Formstack-Alternativen für vertrauliche HR-Daten

HR ist die schwierigste Formularkategorie dieses Markts, und der Grund ist strukturell und nicht technisch. In jedem anderen Anwendungsfall heisst «wer kann die Daten lesen» der Anbieter und die eigene IT. In HR heisst es zusätzlich: die in der Beschwerde genannte Führungskraft, die HR-Businesspartnerin, deren Bereich Gegenstand des Austrittsgesprächs ist, und die Administration, die zufällig zwei Tische neben der meldenden Person sitzt. Ein Tool kann enterprise-tauglich, zertifiziert und schön verschlüsselt sein und trotzdem an einem HR-Einsatz scheitern, weil es darauf keine Antwort hat.

Diese Seite bewertet Formstack und fünf Alternativen deshalb nur an fünf Kriterien: wer auf Anbieterseite Einreichungen lesen kann, wie fein sich der Zugriff innerhalb Ihrer Organisation trennen lässt, welche Aufbewahrungssteuerung es für Beschwerde- und Austrittsdaten gibt, ob EU- oder Schweizer Hosting vorliegt, und ob nachvollziehbar ist, wer was angeschaut hat. Funktionsbreite, Vorlagen und Integrationen stehen bewusst nicht auf der Liste.

Die fünf Kriterien, die einen HR-Einsatz entscheiden

1. Wer auf Anbieterseite Einreichungen lesen kann. Für einen anonymen Meldekanal ist das der Unterschied zwischen einem Versprechen und einer Eigenschaft. At-Rest-Verschlüsselung mit anbietereigenen Schlüsseln heisst: Der Anbieter kann entschlüsseln. Ende-zu-Ende-Verschlüsselung heisst: Er kann es nicht.
2. Rollentrennung in Ihrer Organisation. Lässt sich verhindern, dass die kontoführende Administration die Antworten eines bestimmten Formulars liest? Kann eine untersuchende Person Lesezugriff erhalten, ohne Bearbeitungsrechte zu bekommen? Die meisten Formular-Tools antworten «nein» und «nein».
3. Aufbewahrungssteuerung. Beschwerdeakten, Austrittsgespräche und Untersuchungsunterlagen haben definierte Lebensdauern. Die Frage ist, ob das Tool bei der Durchsetzung hilft oder ob das Löschen daran hängt, dass sich jemand erinnert.
4. Hosting und Jurisdiktion. Für eine Schweizer Arbeitgeberin mit EU-Personal oder eine EU-Arbeitgeberin unter der Whistleblowing-Richtlinie bestimmt der Ort der Daten, mit welcher Behörde und welchem Transfermechanismus Sie es zu tun haben.
5. Audit-Protokollierung. Nach Abschluss einer Untersuchung ist «wer hat diese Akte wann geöffnet» eine Frage, die Sie einem Gericht, einer Personalvertretung oder einer Aufsichtsbehörde beantworten müssen.

Unter allen fünf liegt ein rechtlicher Punkt, und er ist der Grund, warum Schweizer Mitarbeitende zögern, überhaupt etwas einzureichen. Nach Art. 336a OR bleibt eine missbräuchliche Kündigung gültig — das Arbeitsverhältnis endet — und die Entschädigung ist auf sechs Monatslöhne begrenzt, wobei die zugesprochenen Beträge in der Praxis meist deutlich darunter liegen. Wer abwägt, ob er seine Führungskraft meldet, wägt gegen diese Zahl ab. Alles in Ihrem Prozess, was Identität auffindbar lässt, wird daran gemessen. Die Schweizer Lage vollständig in Whistleblowing in der Schweiz.

Formstack — und was sich mit Intellistack geändert hat

Formstack ist lange die Standardantwort für Enterprise-HR-Formulare gewesen, und die Gründe sind real: tiefe Workflow- und Freigabe-Steuerung, Dokumentenerzeugung und E-Signatur in derselben Produktfamilie, Bedingungslogik sowie ein Enterprise-Vertriebs- und Supportmodell, das Beschaffungsabteilungen kennen. Ist Ihr HR-Eingang ein mehrstufiger Prozess mit Freigaben und erzeugten Dokumenten, erledigt es diese Arbeit gut.

