Anonyme Mitarbeiterbefragung und die DSGVO

Anonym, vertraulich oder pseudonymisiert?

Die Begriffe werden durcheinander verwendet, bedeuten aber etwas ganz anderes:

Die Unterscheidung stammt aus der DSGVO selbst. Erwägungsgrund 26 besagt, dass die Regeln nicht für anonyme Informationen gelten, und dass pseudonymisierte Daten, die sich mit zusätzlichen Informationen wieder einer Person zuordnen lassen, sehr wohl personenbezogene Daten sind. Entscheidend ist, ob jemand die Person mit Mitteln identifizieren kann, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technik.

Viele Befragungen, die „anonym“ heißen, sind in Wirklichkeit vertraulich. Das ist keine Schande, aber sagen Sie es dann auch so. Mitarbeiter, die merken, dass „anonym“ doch etwas anderes bedeutete, füllen beim nächsten Mal nichts mehr ehrlich aus.

Wann ist eine Befragung wirklich anonym?

Die europäischen Datenschutzbehörden, vereint im Europäischen Datenschutzausschuss (EDSA), arbeiten an neuen Leitlinien zur Anonymisierung. Die Fassung für die öffentliche Konsultation wurde am 7. Juli 2026 angenommen und löst eine Stellungnahme aus dem Jahr 2014 ab. Im Kern stehen drei Kriterien: No Record Isolation, No Linkage und No Inference. Sind alle drei erfüllt, können Daten als anonym gelten. Übersetzt in drei Fragen, die Sie mit „Nein“ beantworten können sollten:

1. Können Sie eine einzelne Person herausgreifen? Zum Beispiel die einzige Frau über fünfzig in der Einkaufsabteilung.
2. Können Sie Daten verknüpfen? Zum Beispiel den Zeitpunkt, zu dem eine Antwort einging, mit dem Moment, in dem Jan auf „Senden“ gedrückt hat.
3. Können Sie etwas über jemanden ableiten? Zum Beispiel: Wenn alle drei Personen in einem Team eine 3 vergeben haben, wissen Sie, was jede von ihnen dachte.

Bei Mitarbeiterbefragungen geht es in der Praxis an diesen Stellen schief:

• Kleine Gruppen. Ein Ergebnis eines Dreierteams ist ein Ergebnis von drei bekannten Personen. Zeigen Sie keine Aufschlüsselung unter einer festen Mindestgröße, zum Beispiel fünf.
• Kombinationen von Merkmalen. Abteilung, Altersgruppe und Betriebszugehörigkeit sind einzeln vielleicht harmlos, zusammen oft ein Name.
• Persönliche Links. Eine Einladung mit einem eindeutigen Link pro Person ist praktisch für Erinnerungen, aber solange dieser Link an den Antworten hängt, ist die Befragung nicht anonym.
• Timing. Sieht ein Administrator sofort, wer teilgenommen hat, und sofort, welche Antwort eingegangen ist, lässt sich das eine neben das andere legen.
• Offene Antworten. Wer schreibt „seit meiner Rückkehr nach dem Unfall“, hat sich bereits selbst genannt. Freitext ist nie von selbst anonym.
• Technische Spuren. IP-Adressen, Gerätedaten und Logdateien können zuordenbar sein, auch wenn der Fragebogen es nicht ist.

Was die DSGVO verlangt, solange Daten zuordenbar sind

Auch eine Befragung, die am Ende anonym ist, beginnt meist mit personenbezogenen Daten: einer Liste von E-Mail-Adressen, Einladungen, Erinnerungen. Und eine vertrauliche Befragung verarbeitet von Anfang bis Ende personenbezogene Daten. Für diese Schritte gilt unter anderem:

Eine Rechtsgrundlage (Artikel 6). Eine Einwilligung scheint naheliegend, funktioniert im Arbeitsverhältnis aber selten. Der EDSA schreibt, es sei unwahrscheinlich, dass ein Mitarbeiter seinem Arbeitgeber frei und ohne Angst vor Nachteilen eine Absage erteilen kann. Die Einwilligung ist damit für die meisten Verarbeitungen am Arbeitsplatz keine geeignete Rechtsgrundlage. Ein Arbeitgeber wird daher meist eine andere Rechtsgrundlage brauchen, etwa das berechtigte Interesse, mit einer dokumentierten Abwägung zwischen diesem Interesse und der Privatsphäre der Mitarbeiter.

Informieren (Artikel 13). Sagen Sie vorab, was Sie erheben, warum, wer es sieht, wie lange Sie es aufbewahren und welche Dienstleister beteiligt sind. Das ist auch genau das, was Mitarbeiter brauchen, um der Befragung zu vertrauen.

So wenig wie möglich erheben. Fragen Sie nur nach Merkmalen, die Sie für die Auswertung wirklich brauchen.

