworten. Dieser Vergleich ist deshalb um Anonymitätsgarantien, Mindestfallzahlen, Kreuztabellen, Panel- und Quotensteuerung geordnet — und um die Frage, die in dieser Kategorie niemand laut stellt: Wo findet die Auswertung relativ zur Verschlüsselungsgrenze statt? Wir sagen ebenso klar, was eine Zero-Knowledge-Plattform aufgibt, denn für ernsthafte Umfrageforschung lautet die Antwort «ziemlich viel».

Was macht ein Umfragetool «datenschutzkonform»?

Der Begriff meint mindestens sechs verschiedene Dinge, und Anbieter lassen Sie gerne annehmen, sie meinten alle. Absteigend nach Schwierigkeit:

1. Der Anbieter kann die Antworten nicht lesen. Eine architektonische Eigenschaft. Erreichbar durch Ende-zu-Ende-Verschlüsselung oder durch Selbstbetrieb der Software.
2. Niemand in Ihrer Organisation kann eine Antwort einer Person zuordnen. Eine Designeigenschaft der Umfrage: keine Tokens, keine IP-Erfassung, kein Tracking auf Einladungsebene und keine Demografie-Kombination, die fein genug ist, jemanden herauszugreifen.
3. Die Antworten bleiben in einer Jurisdiktion Ihrer Wahl. Eine Hosting-Eigenschaft. Prüfbar an der Unterauftragsverarbeiter-Liste, nicht an einer Flagge auf der Website.
4. Das Tool trackt Teilnehmende nicht mit Cookies oder Skripten Dritter. Eine Eigenschaft der Umfrageseite, in dreissig Sekunden mit dem Netzwerk-Inspektor des Browsers prüfbar.
5. Es gibt einen Auftragsverarbeitungsvertrag, eine Unterauftragsverarbeiter-Liste und eine dokumentierte Aufbewahrungsregel. Eine vertragliche Eigenschaft — notwendig und die am leichtesten erhältliche der sechs.
6. Der Anbieter hält eine Zertifizierung. Eine Audit-Eigenschaft. Aussagekräftig — und oft mit dem ersten Punkt dieser Liste verwechselt, den sie gerade nicht impliziert.

Ein Tool kann die Punkte drei bis sechs perfekt erfüllen und an eins und zwei scheitern — das ist der Normalzustand dieses Markts. Unsere Checkliste für die Papierhälfte ist die nDSG-Checkliste für Formulare und Umfragen.

Der unbequeme Befund: Anonymität ist ein Standard, und der Standard ist «aus»

SurveyMonkey erfasst IP-Adressen pro Erhebungskanal, solange Sie das Tracking nicht ausschalten — und die Einstellung liegt an jedem Kanal, eine per Weblink und per E-Mail-Einladung verteilte Umfrage braucht den Schalter also zweimal. Die vollständige Behandlung anonymer Antworten inklusive Entfernen der IP-Adressen liegt auf den bezahlten Stufen; in Enterprise kann eine primäre Administration einen organisationsweiten Standard setzen. IP-Adressen werden zudem in Backend-Logs erfasst und nach dreizehn Monaten gelöscht — eine andere Frage als das, was in Ihrem Ergebnisexport erscheint.

Qualtrics erfasst IP-Adresse und daraus abgeleitete Standortdaten, solange die Option «Anonymize Response» für die Umfrage nicht aktiviert ist. Eine Verteilung über einen «anonymen Link» macht Antworten für sich genommen nicht anonym — sie heisst, dass keine Panel-Kennung angehängt wird, während die IP weiterhin standardmässig erfasst wird. Zu dieser Unterscheidung existiert eine kleine Bibliothek universitärer Ethikkommissions-Merkblätter, die Forschenden das Abschalten erklären; das sagt einiges darüber, wie oft sie übersehen wird.

