Kundenbefragungen DSGVO-konform durchführen — auch mit KI-Auswertung

Die Frage kommt spätestens beim Einkauf: „Ist das datenschutzkonform?" Und sie ist schlecht gestellt, weil sie sich nicht am Werkzeug entscheidet, sondern an dem, was Sie damit tun.

Die drei Weichen, an denen sich alles Weitere entscheidet, sind: Ist die Erhebung anonym? Worauf stützen Sie die Verarbeitung? Und was passiert mit den Freitexten?

Weiche 1: Anonym oder pseudonym?

Eine wirklich anonyme Erhebung fällt nicht unter die DSGVO. Erwägungsgrund 26 stellt klar, dass die Verordnung nicht für Daten gilt, die sich keiner identifizierbaren Person zuordnen lassen. Das ist die einfachste Konstellation — und sie ist seltener, als die meisten annehmen.

Der Zielkonflikt ist offensichtlich. Anonym ist datenschutzrechtlich unkompliziert und praktisch unbequem: Sie können nicht gezielt erinnern, keine Segmente aus Ihren Stammdaten bilden und nicht prüfen, wer geantwortet hat. Genau diese Dinge brauchen Sie aber, um den Rücklauf zu steigern und Segmente zu vergleichen.

Vorsicht bei der Behauptung „anonym". Eine Erhebung ist nicht anonym, nur weil Sie den Namen nicht abfragen. Sie ist es auch dann nicht, wenn:

• ein personalisierter Teilnahmelink verwendet wird, der einer Person zugeordnet bleibt,
• IP-Adressen oder Geräte-Kennungen gespeichert werden,
• die Kombination der Angaben eindeutig wird — Abteilung, Standort, Rolle, Betriebszugehörigkeit.

Der letzte Punkt ist der häufigste Fehler bei Mitarbeitendenbefragungen. „Filiale Nord, Teamleitung, weiblich" identifiziert in einem mittelständischen Unternehmen genau eine Person.

Weiche 2: Welche Rechtsgrundlage?

Für Befragungen kommen in der Praxis zwei in Betracht.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für Befragungen Ihrer Bestandskunden zur Verbesserung Ihrer eigenen Leistung ist das meist die tragfähigere Grundlage. Voraussetzung ist eine dokumentierte Abwägung: Ihr Interesse an der Verbesserung gegen das Interesse der Befragten, in Ruhe gelassen zu werden. Dafür sprechen ein bestehender Vertrag, ein sachlicher Bezug, ein maßvoller Umfang und ein einfacher Widerspruchsweg.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Nötig, wenn Sie besondere Kategorien personenbezogener Daten verarbeiten (Gesundheit, Weltanschauung, Gewerkschaftszugehörigkeit), wenn Sie die Antworten für andere Zwecke weiterverwenden wollen — etwa Marketing — oder wenn Sie Personen befragen, zu denen keine Beziehung besteht.

Die Einwilligung muss freiwillig, informiert, für den konkreten Zweck erteilt und jederzeit widerrufbar sein. Eine vorangekreuzte Zustimmung ist keine Einwilligung.

Weiche 3: Das Freitextproblem

Das ist der Punkt, den fast alle übersehen. Sie können eine Umfrage technisch sauber anonym aufsetzen — und die Teilnehmenden machen sie im Freitextfeld selbst personenbezogen:

„Frau Berger aus der Auftragsannahme hat sich wirklich Mühe gegeben, aber Vorgang 4471 hing trotzdem drei Wochen."

Dieser eine Satz enthält den Namen einer Beschäftigten, eine Leistungsbewertung und eine Vorgangsnummer, über die sich der Kunde identifizieren lässt. In einer Umfrage, die als anonym angekündigt wurde.