Drei Dinge gehören vor einem HR-Einsatz klar ins Blickfeld. Erstens liegt das Hosting in den Vereinigten Staaten: Formstacks eigene Datensicherheitsunterlagen nennen AWS in den USA als Hosting-Anbieter, und wir fanden keine publizierte EU- oder Schweizer Residenz-Option. Für eine Schweizer verantwortliche Person ist das eine Bekanntgabe ins Ausland nach Art. 16 DSG mit dokumentiertem Mechanismus — häufig verfügbar über das Swiss–U.S. Data Privacy Framework, aber es muss aufgeschrieben sein. Zweitens sitzen die stärksten Compliance-Funktionen zuoberst in der Preisliste: HIPAA-Abdeckung und ein BAA kommen mit Enterprise-Verträgen, und das Produkt ist modular, ein Ablauf über Formulare, Dokumente und Signatur sammelt also mehrere Abos an. Drittens ist die Verschlüsselung At-Rest mit anbietereigenen Schlüsseln — gute Praxis und keine Hürde für den Anbieter selbst.

Die Suchanfragen zu «formstack china», die um dieses Produkt auftauchen, handeln nach unserer Lesart nicht wirklich von China. Sie sind die Frage, die jede HR-Beschaffung irgendwann in irgendeiner Form stellt: Wohin gehen diese Daten, und wer — Support und Entwicklung eingeschlossen — kommt daran? Diese Frage beantworten eine Unterauftragsverarbeiter-Liste und eine Support-Zugriffsrichtlinie, keine Länderraterei. Verlangen Sie beides schriftlich; ein Anbieter, der beides rasch liefert, sagt Ihnen etwas Nützliches. Unsere Detailsicht steht im Formstack-Vergleich.

Die fünf Alternativen

Jotform — Breite, mit HIPAA hinter einer Stufe

Jotform ist funktional der nächstliegende Ersatz und deutlich günstiger: Tausende Vorlagen, Freigaben, PDF-Erzeugung, Integrationen. Für HR zählen die Abo-Stufen — HIPAA-Funktionen beginnen bei Gold zu USD 129 pro Monat, und konfigurierbare Datenresidenz gibt es nur mit Enterprise, während Antwortdaten sonst auf Google Cloud in Iowa und Frankfurt liegen. Jotform betreibt zudem teilnehmendenseitige KI-Agenten; setzen Sie diese auf einem HR-Kanal ein, haben Sie dem Pfad einen Modellanbieter hinzugefügt — durchgearbeitet in KI-Formular-Generatoren im Vergleich.

Microsoft Forms — gratis, längst da und hier meist die falsche Wahl

Es ist im Tenant, kostet nichts extra und ist für eine interne Kurzbefragung in Ordnung. Für vertraulichen HR-Eingang scheitert es meist schon am zweiten Kriterium: Tenant-Administrationen erreichen die Antwortdaten, und in den meisten Organisationen sitzen sie im selben Unternehmen wie die gemeldete Führungskraft. Dazu kommt, dass ein Schweizer (EFTA-)Tenant in der europäischen Makroregion landet und Forms keine spezifische Datenresidenz-Zusage trägt — eine Advanced-Data-Residency-Freigabe für Exchange, SharePoint und Teams erstreckt sich also nicht darauf. Details in Ist Microsoft Forms mit dem Schweizer Datenschutzrecht vereinbar.

Tally — EU-gehostet und günstig, ohne HR-spezifische Steuerung

Tally BV ist belgisch, Formulardaten werden bei Übertragung und im Ruhezustand verschlüsselt und in Europa gespeichert, ein Auftragsverarbeitungsvertrag wird bei der Kontoeröffnung akzeptiert, und der Gratis-Tarif ist ungewöhnlich grosszügig. Für gewöhnliche HR-Administration — Schulungsanmeldung, Materialbestellung, Benefits-Anmeldung — ist es eine vernünftige, günstige Antwort, die die Daten in der EU hält. Für vertraulichen Eingang ist es nicht gebaut: Lesen Sie die Unterauftragsverarbeiter-Liste, die über sechzehn Einträge umfasst, und beachten Sie, dass der Anbieter Einreichungen wie jede konventionelle Plattform lesen kann.

Selbstbetrieb (Nextcloud Forms, LimeSurvey) — Souveränität ohne Vertraulichkeit

Selbstbetrieb entfernt den Anbieter vollständig, was echten Wert hat — und für HR das Problem eher verschiebt als löst. Antworten liegen im Klartext in einer Datenbank, die Ihre eigene IT administriert, und Nextclouds serverseitige wie Ende-zu-Ende-Verschlüsselung erfassen Forms-Antworten überhaupt nicht, weil das App-Daten und keine Dateien sind. Für einen Beschwerdekanal ist «nur unsere eigene IT kann es lesen» häufig der Einwand und nicht die Beruhigung. Details in Schweizerform vs. Nextcloud Forms und Schweizerform vs. LimeSurvey.

