Google-Forms-Alternativen für datenschutzbewusste Teams

Zuerst die kurze Antwort. Wenn Ihr Einwand gegen Google Forms lautet, dass ein US-Unternehmen lesbare Kopien Ihrer Antworten hält, beheben das nur zwei der acht Alternativen auf dieser Seite wirklich: eine Ende-zu-Ende-verschlüsselte Plattform wie Schweizerform oder CryptPad Forms — oder eine Instanz von Nextcloud Forms, LimeSurvey oder Formbricks, die Sie selbst betreiben. Alles andere — Tally, Typeform, Jotform, Microsoft Forms — verschiebt die lesbare Kopie zu einem anderen Unternehmen, meist in der EU. Das ist für europäische Organisationen eine echte Verbesserung, und es ist nicht dieselbe Verbesserung.

Diese Seite ist deshalb eine Auswahlliste und kein Pitch. Das Wort «Alternative» verbirgt drei verschiedene Anforderungen — eine andere Jurisdiktion, ein anderes Geschäftsmodell oder ein anderes Bedrohungsmodell — und das Tool, das eine davon erfüllt, erfüllt selten auch die anderen. Wir nehmen die acht Kandidaten einzeln durch, sagen, was jeder gegenüber Google Forms tatsächlich ändert, nennen Preise, schätzen den Migrationsaufwand und schliessen mit den Fällen, in denen Bleiben bei Google Forms die richtige Entscheidung ist.

Was ist an Google Forms datenschutzseitig eigentlich das Problem?

Seien wir präzis, denn die lockere Fassung dieses Vorwurfs lässt sich leicht widerlegen und schwächt damit das ganze Argument. Google Forms ist verschlüsselt: TLS bei der Übertragung, Verschlüsselung im Ruhezustand in Googles Infrastruktur, mit Schlüsseln bei Google. Google hält fest, dass Workspace-Kundendaten nicht für Werbung und nicht zum Training generativer KI-Modelle ausserhalb des Dienstes verwendet werden. Das Produkt wird von einer der besten Security-Engineering-Organisationen der Welt professionell betrieben. Kaum etwas auf der Liste unten schlägt Google bei der reinen operativen Sicherheit.

Die Lücke ist nicht die Verschlüsselung. Sie liegt bei Zugriff, Jurisdiktion und Kontotyp. Fünf konkrete Punkte treiben Teams von Google Forms weg:

• Der Anbieter kann die Antworten lesen. Verschlüsselung mit anbietereigenen Schlüsseln schützt vor einer gestohlenen Festplatte, nicht vor dem Anbieter, seinen Support-Werkzeugen oder einer an ihn gerichteten behördlichen Anordnung. Das ist kein Google-Fehler — so arbeitet fast jede Formularplattform.
• Auch Ihre Workspace-Administration kann mitlesen. Domain-Admins können auf Dateien und Antworten in der Organisation zugreifen. Für ein Beschwerdeformular, ein Hinweisgebersystem oder eine Mitarbeitendenbefragung ist genau das häufig der Ausschlussgrund — und er hat mit Google nichts zu tun.
• Es gibt keine Schweizer Region. Die Workspace-Datenregionen decken Forms zwar ab, zur Wahl stehen aber «keine Präferenz», die USA oder Europa. Die Schweiz fehlt, und die Google-Cloud-Region Zürich ist Google Cloud Platform, nicht Workspace.
• Datenregionen sind ein Abo-Merkmal. Sie setzen eine unterstützte Workspace-Edition voraus — Business Standard/Plus, Enterprise Standard/Plus, Education Standard/Plus, Frontline oder Enterprise Essentials Plus. Im kostenlosen Consumer-Produkt gibt es gar keine Regionssteuerung.
• Consumer-Konten sind ein anderer Vertrag. Ein Formular aus einem privaten @gmail.com-Konto läuft unter den Consumer-Nutzungsbedingungen, nicht unter einem Workspace-Vertrag: kein Auftragsverarbeitungsvertrag, keine Admin-Steuerung, keine Datenregionen. Erstaunlich viele Organisationsformulare entstehen still auf diesem Weg.

Die Sicherheitsfrage arbeiten wir in Ist Google Forms sicher? durch, die Schweizer Rechtsfrage in Google Forms in der Schweiz rechtskonform nutzen. Die Kurzfassung der zweiten: Verboten ist es nicht, es ist eine Dokumentationsaufgabe nach Art. 16 und 17 DSG — bis eine Berufsgeheimnispflicht oder eine wirklich besonders schützenswerte Datenkategorie ins Spiel kommt.

