Mitarbeiterbefragungen rechtssicher gestalten

Mitarbeiterbefragungen: Datenschutz-Fallstricke vermeiden

Mitarbeiterbefragungen sind heute fester Bestandteil moderner Unternehmensführung. Ob Pulse Checks, Engagement Surveys oder Feedbacks zu Führungskräften – Ziel ist es, Missstände frühzeitig zu erkennen und Arbeitsbedingungen zu verbessern. Doch datenschutzrechtlich bergen diese Befragungen erhebliche Risiken, insbesondere wenn sie nicht wirklich anonym sind.

Der Tätigkeitsbericht 2025 des Landesbeauftragten für den Datenschutz und die Informationsfreiheit (LfDI) Baden-Württemberg zeigt deutlich: Vermeintlich anonyme Zufriedenheitsbefragungen werden schnell zur personenbezogenen Datenverarbeitung – mit allen rechtlichen Konsequenzen für Rechtsgrundlage, Einwilligung und Informationspflichten.

Wann liegt ein Personenbezug bei Mitarbeiterbefragungen vor?

Zwei kritische Ebenen des Personenbezugs

Personenbezug kann bei Mitarbeiterbefragungen auf zwei unterschiedlichen Ebenen entstehen:

Bezug auf die teilnehmenden Beschäftigten:

• E-Mail-Adressen oder andere Kennungen zur Einladung
• Technische Daten wie IP-Adresse, Browser-Kennung oder Spracheinstellungen
• Inhaltliche Antworten, die durch Kombination von Merkmalen Rückschlüsse auf Einzelpersonen erlauben

Bezug auf Dritte durch den Inhalt der Fragen:

• Bewertungen von Vorgesetzten
• Bewertungen kleiner Bereiche wie IT-Support mit wenigen Mitarbeitern

Die kritische Gruppengröße: Wann ist Anonymität gewährleistet?

Der LfDI betont, dass die Auswertung so zu gestalten ist, dass keine Rückschlüsse auf Einzelpersonen möglich sind. Als Faustregel empfiehlt die Aufsichtsbehörde:

• Mindestens sieben Personen/Teilnahmen für allgemeine Umfragen
• Mindestens zwölf Personen/Teilnahmen bei Gesundheitsdaten

Erst ab diesen Gruppengrößen kann ein Personenbezug ausgeschlossen werden.

Externe Dienstleister: Vorsicht bei Rohdatenzugriff

Besonders kritisch wird es bei externen Dienstleistern. Auch wenn Ihr Unternehmen nur aggregierte Ergebnisse erhält, bleibt die Befragung personenbezogen, wenn der Dienstleister als Auftragsverarbeiter Zugriff auf personenbezogene Rohdaten hat – und Sie theoretisch über Ihr Weisungsrecht Zugriff verlangen könnten.

Rechtsgrundlagen: Wann ist eine Einwilligung erforderlich?

Keine Erforderlichkeit für das Beschäftigungsverhältnis

Der LfDI stellt klar: Allgemeine Zufriedenheitsbefragungen sind in der Regel nicht erforderlich für die Durchführung des Beschäftigungsverhältnisses. Damit scheidet Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage aus. Nur bei Fragen mit unmittelbarem Bezug zum Beschäftigungsverhältnis kann diese Rechtsgrundlage herangezogen werden.

Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO

Bei allgemeinen Zufriedenheitsbefragungen verlangt der LfDI eine Einwilligung der Beschäftigten. Dabei lauert jedoch eine zentrale Hürde: die Freiwilligkeit.

Kritisch wird es, wenn:

• Teilnahmeverweigerung als nachteilig empfunden werden könnte
• Durch intensive Kampagnen faktischer Teilnahmedruck entsteht
• Den Beschäftigten „Anonymität” zugesichert wird, obwohl personenbezogene Verarbeitung vorliegt

In diesen Fällen hält die Behörde eine darauf gestützte Einwilligung für unwirksam.

Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO

Der Tätigkeitsbericht macht deutlich, dass für Mitarbeiterzufriedenheitsumfragen die Einwilligung die einschlägige Rechtsgrundlage darstellt. Für die Organisation der Umfrage selbst – beispielsweise den Versand der Einladung – kann das berechtigte Interesse herangezogen werden, sofern die entsprechenden Voraussetzungen erfüllt sind.

Freiwilligkeit der Einwilligung: Die größte Herausforderung

Der LfDI identifiziert mehrere Faktoren, die die Freiwilligkeit einer Einwilligung beeinträchtigen:

Tracking der Teilnahme

Wenn nachvollzogen wird, wer teilgenommen hat – etwa durch personalisierte Links oder Logins – sieht der LfDI die Freiwilligkeit kritisch. Beschäftigte könnten befürchten, dass Nicht-Teilnahme negativ auffällt.