Schweizerform — gebaut für den Fall, dass die lesende Person das Risiko ist

Antworten werden im Browser der mitarbeitenden Person verschlüsselt; der Server speichert Chiffrat, entschlüsselt wird im Browser derjenigen, die den Tresorschlüssel halten. Das ist die Eigenschaft, die ein anonymer Kanal wirklich braucht: keine Richtlinie, dass HR nicht hinschauen wird, sondern eine Architektur, in der wir es nicht können und in der nur die benannten Schlüsselhaltenden es können. Der Zugriff in Ihrer Organisation wird über Workspace-Rollen getrennt — Owner, Admin, Member und Viewer, wobei Viewer nur lesen darf —, sodass eine untersuchende Person Zugriff auf einen Workspace erhält, ohne Rechte am Rest zu bekommen. Verschlüsselte Einreichungen werden in der Schweiz gespeichert, die Formularseite trägt weder Tracker noch Cookies, und eine Formulardefinition publiziert in DE, FR, IT und EN — relevant für jede Arbeitgeberin mit Personal über die Sprachregionen hinweg.

Direkter Vergleich an den HR-Kriterien

Die erste Spalte trennt einen HR-Kanal von einem HR-Formular. Alles andere in dieser Tabelle lässt sich kaufen oder konfigurieren; die erste Spalte ist eine Eigenschaft der Architektur und lässt sich nicht kaufen.

Aufbewahrung — das Kriterium, das alle zu vage lassen

Beschwerdeakten, Untersuchungsunterlagen und Austrittsgespräche haben Lebensdauern, und die Lebensdauer ist selten «für immer». Arbeitsrecht, Vereinbarungen mit der Personalvertretung und Ihre eigene Richtlinie setzen die Frist; der praktische Fehler ist, dass nichts sie durchsetzt — ein Ordner mit Austrittsgesprächen von 2019 ist 2026 noch lesbar für die Person, die das Konto geerbt hat. Stellen Sie jedem Anbieter zwei Fragen: Lässt sich eine Aufbewahrungsfrist pro Formular setzen, und entfernt das Löschen die Daten auch aus Backups und Exporten und nicht nur aus der Oberfläche?

Unsere eigene ehrliche Position, formuliert so, wie wir es von Anbietern verlangen: Wir bieten derzeit keine automatische Aufbewahrungsregel pro Formular. Löschen führen Sie aus — einzeln oder als Stapel — und wenn Sie es tun, ist es ein hartes Löschen der Datensätze und der gespeicherten Objekte, kein verstecktes Flag. Was wir nicht tun: eine Automatik andeuten, die es nicht gibt. Legen Sie die Frist in Ihrer Richtlinie fest, terminieren Sie sie und nutzen Sie das Stapellöschen; den Rahmen für vertretbare Fristen liefert Aufbewahrungsfristen für Formulardaten, und was «gelöscht» plattformübergreifend heisst, steht in Formulardaten exportieren, mitnehmen und löschen.

Anonymität: was HR-Formulare tatsächlich brauchen

Zwei verschiedene Dinge heissen anonym, und ihre Vermischung ist der Grund, warum HR-Versprechen brechen. Anonym heisst: Nichts Erhobenes kann die Person identifizieren, Metadaten und Freitext eingeschlossen. Pseudonym heisst: Identität existiert, ist aber getrennt — eine Fallnummer, ein Rückkanal, die Möglichkeit nachzufragen. Meldekanäle brauchen meist das Zweite, weil eine Meldung, die sich nicht klären lässt, häufig nicht untersucht werden kann; Mitarbeitendenbefragungen meist das Erste. Wählen Sie falsch, können Sie entweder nicht handeln oder Ihr Versprechen nicht halten. Die Unterscheidung steht in anonyme vs. pseudonyme Formulare.