Die acht Alternativen — und was jede tatsächlich ändert

Wenn die Anforderung lautet: niemand darf die Antworten lesen

Schweizerform verschlüsselt jede Einreichung im Browser der teilnehmenden Person, bevor sie das Gerät verlässt. Der Server speichert Chiffrat und verpackte Schlüssel; entschlüsselt wird in Ihrem Browser mit dem Tresorschlüssel, der uns nie erreicht. Formulare entstehen in DE, FR, IT und EN, verschlüsselte Einreichungen werden in der Schweiz bei Infomaniak gespeichert, und die öffentliche Formularseite lädt keine Tracker von Dritten — es steht also kein Consent-Banner zwischen dem Klick und der ersten Frage. Sehen können wir das Formular selbst: Fragetexte und Einstellungen liegen im Klartext auf dem Server. Nicht sehen können wir irgendeine Antwort. Der Mechanismus steht in Zero-Knowledge-Architektur erklärt.

CryptPad Forms ist die wirklich vergleichbare Ende-zu-Ende-verschlüsselte Option — und freie Software. CryptPad ist eine Zero-Knowledge-Kollaborationssuite der französischen XWiki SAS: Ver- und Entschlüsselung passieren im Browser, der Server speichert nur Chiffrat, und die Formular-App unterstützt Text, Auswahlfragen, Umfragen, Rangfolgen und Datumsfelder samt CSV- und JSON-Export. Sie können die öffentliche Instanz cryptpad.fr nutzen oder gemäss Administrationshandbuch selbst hosten. Für viele Teams ist das die richtige Antwort — es ist allerdings eine allgemeine Office-Suite und kein Formularprodukt, mehrsprachige Publikation, Formular-Branding, Zahlungsfelder, strukturierte Datei-Uploads und Kontingente stehen nicht im Fokus.

Wenn die Anforderung lautet: europäisches Hosting mit normalem SaaS-Vertrag

Tally kommt einem direkten Ersatz am nächsten und hat den grosszügigsten Gratis-Tarif der Kategorie: unbegrenzt Formulare und unbegrenzt Einreichungen im Rahmen der Fair-Use-Regeln, inklusive Bedingungslogik, Berechnungen, Datei-Uploads, Unterschriften, Zahlungen und mehrsprachigen Formularen. Tally BV ist belgisch, die publizierte DSGVO-Seite hält fest, dass Formulardaten bei Übertragung und im Ruhezustand verschlüsselt und in Europa gespeichert werden, und ein Auftragsverarbeitungsvertrag wird bei der Kontoeröffnung ohne Unterschriftsschritt akzeptiert. Lesen Sie die Unterauftragsverarbeiter-Liste, bevor Sie Tally zur Datenschutzoption erklären: Sie umfasst über sechzehn Einträge, darunter Google Cloud fürs Hosting, Cloudflare, SendGrid, Stripe, Sentry und Mixpanel. Bezahlte Stufen sind Pro zu USD 24 und Business zu USD 74 pro Monat. Unsere Detailsicht steht im Tally-Vergleich.

Typeform liefert das Gesprächserlebnis mit einer Frage pro Bildschirm, und nichts auf dieser Liste erreicht diese Politur für Marketing- und Research-Formulare. Das Datenschutzbild ist schwächer, als das europäische Branding vermuten lässt: Die Hauptserver laufen auf AWS in Virginia, ein EU-Rechenzentrum gibt es auf den höheren, individuell verhandelten Stufen. Die im Juli 2026 gelisteten Preise sind Basic USD 29, Plus USD 59 und Business USD 99 pro Monat; der Gratis-Tarif wurde im Februar 2026 auf zehn Antworten pro Monat gekürzt. Details im Typeform-Vergleich.

Jotform ist der Funktionsmaximalist: Tausende Vorlagen, tiefe Integrationen, Zahlungsabwicklung, PDF-Erzeugung, Freigabe-Workflows. Antwortdaten liegen auf Google Cloud in Iowa und Frankfurt, Backup-Replikation auf AWS Virginia und Frankfurt; das EU-Rechenzentrum wird für in der EU eröffnete Konten automatisch aktiviert. Achten Sie auf die Abo-Stufen: Starter ist gratis mit 100 Einreichungen pro Monat, Bronze kostet USD 39 für 1'000, Silver USD 49 für 2'500, Gold USD 129 für 10'000 und bringt HIPAA-Funktionen — und konfigurierbare Datenresidenz gibt es nur mit Enterprise. Siehe Jotform-Vergleich.