LimeSurvey ist von den dreien am explizitesten und lohnt genaues Lesen, weil es zeigt, wie eine echte Anonymitätsgarantie in einer konventionellen Datenbank aussieht. «Anonymisierte Antworten» steht standardmässig auf Nein. Auf Ja gesetzt, gibt es keine Fremdschlüsselbeziehung zwischen Teilnehmendentabelle und Antworten, und das Einreichungsdatum wie das Abschlussdatum des Tokens werden beide auf 1980-01-01 00:00 gesetzt — weil sonst zwei Zeitstempel im Sekundenabstand die Einladung wieder mit der Antwort verknüpfen würden. Dieses Detail ist das Kennzeichen eines Designs, das das Problem ernst genommen hat, und zugleich die klarste Illustration, wie leicht Anonymität über Metadaten leckt, die niemand für Daten hielt.

Die sieben Plattformen einzeln

SurveyMonkey und Qualtrics — die Research-Suiten

SurveyMonkey ist der Volumenführer und die Standardantwort für Marketing- oder Kundenbefragungen. Es läuft auf AWS mit den USA als Standardregion, einer EU-Region in Dublin und einer kanadischen Region; das EU-Rechenzentrum ist auf SurveyMonkey Enterprise und GetFeedback Direct beschränkt, und vor 2019 eröffnete Konten können Fragen und Antworten gar nicht verschieben. Unsere Detailsicht steht im SurveyMonkey-Vergleich.

Qualtrics ist die Enterprise-Research-Plattform: die tiefste Logik, die stärkste Panel- und Quotensteuerung und Auswertungsfunktionen, an die auf dieser Liste nichts heranreicht. Es ist eine US-Plattform mit verfügbaren Regionen-Rechenzentren, wobei die Region vertraglich festgelegt wird — die Antwort auf «wo liegen unsere Daten» steht also in Ihrem Bestellformular und nicht in einem Hilfeartikel, und Sie sollten sie sich schriftlich geben lassen. Ist Ihre Anforderung eine Längsschnittstudie mit gewichteten Stichproben und komplexer Quotensteuerung, ist Qualtrics das Werkzeug, und keine verschlüsselte Eingangsplattform ersetzt es.

LimeSurvey — der selbst betriebene Platzhirsch

LimeSurvey ist der Standard an Schweizer Universitäten, Spitälern und kantonalen Verwaltungen, aus guten Gründen: unerreichte Fragenlogik-Tiefe, keine Kosten pro Antwort und eine Installation, die Sie durchgehend kontrollieren. Zwei Dinge gehören präzis gesagt. Erstens landen Antworten im Klartext in Ihrer MySQL-Datenbank — «selbst gehostet» beantwortet die Jurisdiktionsfrage und nicht die Vertraulichkeitsfrage, und wer Datenbankzugriff hat, liest alles. Zweitens bietet LimeSurvey Cloud Hosting in Australien, Kanada, Finnland, Deutschland, Singapur, Grossbritannien und den USA — die Schweiz fehlt —, und Anbieterin ist die LimeSurvey GmbH in Hamburg. Schweizer Datenhaltung mit LimeSurvey heisst: selbst auf Schweizer Infrastruktur installieren.

onlineumfragen.com und Findmind — die Schweizer Umfrageplattformen

onlineumfragen.com ist die ernsthafteste Schweizer Umfrage-Suite. Die onlineumfragen.com GmbH hat Sitz in Sarnen OW, die Nutzungsbedingungen halten fest, dass sämtliche Daten — Personendaten, Umfragedaten und Kontodaten — in eigenen gesicherten Rechenzentren in Zürich gespeichert werden und im Ausland nur Ping-Überwachungsserver stehen, und sie hält ein ISO/IEC-27001:2022-Zertifikat, das wir nicht haben. Steht auf Ihrer Beschaffungsliste wörtlich «ISO-27001-zertifizierte Schweizer Umfrageplattform», lautet die ehrliche Antwort onlineumfragen.com und nicht wir.

Findmind ist die kostenlose Schweizer Option. Der educa-Navigator, gepflegt von der Schweizer Fachagentur für Digitalisierung in der Bildung, nennt als Speicherort Basel, als Vertragspartner Fabian Keller ohne Unterauftragsverarbeiter, Schweizer Recht und Gerichtsstand St. Gallen; das BF-Tools-Verzeichnis der Universität Zürich listet umfassende Gratisfunktionen ohne Teilnehmendenlimite und ein einmaliges Premium-Abo von CHF 49 pro Umfrage. Für eine Lehrveranstaltungsevaluation oder eine Vereinsumfrage ist das schwer zu schlagen, und ein Monatsabo für Verschlüsselung zu zahlen, die man nicht braucht, wäre Overengineering.