Was auch immer Sie wählen: Drei Dinge brechen Anonymität in der Praxis, nach Häufigkeit geordnet — demografische Aufschlüsselungen im Reporting, wo kleine Teams, gekreuzt nach Dienstalter und Funktion, Zellen der Grösse eins ergeben; Freitext, wo Menschen Vorfälle beschreiben, die nur sie erlebt haben; und Metadaten, wo ein Zeitstempel und eine IP-Adresse genügen, um zu erkennen, wer um 23:14 aus dem Bürennetz eingereicht hat. Die Arithmetik steht in Wie viele Antworten braucht Anonymität, die Metadatenfrage — inklusive dem, was wir pro Einreichung speichern und was bewusst nicht — in IP-Adressen und Formular-Metadaten.

Preise — und warum modulare Preise gerade in HR wehtun

Formstack ist deutlich über dem allgemeinen Formular-Markt positioniert und wird modular verkauft, ein HR-Ablauf über Formulare, erzeugte Dokumente und Signatur kann also bei mehreren Abos landen; HIPAA-Abdeckung und die stärksten Enterprise-Kontrollen liegen zuoberst und werden offeriert statt gelistet. Prüfen Sie die aktuelle Struktur direkt, gerade wegen des Übergangs zu Intellistack. Jotforms HIPAA-Funktionen beginnen bei Gold zu USD 129 pro Monat, Datenresidenz bleibt Enterprise vorbehalten. Tally kostet USD 24 für Pro und USD 74 für Business. Microsoft Forms steckt in einem Abo, das Sie schon haben. Selbstbetrieb kostet Infrastruktur plus die Personalzeit für den sicheren Betrieb.

Schweizerform bietet Gratis, Pro zu CHF 19 pro Monat und Business zu CHF 49 pro Monat, mit Ende-zu-Ende-Verschlüsselung, Schweizer Speicherung der verschlüsselten Einreichungen und dem Workspace-Rollenmodell ohne Enterprise-Verhandlung. Wir sind nicht das leistungsfähigere Workflow-Produkt — wir sind das, bei dem die Vertraulichkeitseigenschaft keine Tarifstufe ist. Die aktuellen Limiten stehen auf der Preisseite.

Welche Alternative zu welcher HR-Aufgabe

Bei Formstack bleiben, wenn

• der Wert im Workflow liegt: mehrstufige Freigaben, erzeugte Dokumente, E-Signatur und Anbindung an ein HRIS
• die Formulare administrativ und nicht vertraulich sind — Onboarding-Papiere, Material, Benefits, Schulungen
• das US-Hosting dokumentiert und in Ihrer Transferbeurteilung akzeptiert ist und der Vertrag mit dem neuen Firmennamen vorliegt

Zu Jotform oder Tally wechseln, wenn

• die Kosten der Treiber sind und die Daten gewöhnliche HR-Administration
• Sie EU-Hosting ohne Enterprise-Verhandlung wollen — besonders Tally
• Sie die Unterauftragsverarbeiter-Liste gelesen haben und damit leben, dass der Anbieter die Einreichungen lesen kann

Zu Schweizerform wechseln, wenn

• der Kanal eine Beschwerdestelle, ein Meldekanal, eine Belästigungsmeldung, ein Austrittsgespräch oder eine Gesundheitserklärung ist
• die Person, vor der das Formular Mitarbeitende schützt, plausibel administrativen Zugriff auf das Tool haben könnte
• Mitarbeitende dem Anonymitätsversprechen glauben sollen — und «im Browser verschlüsselt, niemand hier kann es lesen» der Satz ist, der sie glauben lässt
• Sie denselben Kanal in DE, FR, IT und EN über die Sprachregionen hinweg brauchen
• verschlüsselte Einreichungen in der Schweiz für Personalvertretung, Datenschutzberatung oder Rechtsabteilung zählen

Die realistische Antwort: den Bestand aufteilen

Niemand sollte einen ganzen HR-Formularbestand migrieren, um drei Formularen gerecht zu werden, und niemand sollte einen Meldekanal auf demselben Tool betreiben wie den Parkplatzantrag, weil Konsolidierung ordentlich aussah. Behalten Sie das Workflow-Produkt für den Workflow — Onboarding, Freigaben, Dokumente, Signatur — und legen Sie den vertraulichen Eingang auf eine Plattform, bei der die Vertraulichkeit strukturell ist. In den meisten Organisationen sind das drei bis sechs Formulare von sechzig, und es ist die günstigste Risikoreduktion, die HR-Technologie zu bieten hat. Die vertikale Sicht steht im Anwendungsfall HR und Meldestellen, die EU-Pflichten — 7 Tage Empfangsbestätigung, 3 Monate Rückmeldung, mehrsprachiger Eingang — in der EU-Whistleblowing-Richtlinie.