Microsoft Forms ist die Alternative, die die meisten Schweizer Organisationen bereits besitzen, und für eine interne Umfrage im bestehenden Tenant eine vernünftige Wahl ohne Beschaffungsrunde. Zwei Fakten entscheiden, ob es mehr tragen kann: Ein Schweizer (EFTA-)Tenant landet in der europäischen Makroregion und nicht in einer Schweizer, und Forms zählt zu den Diensten ohne spezifische Datenresidenz-Zusage — eine Advanced-Data-Residency-Freigabe für Exchange, SharePoint und Teams deckt Forms also nicht ab. Tenant-Administratoren erreichen zudem die Antwortdaten. Details im Microsoft-Forms-Vergleich.

Wenn die Anforderung lautet: Sie betreiben es selbst

Nextcloud Forms ist gratis, wenn Sie die Instanz ohnehin haben. Betreibt Ihre Organisation Nextcloud auf Schweizer oder europäischer Infrastruktur, sind Hosting und Souveränität bereits gelöst, und Formulare kosten nichts extra. Klar sehen sollte man die Unterscheidung: Antworten liegen serverseitig in Ihrer Nextcloud und sind für alle mit administrativem Zugriff lesbar — das ist Ihre eigene IT statt eines Anbieters, aber es ist nicht dasselbe wie niemand.

LimeSurvey und Formbricks sind die ernsthaften quelloffenen Umfrage-Engines. LimeSurvey ist der Platzhirsch an Schweizer Universitäten, Spitälern und kantonalen Verwaltungen, mit einer Fragenlogik-Tiefe, die auf dieser Liste nichts erreicht. Formbricks ist das moderne Projekt — AGPLv3, unbegrenzte Antworten beim Selbstbetrieb, dazu ein Cloud-Tarif, dessen Gratis-Stufe bei 250 Antworten pro Monat gedeckelt ist. Auf Schweizer Hosting wie Infomaniak oder Hostpoint installiert, geben beide Ihren Daten ein Schweizer Zuhause und volle Kontrolle über die Aufbewahrung. Der ehrliche Preis: Antworten landen im Klartext in Ihrer eigenen Datenbank, und Patching, Backups, TLS-Erneuerung, Zugriffsprüfungen und Breach-Erkennung werden nach Art. 8 DSG zu Ihrer Pflicht. Wir arbeiten das im Vergleich zu selbst gehosteten Formularen durch.

Die acht Alternativen im Vergleich

Lesen Sie zuerst die dritte Spalte und den Rest danach. Sie teilt die Liste in zwei Gruppen, die eigentlich nicht miteinander konkurrieren: fünf Produkte, bei denen ein Anbieter vertraglich abgesicherte lesbare Daten hält, und vier, bei denen die lesbaren Daten entweder mathematisch ausser Reichweite sind oder physisch auf Ihrer eigenen Hardware liegen. Die Wahl zwischen Tally und Typeform ist eine Produktentscheidung. Die Wahl zwischen Tally und CryptPad ist eine Entscheidung über das Bedrohungsmodell.

Datenschutz: das Kriterium, das die Liste sortiert

Es gibt in diesem Markt genau drei Datenschutzarchitekturen, und jedes Produkt auf dieser Seite ist eine davon. Anbietereigene Schlüssel: Die Plattform verschlüsselt mit Schlüsseln, die sie kontrolliert — das stoppt Angreifende mit einer gestohlenen Festplatte, nicht die Plattform. Selbst gehosteter Klartext: Kein externer Anbieter ist beteiligt, und Ihre eigene Datenbank enthält lesbare Antworten, die Ihre Administration, Ihre Backups und jede Serverkompromittierung erreichen. Ende-zu-Ende-Verschlüsselung: Der Schlüssel verlässt den Client nie, der Betreiber speichert also Material, das er nicht öffnen kann. Die Unterschiede stehen in Verschlüsselung at rest vs. Ende-zu-Ende.