Microsoft Forms — das, was Sie schon besitzen

Microsoft Forms ist für eine interne Kurzbefragung tatsächlich in Ordnung und bereits bezahlt. Die zwei Fakten, die über sensible Umfragen entscheiden: Ein Schweizer (EFTA-)Tenant landet in der europäischen Makroregion und nicht in einer Schweizer, und Forms trägt keine spezifische Datenresidenz-Zusage, obwohl die Schweiz eine Advanced-Data-Residency-Geografie ist — eine Tenant-Freigabe für Exchange, SharePoint und Teams deckt Forms also nicht ab. Dazu die Tenant-Admin-Frage, die bei einer Mitarbeitendenbefragung meist entscheidend ist. Details in Ist Microsoft Forms mit dem Schweizer Datenschutzrecht vereinbar und im Microsoft-Forms-Vergleich.

Schweizerform — verschlüsselter Eingang, keine Research-Suite

Schweizerform verschlüsselt jede Antwort im Browser der teilnehmenden Person; der Server speichert Chiffrat, das er nicht öffnen kann, und entschlüsselt wird in Ihrem Browser mit dem Tresorschlüssel. Verschlüsselte Einreichungen werden in der Schweiz bei Infomaniak gespeichert, die Umfrageseite lädt keine Tracker Dritter, und eine Umfragedefinition publiziert in DE, FR, IT und EN. Wir sind eine verschlüsselte Eingangsschicht — keine Umfrageforschungsplattform. Was das konkret heisst, steht im Abschnitt weiter unten, und wir hätten lieber, Sie lesen ihn vor der Entscheidung für uns als danach.

Die sieben im Vergleich

Die letzten beiden Spalten ziehen in entgegengesetzte Richtungen, und diese Spannung ist die ehrliche Zusammenfassung der ganzen Kategorie. Forschungstiefe entsteht daraus, dass die Plattform die Daten sehen, verknüpfen und modellieren kann. Anonymitätsgarantien entstehen daraus, dass sie es nicht kann. Es gibt kein Produkt, das beides maximiert, und wer das behauptet, beschreibt eine Richtlinie, keine Architektur.

Anonymitätsgarantien: Einstellung, Design oder Architektur?

Drei Stufen, und es lohnt zu wissen, welche man kauft. Eine Einstellung — die Plattform kann Teilnehmende identifizieren und wurde angewiesen, es nicht zu tun; umkehrbar, bestenfalls in den Logs des Anbieters nachvollziehbar und davon abhängig, dass niemand sie wieder aktiviert. Ein Design — die Umfrage erhebt gar keinen Identifikator: kein Token, kein personengebundener Einladungslink, kein Freitextfeld, das zur Namensnennung einlädt. Eine Architektur — die Plattform kann Antworten strukturell nicht lesen, womit sich die Anonymitätsfrage darauf reduziert, was die umfrageführende Stelle gefragt hat. Die von Umfragetexten meist verwischte Unterscheidung zwischen Anonymität und Pseudonymität steht in anonyme vs. pseudonyme Formulare.

Bei einer Mitarbeitendenbefragung zählt die Stufe mehr als in jedem anderen Anwendungsfall, weil die Person, vor der geschützt wird, in der Organisation sitzt und oft das Werkzeug kontrolliert. Eine von der Personalvertretung abgesegnete Umfrage, bei der die HR-Administration das Tracking technisch wieder einschalten kann, hat ein Governance-Problem, das keine Datenschutzerklärung löst. Genau diese Lücke schliesst eine verschlüsselte Plattform: nicht weil wir vertrauenswürdiger wären, sondern weil es keinen Schalter gibt, dem man vertrauen müsste.

