„Wie zufrieden bist du mit deinem Arbeitgeber?“ – Fallstricke bei Zufriedenheitsumfragen

Mitarbeiterbefragungen gehören in vielen Unternehmen längst zum Standard, z. B. im Rahmen von Pulse Checks, Engagement Surveys, Feedbacks zu Führungskräften oder zum IT‑Support. Ziel ist meist, Missstände (frühzeitig) zu erkennen und Arbeitsbedingungen zu verbessern. Datenschutzrechtlich werden diese Befragungen aber schnell anspruchsvoll, vor allem dann, wenn sie nicht wirklich anonym sind.

Der Tätigkeitsbericht 2025 des Landesbeauftragten für den Datenschutz und die Informationsfreiheit (LfDI) Baden‑Württemberg zeigt unter der Überschrift „Tücken bei der Mitarbeitendenbefragung“, wie schnell eine vermeintlich anonyme Zufriedenheitsbefragung zur personenbezogenen Verarbeitung wird, mit entsprechenden Anforderungen an Rechtsgrundlage, Einwilligung und Information (vgl. Tätigkeitsbericht, S. 117 ff.). Das Wesentliche und dessen Bedeutung für die Praxis wollen wir nachfolgend aufzeigen. 

Wann liegt ein Personenbezug vor?

1. Mögliche Konstellationen

Personenbezug kann bei Mitarbeiterbefragungen auf zwei Ebenen entstehen:

a) Bezug auf die teilnehmenden Beschäftigten, z. B.

• E‑Mail‑Adressen oder andere Kennungen zur Einladung
• technische Daten wie IP‑Adresse, Browser‑Kennung, Sprache (insbesondere zur Verhinderung der Mehrfachteilnahme)
• inhaltliche Antworten, die durch Kombination von Merkmalen Rückschlüsse auf Einzelpersonen erlauben

b) Bezug auf Dritte durch den Inhalt der Fragen, z. B.

• Bewertungen von Vorgesetzten
• Bewertungen kleiner Bereiche, bspw. IT‑Support mit wenigen Mitarbeitern

2. Anonymitätsgrenze: Gruppengröße und Re‑Identifizierbarkeit

Der Tätigkeitsbericht stellt im Abschnitt zu Mitarbeiterbefragungen vor allem auf die Re‑Identifizierbarkeit im Einzelfall ab und betont, dass die Auswertung so zu gestalten ist, dass keine Rückschlüsse auf Einzelpersonen möglich sind. Eine Auswertung wird durch die Aufsichtsbehörde erst ab mindestens sieben Personen/Teilnahmen empfohlen, um einen Personenbezug auszuschließen, bei Gesundheitsdaten mindestens zwölf Personen/Teilnahmen (vgl. Ratgeber Beschäftigtendatenschutz, 4. Auflage, S. 46).

3. Zugriff auf Rohdaten durch externen Dienstleister 

Besonders deutlich wird der LfDI bei Konstellationen mit externen Dienstleistern. Auch wenn der Arbeitgeber nur aggregierte Ergebnisse erhält, bleibt eine Befragung personenbezogen, wenn der Dienstleister als Auftragsverarbeiter die personenbezogenen Rohdaten inklusive Identifikationsmerkmalen erhält und der Auftraggeber theoretisch über sein Weisungsrecht Zugriff verlangen könnte.

Rechtsgrundlagen: Einwilligung und berechtigtes Interesse

Ist die Umfrage nicht anonym, wird eine Rechtsgrundlage erforderlich (wir berichteten). Der LfDI äußert sich im aktuellen Tätigkeitsbericht außerdem so, dass allgemeine Zufriedenheitsbefragungen i. d. R. nicht erforderlich für die Durchführung des Beschäftigungsverhältnisses sind und damit nicht über Art. 6 Abs. 1 lit. b DSGVO gerechtfertigt werden können (vgl. Tätigkeitsbericht, S. 117 f.). Nur wenn die Fragen unmittelbar mit dem Beschäftigungsverhältnis zusammenhängen, kann diese Rechtsgrundlage gewählt werden. 

