DSGVO-konforme Kundenbefragung: Was Sie rechtlich beachten müssen

Die DSGVO greift immer dann, wenn personenbezogene Daten verarbeitet werden. Eine wirklich anonyme Umfrage — bei der niemand, auch nicht mit Zusatzwissen, auf die antwortende Person schließen kann — fällt nicht in ihren Anwendungsbereich. In der Praxis ist diese Hürde jedoch höher, als viele denken:

• Wer Teilnehmer per E-Mail einlädt, verarbeitet bereits personenbezogene Daten — unabhängig davon, ob die Antworten selbst anonym sind.
• IP-Adressen, Geräte- und Zeitstempel, die viele Tools automatisch protokollieren, können einen Personenbezug herstellen.
• In kleinen Gruppen (etwa: eine Filiale, ein Team) kann schon die Kombination aus Freitextantwort und Zeitpunkt eine Person identifizierbar machen.

Die sichere Arbeitshypothese lautet deshalb: Behandeln Sie jede Kundenbefragung so, als gelte die DSGVO — und gestalten Sie die Anonymität bewusst, statt sie zu behaupten.

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für Kundenbefragungen kommen vor allem zwei in Frage:

Szenario	Übliche Rechtsgrundlage	Worauf es ankommt
Feedback bestehender Kunden nach Kauf oder Servicekontakt	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)	Interessenabwägung dokumentieren; Widerspruchsmöglichkeit anbieten
Umfrage mit Marktforschungs- oder Marketingzweck über den Kundenkontakt hinaus	Einwilligung (Art. 6 Abs. 1 lit. a)	Freiwillig, informiert, nachweisbar, jederzeit widerrufbar
Fragen zu Gesundheit oder anderen besonderen Datenkategorien (Art. 9)	Ausdrückliche Einwilligung	Ohne sie sind solche Fragen tabu — auch in Patientenbefragungen

Ein häufiger Stolperstein liegt außerhalb der DSGVO: Die Einladung per E-Mail muss zusätzlich § 7 UWG standhalten. Eine reine Zufriedenheitsanfrage nach einem Kauf wird von Gerichten regelmäßig als Werbung eingestuft — sicher fahren Sie, wenn die E-Mail-Einladung durch eine Einwilligung gedeckt ist oder die Umfrage direkt im Servicekontakt (Terminal, QR-Code am Standort, Link auf dem Beleg) stattfindet.

Art. 13 DSGVO verpflichtet Sie, Teilnehmer vor der Erhebung transparent zu informieren. Zu einer sauberen Datenschutzinformation am Umfragestart gehören:

• Verantwortlicher mit Kontaktdaten (und ggf. Datenschutzbeauftragtem),
• Zweck der Befragung und die Rechtsgrundlage,
• Speicherdauer bzw. die Kriterien dafür,
• Empfänger — insbesondere der Tool-Anbieter als Auftragsverarbeiter,
• die Betroffenenrechte: Auskunft, Löschung, Widerspruch, Beschwerde bei der Aufsichtsbehörde.

Praktisch gelöst wird das mit einem kurzen Hinweis auf der ersten Umfrageseite plus Link auf die vollständige Datenschutzerklärung. Wichtig: Der Hinweis muss auch am Feedback-Terminal und in der QR-Code-Umfrage erreichbar sein, nicht nur auf der Website.

Sobald ein externes Umfrage-Tool die Antworten speichert, ist der Anbieter Ihr Auftragsverarbeiter — und Art. 28 DSGVO verlangt einen Auftragsverarbeitungsvertrag (AV-Vertrag). Prüfen Sie bei der Tool-Auswahl mindestens:

1. AV-Vertrag: Wird er standardmäßig angeboten und deckt er alle Verarbeitungen ab (auch Subunternehmer)?
2. Hosting-Standort: Liegen die Daten in Deutschland oder der EU? Bei Anbietern mit US-Konzernstruktur bleibt der Drittlandtransfer trotz Angemessenheitsbeschlüssen ein Prüfpunkt, den Ihre Datenschutzabteilung bewerten muss — EU- oder Deutschland-Hosting ist der einfachste Weg, diese Diskussion zu vermeiden.
3. Technische Maßnahmen: Verschlüsselung, Zugriffskonzept, Protokollierung, Löschfunktionen.
4. Datenminimierung im Tool: Lässt sich die Erhebung von IP-Adressen und Metadaten abschalten? Können personenbezogene Angaben in Freitexten maskiert werden?

Qmeter ist auf genau dieses Anforderungsprofil gebaut: gehostet in Deutschland auf Hetzner-Infrastruktur, mit automatischer PII-Maskierung in Freitextantworten und — für Enterprise-Kunden — einer On-Premise-Option im eigenen Rechenzentrum. Einen Überblick über die Plattform gibt die Seite Kundenfeedback-Software.

Drei Grundsätze entscheiden darüber, ob Ihre Befragung auch im Detail sauber bleibt:

• Nur erheben, was Sie auswerten: Jedes Pflichtfeld braucht einen Zweck. Name und Telefonnummer sind für eine Zufriedenheitsmessung meist unnötig — machen Sie Kontaktangaben optional und nur für Rückrufwünsche erforderlich.
• Speicherdauer festlegen: Definieren Sie vorab, wann Rohdaten gelöscht oder anonymisiert werden — etwa nach Abschluss der Auswertung. „Für immer“ ist keine Speicherdauer.
• Früh anonymisieren: Für Trendauswertungen reichen aggregierte Werte. Wer personenbezogene Rohdaten nach der Erstauswertung anonymisiert, reduziert Risiko und Auskunftsaufwand gleichermaßen.

1. Zweck der Befragung schriftlich festhalten.
2. Rechtsgrundlage bestimmen (berechtigtes Interesse abwägen oder Einwilligung einholen).
3. Bei E-Mail-Einladungen zusätzlich § 7 UWG prüfen.
4. Datenschutzinformation nach Art. 13 an den Umfragestart stellen — auf allen Kanälen.
5. Nur notwendige Daten erheben; Kontaktfelder optional halten.
6. AV-Vertrag mit dem Tool-Anbieter schließen.
7. Hosting-Standort und Subunternehmer des Anbieters prüfen.
8. Speicher- und Löschfristen definieren und im Tool hinterlegen.
9. Verarbeitung ins Verzeichnis der Verarbeitungstätigkeiten aufnehmen.
10. Prozess für Betroffenenanfragen (Auskunft, Löschung, Widerspruch) festlegen.

Hinweis: Dieser Beitrag gibt den Stand allgemein zugänglicher Informationen wieder und ersetzt keine Rechtsberatung. Für den Einzelfall sprechen Sie mit Ihrer Datenschutzbeauftragten oder Ihrem Anwalt.

Wie Sie die Befragung anschließend inhaltlich aufbauen, zeigt der Leitfaden Kundenbefragung durchführen.