Diese Reihenfolge zählt mehr als jede Funktionsmatrix, weil alles, was auf einer Datenschutzseite steht — Zertifikate, Auftragsverarbeitungsverträge, Unterauftragsverarbeiter-Listen —, Versprechen über lesbare Daten sind. Sie sind sinnvoll, durchsetzbar und wichtig. Sie sind aber eine andere Schutzkategorie als eine Architektur, in der es nichts Lesbares gibt, worüber man etwas versprechen müsste. Beides ist legitim. Nur eines übersteht eine an den Anbieter gerichtete Anordnung, wie wir in Vorladungen, Durchsuchungsbefehle und Ihre Formulardaten beschreiben.

Hosting und Jurisdiktion: wo die Antworten tatsächlich landen

Keine der grossen Alternativen bietet die Schweiz an. Tally ist in Europa auf Google Cloud in Belgien; Typeforms Standard ist Virginia mit EU-Option auf Individualstufen; Jotform ist Iowa und Frankfurt; Microsoft setzt Schweizer Tenants in die EU/EFTA-Makroregion. Für eine Schweizer Organisation heisst das: Der Wechsel von Google Forms führt meist von «angemessener Drittstaat plus Data-Privacy-Framework-Frage» zu «angemessener Drittstaat unter dem EU-Angemessenheitsbeschluss» — eine Erleichterung bei der Dokumentation, keine Befreiung von der Auslandtransfer-Prüfung. Der rechtliche Test steht in Welche Formulardaten dürfen die Schweiz verlassen.

Echte Schweizer Datenhaltung kommt nur aus drei Quellen: einem in der Schweiz gehosteten Produkt, einer selbst installierten Instanz auf Schweizer Infrastruktur wie Infomaniak oder Hostpoint, oder einem selbst betriebenen CryptPad auf Schweizer Hardware. Wer das tatsächlich erfüllt, führen wir anbieterweise in Formular- und Umfrage-Tools mit Serverstandort Schweiz auf — inklusive der schweizerisch auftretenden Tools, die auf AWS in Irland verarbeiten.

Preise: was der Abschied von Google Forms kostet

Ein Muster verdient einen eigenen Satz, weil es sich durch die kommerziellen Produkte zieht: Das datenschutzrelevante Merkmal liegt hinter der höchsten Paywall. Jotform verkauft konfigurierbare Datenresidenz mit Enterprise. Typeforms EU-Hosting sitzt auf Individualstufen. Googles Datenregionen setzen eine unterstützte Workspace-Edition voraus. Ist Datenresidenz für Sie eine rechtliche Anforderung und keine Präferenz, budgetieren Sie die Stufe, die sie enthält — oder wählen Sie ein Produkt, in dem sie gar keine Stufe ist. Unsere Position ist die einfache: Verschlüsselte Einreichungen werden in jedem Tarif in der Schweiz gespeichert, auch im Gratis-Tarif, weil es keine andere Region zu verkaufen gibt. Die Limiten stehen auf der Preisseite.

Das zweite Muster steckt hinter Google Forms selbst. Gratis-Tools sind keine Wohltätigkeit, und die Währung ist üblicherweise Aufmerksamkeit, Lock-in oder Daten. Wir nehmen das in Die versteckten Kosten «kostenloser» Formular-Tools auseinander — und halten nebenbei fest, dass Tally, CryptPad, Nextcloud Forms und Formbricks echte Gegenbeispiele sind, bei denen der Gratis-Tarif schlicht grosszügig ist.

Migrationsaufwand: wie schwer ist welcher Wechsel?

Zwei ehrliche Hinweise. Erstens hat niemand in diesem Markt einen verlässlichen Google-Forms-Import, planen Sie also Neuaufbau statt Migration — ein guter Moment, um die Felder zu streichen, die Sie seit drei Jahren nicht mehr brauchen. Zweitens ist der zusätzliche Schritt auf einer Ende-zu-Ende-verschlüsselten Plattform real: Weil wir Ihre Daten nicht lesen können, können wir sie auch nicht wiederherstellen, wenn der Tresorschlüssel verloren geht. Das ist der Handel, den diese Architektur eingeht, und er verlangt eine Entscheidung zur Schlüsselverwahrung vor dem ersten Formular, nicht danach.