Für personenbezogene Befragungen, die sich nicht unmittelbar auf das Beschäftigungsverhältnis beziehen, kommt daher in Betracht:

• Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO
  Bei allgemeinen Zufriedenheitsbefragungen verlangt der LfDI eine Einwilligung der Beschäftigten. Problematisch ist allerdings die Freiwilligkeit (siehe unten), insbesondere wenn Teilnahmeverweigerung als nachteilig empfunden werden könnte oder durch eine starke Kampagne „Teilnahmedruck“ aufgebaut wird. Kritisch ist außerdem, wenn den Beschäftigten „Anonymität“ zugesichert wird, obwohl eine personenbezogene Verarbeitung vorliegt. Ist dies der Fall, hält die Behörde eine darauf gestützte Einwilligung für unwirksam.
• Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO
  In der Praxis wird häufig Art. 6 Abs. 1 lit. f DSGVO herangezogen. Der Tätigkeitsbericht macht aber deutlich, dass er für die Umfrage der Mitarbeiterzufriedenheit die Einwilligung als einschlägige Rechtsgrundlage sieht. Für die Organisation der Umfrage (bspw. Versand der Einladung) kann das berechtigte Interesse aber herangezogen werden, wenn die unten aufgeführten Voraussetzungen erfüllt werden. 

Freiwilligkeit der Einwilligung

Der LfDI identifiziert mehrere Faktoren, die die Freiwilligkeit einer Einwilligung in Mitarbeiterbefragungen beeinträchtigen können:

• Tracking der Teilnahme
  Wenn nachvollzogen wird, wer teilgenommen hat (z. B. durch personalisierte Links, Logins), sieht der LfDI die Freiwilligkeit kritisch.
• starker Kommunikationsdruck
  Intensive Informationskampagnen von Vorstand oder Führungskräften können einen faktischen Teilnahmedruck erzeugen und die freiwillige Einwilligung entwerten.

Organisation der Umfrage: Externe Dienstleister, Datensparsamkeit und Informationspflichten

Viele Befragungen werden über Online‑Tools externer Anbieter durchgeführt. Der LfDI formuliert hierzu klare Anforderungen:

• An den Dienstleister dürfen auf Basis von Art. 6 Abs. 1 lit. f DSGVO zur Organisation der Umfrage nur die zur Einladung und Versendung des Umfragelinks erforderlichen Stammdaten übermittelt werden. Soziodemografische Daten (z. B. Alter, Geschlecht, Bereich) sollten darüber hinaus erst mit erteilter Einwilligung erhoben werden – i. d. R. also erst im Fragebogen selbst.
• Beschäftigte müssen vorab über die Datenweitergabe informiert werden.
• Zu den Informationspflichten nach Art. 13 DSGVO präzisiert der LfDI, dass Datenschutzhinweise „[…] sowohl (a) über die selbst vom Beschäftigten durchzuführenden Angaben in den Fragebögen, als auch (b) die bereits vorab dem Auftragsverarbeiter weitergegebene personenbezogene Daten und (c) weitere über das Endgerät des Nutzenden erhobene Informationen (z.B. IP-Adresse, Browser-Kennung, Sprache) informieren müssen.“ (S. 118) 

Speicherbegrenzung und Zugriff

Wenn die Befragung personenbezogen ist, gelten die Grundsätze der DSGVO vollumfänglich:

• Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO)
  Die Speicherdauer der Rohdaten muss sich am Zweck der Befragung orientieren und erforderlich sein. 
• Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f, Art. 32 DSGVO)
  Der Zugriff auf Rohdaten sollte strikt nach dem „Need‑to‑know“‑Prinzip erfolgen. Dabei gelten allgemein hohe Anforderungen an technische und organisatorische Maßnahmen, um eine unbefugte Kenntnisnahme zu verhindern.

Fazit

Es reicht nicht, in Datenschutzinformationen nur die Antworten im Fragebogen zu adressieren. Auch die technischen Merkmale und vorab übermittelten Daten an den Dienstleister müssen transparent dargestellt werden. Sollten Umfragen so eingestellt sein, dass keine Mehrfachteilnahme möglich ist, was ganz oft durch einen Klick erledigt werden kann, dürfte die Umfrage nicht als anonym einzuordnen sein. Das Unternehmen sollte dann bei Zufriedenheitsumfragen eine Einwilligung der Mitarbeiter einholen, die absolut freiwillig und transparent abgegeben werden muss. 

Alles Weitere hängt stark vom konkreten Zuschnitt der Befragung ab. Der Tätigkeitsbericht betont, dass die Beurteilung eine Einzelfallfrage bleibt.