Was hilft:

1. Im Freitextfeld darauf hinweisen, keine Namen und Vorgangsnummern zu nennen. Reduziert das Problem deutlich, beseitigt es nicht.
2. Vor der Auswertung bereinigen. Namen und Kennungen entfernen, bevor die Texte weiterverarbeitet werden — insbesondere, bevor sie an ein KI-System gehen.
3. Zugriff begrenzen. Rohtexte gehören nicht in einen offenen Berichtsverteiler.
4. Löschfristen festlegen und einhalten. Freitexte sind der Teil, der am längsten personenbezogen bleibt.

Auftragsverarbeitung und Drittland

Jedes externe Umfragewerkzeug verarbeitet Daten in Ihrem Auftrag. Damit brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Das gilt für die Umfrageplattform und ebenso für jeden Unterauftragnehmer, den sie einsetzt — der KI-Anbieter gehört dazu.

Die Prüfliste vor der Werkzeugauswahl:

Die letzte Zeile ist praktisch die wirksamste. Wenn Ihre Rechtsabteilung die KI-Verarbeitung nicht mittragen will, ist ein Werkzeug, das ohne sie funktioniert, die geradlinigste Lösung.

Was die KI-Verordnung ändert

Die EU-KI-Verordnung (Verordnung 2024/1689) staffelt Pflichten nach Risiko. Die automatische Gruppierung von Umfrageantworten fällt in aller Regel nicht in eine Hochrisikokategorie — sie bewertet keine Personen und trifft keine Entscheidungen über sie.

Anders sieht es aus, wenn Sie Ergebnisse auf einzelne Beschäftigte herunterbrechen und daraus Beurteilungen ableiten. Dann bewegen Sie sich in Richtung Beschäftigtenbewertung, und die Anforderungen steigen erheblich. Das ist ohnehin unabhängig vom Recht keine gute Idee: Eine Umfrage mit acht Antworten je Person misst Rauschen.

Ergänzend gilt: Transparenz kostet nichts. Wenn eine KI die Auswertung übernimmt, schreiben Sie es in die Einladung. Es ist einfacher, als es hinterher erklären zu müssen.

Die Checkliste

Vor der Erhebung

• [ ] Anonym oder pseudonym entschieden und im Werkzeug technisch umgesetzt
• [ ] Rechtsgrundlage bestimmt und dokumentiert, bei berechtigtem Interesse mit Abwägung
• [ ] Datenschutzhinweise nach Art. 13 in der Einladung verlinkt
• [ ] Zweck konkret benannt, nicht „zur Verbesserung unserer Services"
• [ ] Löschfristen festgelegt
• [ ] AVV mit dem Werkzeuganbieter geschlossen, Unterauftragnehmer geprüft
• [ ] Betriebsrat beteiligt, sofern Beschäftigte befragt werden
• [ ] Verzeichnis von Verarbeitungstätigkeiten ergänzt

Im Fragebogen

• [ ] Nur Merkmale erheben, die für die Auswertung gebraucht werden
• [ ] Hinweis am Freitextfeld, keine Namen und Vorgangsnummern zu nennen
• [ ] Kein Pflichtfeld bei sensiblen Angaben
• [ ] Bei KI-Auswertung: transparent angekündigt

Bei der Auswertung

• [ ] Freitexte vor der Weiterverarbeitung von Namen und Kennungen bereinigt
• [ ] Mindestgröße je Segment festgelegt, unter der nicht berichtet wird (üblich: fünf)
• [ ] Rohdatenzugriff auf den notwendigen Kreis begrenzt
• [ ] Löschung zum festgelegten Termin tatsächlich durchgeführt

Die vorletzte Zeile im Auswertungsblock ist die, die am häufigsten fehlt. Eine Auswertung, die „Filiale Süd: 2 Teilnehmende, Zufriedenheit 2,0" ausweist, hat die zugesagte Anonymität aufgehoben — technisch korrekt und praktisch fatal für die Teilnahmebereitschaft beim nächsten Mal.

Wie belastbar Segmente ab welcher Größe sind, steht in Wie viele Teilnehmer braucht eine Umfrage?