Mindestfallzahlen und Kreuztabellen — wo Anonymität tatsächlich bricht

Anonymität scheitert selten an der Plattform. Sie scheitert im Reporting, und sie scheitert an der Arithmetik. Mindestbesetzungen von fünf oder zehn Antworten sind eine Konvention der statistischen Geheimhaltung und keine Schweizer Rechtsschwelle; es gibt sie, weil ein Team von neun Personen, aufgeschlüsselt nach Abteilung, Dienstalter und Geschlecht, Zellen der Grösse eins produziert. Jede zusätzliche Kreuztabellen-Dimension vervielfacht die Wege, auf denen jemand das einzige Mitglied seiner Gruppe wird. Freitext ist noch schlimmer: Menschen beschreiben Vorfälle, die nur sie erlebt haben, in ihrem eigenen Schreibstil — und keine Zellgrössenregel fängt das ab.

Die relevante Plattformfähigkeit ist deshalb nicht «unterstützt sie anonyme Antworten», sondern «hindert sie mich daran, eine Kreuztabelle zu publizieren, die jemanden identifiziert». Research-Suiten geben Ihnen die Werkzeuge, genau so einen Bericht zu bauen, und bestenfalls eine Warnung. Wir gehen den umgekehrten Weg und zählen jede Dimension unabhängig, ohne sie je zu kreuzen — für Forschung eine echte Einschränkung und für eine Umfrage in kleinen Populationen das richtige Verhalten. Die Arithmetik mit Rechenbeispielen steht in Wie viele Antworten braucht Anonymität.

Was eine Zero-Knowledge-Plattform aufgibt

Auf diesem Abschnitt bestand der Auftrag für diese Seite, zu Recht. Kann der Server die Antworten nicht lesen, kann er nichts berechnen, was von deren Inhalt abhängt. Was das kostet, ohne Weichzeichner:

Lesen Sie die letzten beiden Zeilen gegen die ersten vier. Ist Ihre Umfrage eine Marktforschungsstudie zur Markenwahrnehmung, ist die obere Hälfte dieser Tabelle Ihr Job, und Sie sollten Qualtrics oder SurveyMonkey kaufen. Fragt Ihre Umfrage Mitarbeitende, ob ihre Vorgesetzten Vergeltung üben, oder Patientinnen nach Symptomen, oder Schülerinnen nach Mobbing, ist die untere Hälfte Ihr Job — und die verlorene Auswertung war meist ohnehin eine, die Sie auf diesen Daten nicht hätten fahren sollen.

Wo die Auswertung relativ zur Verschlüsselungsgrenze stattfindet

Das ist die Frage, die die Produkte tatsächlich trennt, und fast niemand stellt sie. In einer konventionellen Plattform liegt die Grenze am Netzwerkrand: Daten sind bei Übertragung und im Ruhezustand verschlüsselt, und alles dahinter — Speicherung, Indexierung, Reporting, Dashboards, Exporte, Support-Werkzeuge — arbeitet auf Klartext. In einer Ende-zu-Ende-verschlüsselten Plattform liegt die Grenze im Browser der teilnehmenden Person, also muss alles, was Inhalte lesen muss, auf einem Gerät mit dem Schlüssel geschehen. Die Auswertung verschwindet nicht; sie wandert zu Ihnen.

Serverseitig überlebt alles, was ein Zählproblem und kein Leseproblem ist: Aufrufe, Starts, Abschlüsse, Abbruchpunkt, Bearbeitungsdauer, Geräteverteilung, gewählte Sprache und beantwortete Fragen pro Frage. Das sind die Kennzahlen, die Entscheidungen über das Erhebungsinstrument verändern, und keine davon verlangt zu wissen, was jemand geantwortet hat. Was genau gezählt und was bewusst nie gekreuzt wird, steht in Formular-Statistiken ohne Tracking.

Der praktische Ablauf ist also: Umfrage laufen lassen, Aggregatkennzahlen live beobachten, beim Schliessen exportieren und im Werkzeug auswerten, das Ihre Statistik ohnehin nutzt. Das ist ein echter Rückschritt gegenüber einem Live-Dashboard in Qualtrics und ein echter Fortschritt gegenüber einer Plattform, die zur Herausgabe lesbarer Antworten gezwungen werden kann. Welches von beidem der Fortschritt ist, entscheidet allein die Umfrage.