Starker Kommunikationsdruck

Intensive Informationskampagnen von Vorstand oder Führungskräften können einen faktischen Teilnahmedruck erzeugen und die freiwillige Einwilligung entwerten. Die Grenze zwischen Information und Druck ist hier fließend.

Organisation der Umfrage: Datensparsamkeit und Informationspflichten

Anforderungen bei externen Anbietern

Viele Befragungen werden über Online-Tools externer Anbieter durchgeführt. Der LfDI formuliert hierzu klare Anforderungen:

• An den Dienstleister dürfen auf Basis von Art. 6 Abs. 1 lit. f DSGVO nur die zur Einladung erforderlichen Stammdaten übermittelt werden
• Soziodemografische Daten sollten erst mit erteilter Einwilligung erhoben werden – also erst im Fragebogen selbst
• Beschäftigte müssen vorab über die Datenweitergabe informiert werden

Umfassende Informationspflichten nach Art. 13 DSGVO

Der LfDI präzisiert, dass Datenschutzhinweise informieren müssen über:

1. Die vom Beschäftigten selbst durchzuführenden Angaben in den Fragebögen
2. Die bereits vorab dem Auftragsverarbeiter weitergegebenen personenbezogenen Daten
3. Weitere über das Endgerät des Nutzenden erhobene Informationen (z.B. IP-Adresse, Browser-Kennung, Sprache)

Es reicht also nicht, nur die Antworten im Fragebogen zu adressieren. Auch technische Merkmale und vorab übermittelte Daten müssen transparent dargestellt werden.

Speicherbegrenzung und Zugriffsrechte

Wenn die Befragung personenbezogen ist, gelten die Grundsätze der DSGVO vollumfänglich:

Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO

Die Speicherdauer der Rohdaten muss sich am Zweck der Befragung orientieren und erforderlich sein. Eine pauschale Langzeitspeicherung ist unzulässig.

Integrität und Vertraulichkeit

Der Zugriff auf Rohdaten sollte strikt nach dem Need-to-know-Prinzip erfolgen. Es gelten hohe Anforderungen an technische und organisatorische Maßnahmen, um unbefugte Kenntnisnahme zu verhindern.

Checkliste: Rechtssichere Mitarbeiterbefragungen

Für rechtssichere Mitarbeiterbefragungen sollten Sie folgende Punkte beachten:

• ✓ Prüfen Sie, ob echte Anonymität gegeben ist (Gruppengröße, technische Merkmale)
• ✓ Deaktivieren Sie Funktionen zur Verhinderung von Mehrfachteilnahme, wenn diese Rückschlüsse ermöglichen
• ✓ Holen Sie bei personenbezogenen Umfragen eine freiwillige Einwilligung ein
• ✓ Vermeiden Sie Teilnahme-Tracking und kommunikativen Druck
• ✓ Übermitteln Sie an Dienstleister nur minimal erforderliche Daten
• ✓ Informieren Sie umfassend über alle Datenverarbeitungen (auch technische)
• ✓ Begrenzen Sie die Speicherdauer auf das notwendige Maß
• ✓ Beschränken Sie den Zugriff auf Rohdaten nach dem Need-to-know-Prinzip

Fazit: Einzelfallprüfung ist entscheidend

Der Tätigkeitsbericht des LfDI macht deutlich: Mitarbeiterbefragungen sind datenschutzrechtlich komplex. Sobald Umfragen so eingestellt sind, dass keine Mehrfachteilnahme möglich ist – was oft durch einen Klick erledigt wird – dürfte die Umfrage nicht als anonym einzuordnen sein.

Unternehmen sollten dann eine Einwilligung der Mitarbeiter einholen, die absolut freiwillig und transparent abgegeben werden muss. Alles Weitere hängt stark vom konkreten Zuschnitt der Befragung ab. Der Tätigkeitsbericht betont, dass die Beurteilung eine Einzelfallfrage bleibt.

Professionelle Unterstützung bei der DSGVO-Compliance

Sie planen Mitarbeiterbefragungen und möchten rechtssicher vorgehen? Als externer Datenschutzbeauftragter unterstützt AZ-Datenschutz Sie bei der datenschutzkonformen Gestaltung Ihrer Befragungsprozesse – von der Konzeption über die Auswahl geeigneter Tools bis zur Erstellung rechtskonformer Informationen.

Vereinbaren Sie jetzt ein kostenloses Beratungsgespräch und erfahren Sie, wie Sie Mitarbeiterbefragungen rechtssicher und effizient durchführen können.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.