So wechseln Sie von Google Forms weg, ohne etwas zu verlieren

Welche Alternative zu welchem Team passt

Tally, Typeform oder Jotform, wenn …

… die Daten gewöhnliche Geschäftsdaten sind und die Anforderung ein besseres Produkt mit europäischem Vertrag ist. Tally ist der Preis-Leistungs-Tipp und dem Google-Forms-Ersatz eins zu eins am nächsten, Typeform gewinnt, wo das Erlebnis die Abschlussquote beeinflusst, und Jotform gewinnt, wo Zahlungen, PDFs und Freigabe-Workflows an einem Ort nötig sind. Alle drei liefern einen Auftragsverarbeitungsvertrag und eine benannte EU-Hosting-Geschichte. Keines ändert, wer die Antworten lesen kann.

Nextcloud Forms, LimeSurvey oder Formbricks, wenn …

… Kontrolle die tatsächliche Anforderung ist und Sie die Betriebskapazität dafür haben. Ihnen gehören Schema, Aufbewahrung, Exportformat und Upgrade-Pfad, und es gibt überhaupt keinen Auftragsverarbeiter in der Kette. Wählen Sie es, weil Sie diese Kontrolle wollen, nicht weil Selbstbetrieb per se sicherer klingt — die Antworten liegen im Klartext in einer Datenbank, die Sie nun verteidigen, und Art. 8 DSG legt Ihnen die technischen und organisatorischen Massnahmen auf.

CryptPad Forms, wenn …

… Sie Ende-zu-Ende-Verschlüsselung, freie Software und keine Anbieterbeziehung wollen und Ihr Workflow zu einer Office-Suite passt. Es ist ein ernsthaftes, glaubwürdiges Projekt, und für eine Aktivistengruppe, einen kleinen Verein oder ein Forschungsteam, das CryptPad ohnehin für Dokumente nutzt, ist es eine ausgezeichnete Antwort. Was Sie gegenüber einem dedizierten Formularprodukt aufgeben, ist die formularspezifische Maschinerie: mehrsprachige Publikation desselben Formulars, Formular-Branding, Kontingente und Auswertungen, strukturierte Anhänge — und jemanden, den man anrufen kann.

Schweizerform, wenn …

… die Einreichungen etwas enthalten, das ein Anbieter nicht in lesbarer Form halten sollte, und Sie dafür nicht Systemadministration betreiben wollen. Patientenaufnahme, Mitarbeitendenmeldungen, Hinweisgebersysteme, Mandatsaufnahme — alles, was das Berufsgeheimnis nach Art. 321 StGB berührt, das nicht nur die Berufsperson bindet, sondern auch ihre Hilfspersonen. Verschlüsselte Einreichungen in der Schweiz gespeichert, Formulare in vier Sprachen aus einer Definition publiziert, keine Tracker auf der Formularseite — und für uns keine Möglichkeit, eine Antwort zu lesen, selbst wenn wir dazu gezwungen würden.

Wo Google Forms weiterhin die richtige Antwort ist

An vielen Stellen — und eine Vergleichsseite, die das Gegenteil behauptet, ist ihr Papier nicht wert. Eine Mittagsumfrage im Team, ein Workshop-Feedback, eine Anmeldung zu einer Konferenzsession, ein Quiz im Unterricht, eine interne Verfügbarkeitsabfrage in einer Workspace-Domain: Google Forms ist gratis, alle kennen es, es ist zuverlässig, und die Daten sind nicht sensibel. Ein Toolwechsel kostet Schulung und Gewohnheit, und diesen Preis für harmlose Erhebungen zu zahlen, ist ein schlechtes Geschäft. Die richtige Frage lautet nie «sollen wir Google Forms verlassen», sondern «welche unserer Formulare hätten nie dort sein dürfen».

Was ist die datenschutzfreundlichste Alternative zu Google Forms?

Nach der strengen Definition — die kleinste Menge an Parteien, die eine Antwort lesen können — steht es unentschieden zwischen einer Ende-zu-Ende-verschlüsselten Plattform und einer selbst betriebenen Instanz, und was davon richtig ist, hängt allein daran, ob jemand bei Ihnen einen Server betreiben kann. Unter den Ende-zu-Ende-verschlüsselten Optionen ist CryptPad Forms die Freie-Software-Antwort und Schweizerform die Schweizer Produktantwort. Unter den EU-gehosteten kommerziellen Produkten bietet Tally die stärkste Kombination aus Preis, Funktionen und europäischem Vertrag. Und wenn Sie von dieser Seite nur eines mitnehmen: Prüfen Sie die Unterauftragsverarbeiter-Liste und nicht die Marketingseite des Produkts, das Sie in die engere Wahl nehmen.