Welches Umfragetool eignet sich für ein Schweizer KMU?

Für die meisten Schweizer KMU meistens: eine in der Schweiz gehostete allgemeine Umfrageplattform für gewöhnliche Erhebungen und ein verschlüsseltes Tool für die zwei, drei Umfragen, bei denen Anonymität tragend ist. Konkret — onlineumfragen.com für eine zertifizierte Schweizer Suite mit echten Research-Funktionen, Findmind für kleine Umfragen ohne Budget, Microsoft Forms für die interne Kurzbefragung im ohnehin betriebenen Tenant, und Schweizerform für die Mitarbeitendenbefragung, den Meldekanal, den Patientenfragebogen und alles, wo die Ehrlichkeit der Antwort davon abhängt, dass niemand sie zurückverfolgen kann. Zwei Tools zu betreiben ist Scoping, kein Konsolidierungsversagen.

Welches Tool zu welcher Umfrage passt

Qualtrics oder SurveyMonkey, wenn …

… die Umfrage Forschung ist: repräsentative Stichproben, Quoten, Gewichtung, Wellen, Markentracking, Customer-Experience-Programme. Die Auswertung ist das Ergebnis, die Teilnehmenden sind einwilligende Personen und keine exponierten Insider, und die Plattform muss die Daten sehen, um ihre Arbeit zu tun. Lassen Sie sich die Hostingregion schriftlich geben und prüfen Sie die Anonymitätsstandards pro Erhebungskanal vor dem Start.

LimeSurvey, wenn …

… Sie institutionelle IT, komplexe Fragenlogik und eine Vorliebe für den eigenen Stack haben. Installieren Sie es auf Schweizer Infrastruktur, wenn Residenz zählt, setzen Sie «Anonymisierte Antworten» bewusst auf Ja statt zufällig — und behalten Sie im Blick, dass Ihre Datenbankadministration jede Antwort lesen kann. Das ist unproblematisch, wenn sie denselben institutionellen Regeln untersteht wie die Forschenden, und problematisch, wenn die Umfrage von ihr handelt.

onlineumfragen.com oder Findmind, wenn …

… Sie eine Schweizer Plattform wollen, ohne selbst eine zu betreiben. onlineumfragen.com für professionelle Forschung mit ISO/IEC 27001:2022 auf der Anforderungsliste; Findmind für eine kostenlose, kleine, wenig sensible Umfrage, bei der Speicherort Basel und Schweizer Gerichtsstand genügen. Beides sind ehrliche Schweizer Antworten, und für einen grossen Teil der Schweizer Umfragearbeit die richtigen.

Schweizerform, wenn …

… der Grund für Anonymität ist, dass die wahrheitsgemässe Antwort die teilnehmende Person etwas kosten könnte. Mitarbeitendenbefragungen, deren Befund eine namentlich bekannte Führungskraft betrifft, Gesundheitsfragebögen, Meldekanäle, Befragungen von Patientinnen, Lernenden oder Asylsuchenden, Forschung zu stigmatisiertem Verhalten. Sie geben serverseitige Auswertung auf und erhalten eine Garantie, die einen Führungswechsel, eine behördliche Anordnung und eine neugierige Administration überlebt. Die Sicherheitsseite beschreibt den Mechanismus.

Das Fazit

Jede Plattform in diesem Vergleich lässt sich datenschutzkonform betreiben, und die meisten Schweizer Organisationen kommen mit einer in der Schweiz gehosteten Suite plus schriftlicher Aufbewahrungsregel am schnellsten dorthin. Die engere Frage — überlebt das Anonymitätsversprechen, dass jemand seine Meinung dazu ändert — hat auf dieser Liste nur zwei Antworten: die Software selbst betreiben und kontrollieren, wer die Datenbank anfasst, oder eine Plattform nutzen, die die Antworten gar nicht lesen kann. Entscheiden Sie, welche Ihrer Umfragen diese Versprechensstufe braucht, bevor Sie sich für alle auf ein Tool festlegen.