Keine besonderen Kategorien personenbezogener Daten (Artikel 9). Gesundheit, ethnische Herkunft, Religion und sexuelle Orientierung gehören zu den besonderen Kategorien personenbezogener Daten, die nur unter strengen Voraussetzungen verarbeitet werden dürfen. Fragen Sie in einer Mitarbeiterbefragung nicht danach.

Ein Auftragsverarbeitungsvertrag (Artikel 28). Nutzen Sie eine externe Plattform, ist diese ein Auftragsverarbeiter, und Sie halten vertraglich fest, was er mit den Daten tun darf.

Aufbewahrungsfristen. Legen Sie fest, wie lange Sie die Daten aufbewahren, und löschen oder anonymisieren Sie sie danach.

Eine DSFA (Artikel 35). Prüfen Sie, ob eine Datenschutz-Folgenabschätzung nötig ist. Bei einer groß angelegten Befragung zu sensiblen Themen liegt das eher nahe.

Die Rolle der Arbeitnehmervertretung

Je nach Land kann die Arbeitnehmervertretung mitbestimmen, wie Daten von Mitarbeitern verarbeitet werden. In den Niederlanden zum Beispiel gibt das Gesetz über die Betriebsräte (Wet op de ondernemingsraden) dem Betriebsrat ein Zustimmungsrecht bei einer geplanten Regelung zur Verarbeitung und zum Schutz personenbezogener Daten von Mitarbeitern (Artikel 27 Absatz 1 Buchstabe k) und bei Einrichtungen, die geeignet sind, Anwesenheit, Verhalten oder Leistung von Mitarbeitern zu überwachen (Buchstabe l). Ob Ihre Befragung unter solche Regeln fällt, hängt vom Land und von der Ausgestaltung ab. Aber unabhängig von der rechtlichen Frage: Eine Arbeitnehmervertretung, die früh eingebunden ist und beim Thema Anonymität mitdenkt, ist die beste Botschafterin, die Ihre Befragung haben kann.

Checkliste für eine Befragung, der Menschen vertrauen

Mehr zum Aufbau des Fragebogens selbst lesen Sie in unserem Fragenkatalog für die Mitarbeiterbefragung, und zum eNPS als Kernfrage in Was ist eNPS?.

Wie ScoreStory mit Anonymität umgeht

Wir bauen ScoreStory für genau diese Art von Befragung, also ist es berechtigt zu fragen, was wir genau tun. Stellen Sie eine Befragung auf anonym, passiert Folgendes:

• Keine Namen oder E-Mail-Adressen bei den Gesprächen. Auch nicht, wenn ein Teilnehmer sich selbst nennt, und sie lassen sich nachträglich nicht hinzufügen.
• Die Verbindung wird gelöscht, nicht abgeschirmt. Nach Ende eines Gesprächs wird der Verweis auf die Einladung, und damit auf die E-Mail-Adresse, in der nächsten Runde aus der Datenbank entfernt.
• Die Teilnahme wird 72 Stunden verzögert angezeigt. Sie sehen zwar, dass jemand teilgenommen hat, aber das wird alle 72 Stunden in einer Runde aktualisiert, mit demselben Zeitpunkt für alle in dieser Runde. So können Sie ein eingehendes Gespräch nicht mit der Person verknüpfen, die gerade fertig geworden ist.
• Kleine Gruppen bleiben verborgen. Filtern Sie nach einem Merkmal, unter das weniger als fünf Teilnehmer fallen, sehen Sie keine Ergebnisse.
• Der Teilnehmer behält die Kontrolle. Am Ende erhält jeder Teilnehmer einen Löschcode, mit dem er sein eigenes Gespräch später löschen lassen kann. Wir speichern diesen Code selbst nicht, also kann nur der Teilnehmer das tun.
• Die Einstellung wird gesperrt, sobald der erste Teilnehmer mitgemacht hat, damit sich die Anonymität nicht mittendrin ändern kann.

Und die Grenzen, denn die gibt es: Wird in einer 72-Stunden-Runde nur eine einzige Person getrennt, ist sie über diese Runde dennoch zuordenbar. Ein sehr kurzer Zeitraumfilter kann ein einzelnes Gespräch isolieren. Und was jemand selbst tippt, steht so da, wie es getippt wurde. Anonym bedeutet bei uns also: nicht über das System zuordenbar.

Die Daten liegen auf Servern in den Niederlanden. Für das Gespräch selbst wählt jede Organisation ihr Sprachmodell. Standard ist derzeit Claude von Anthropic, einem US-amerikanischen Unternehmen; diese Übermittlung ist durch die EU-Standardvertragsklauseln und, soweit anwendbar, das EU-US Data Privacy Framework abgedeckt. Wählen Sie Mistral, ein französisches Unternehmen, gehen keine Gesprächsdaten an ein KI-Modell außerhalb der EU, auch nicht bei der Spracherkennung. Alle Dienstleister, und was sie zu sehen bekommen, stehen in unserer Datenschutzerklärung.