Mitarbeiterbefragungen: Wenn „anonym“ nicht anonym ist

2026-06-04

Der 41. Tätigkeitsbericht Datenschutz 2025 des LfDI Baden-Württemberg zeigt, dass Anonymitätsversprechen bei Mitarbeiterbefragungen häufig nicht eingehalten werden.

Mitarbeiterbefragungen leben vom Vertrauen. Beschäftigte sollen offen sagen, was im Betrieb gut läuft und was nicht. Genau deshalb werben Unternehmen oft mit Anonymität. Der 41. Tätigkeitsbericht Datenschutz 2025 des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg zeigt exemplarisch, dass dieses Versprechen trügerisch sein kann.

In dem dort geschilderten Fall ließ ein Unternehmen eine Befragung zur Arbeitszufriedenheit durch einen Dienstleister durchführen. Dafür wurden nicht nur Kontaktdaten, sondern auch Stammdaten wie Geschlecht, Altersgruppe und Beschäftigungsort an den Dienstleister übermittelt. Außerdem wurde kontrolliert, wer teilnahm. Trotzdem wurde gegenüber den Beschäftigten der Eindruck einer anonymen Befragung erzeugt (LfDI Baden-Württemberg, 41. Tätigkeitsbericht Datenschutz 2025, Abschnitt zur Mitarbeitendenbefragung, S. 117 bis 119).

Worum geht es rechtlich

Eine Befragung ist nicht erst dann personenbezogen, wenn Namen abgefragt werden. Auch Stammdaten, technische Kennungen oder Teilnahmeinformationen können ausreichen, wenn Beschäftigte direkt oder indirekt identifiziert werden können. Dazu gehören etwa IP-Adresse, Browser-Kennung, Spracheinstellung, Beschäftigungsort oder die Information, ob jemand an der Umfrage teilgenommen hat.

Der Einsatz eines externen Dienstleisters ändert daran nichts. Arbeitet der Dienstleister nach Weisung des Unternehmens, liegt regelmäßig eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Der Arbeitgeber bleibt verantwortlich. Er muss vor Beginn der Befragung klären, welche Daten verarbeitet werden, wofür sie benötigt werden, wer Zugriff erhält und wann sie gelöscht werden.

Was gilt aktuell und warum

Der LfDI Baden-Württemberg sah für die konkrete Befragung keine tragfähige Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO passte nicht. Allgemeine Fragen zur Zufriedenheit, zu sozialen Kontakten oder zum Betriebsklima sind für die Durchführung des Arbeitsvertrags regelmäßig nicht erforderlich. Beschäftigte können ihre Arbeitspflichten auch erfüllen, ohne solche Fragen zu beantworten.

Auch ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO trug die Verarbeitung nicht. Schon die Übermittlung von Stammdaten an den Dienstleister vor einer wirksamen Teilnahmeentscheidung ging zu weit. Das Unternehmen hätte nicht vorab Daten weitergeben dürfen, die erst für spätere Auswertungen interessant waren. Datenschutzrechtlich genügt es nicht, dass Daten nützlich sind. Vielmehr muss die Verarbeitung für den konkreten Zweck erforderlich sein.

Damit blieb im Kern nur eine Einwilligung. Im Beschäftigungsverhältnis genügt dafür aber nicht der allgemeine Hinweis auf Freiwilligkeit. Maßstab sind Art. 6 Abs. 1 lit. a DSGVO, Art. 4 Nr. 11 DSGVO und vor allem § 26 Abs. 2 BDSG. Danach ist besonders zu prüfen, ob Beschäftigte wegen ihrer Abhängigkeit vom Arbeitgeber tatsächlich frei entscheiden konnten. Genau daran fehlte es aber nach Auffassung der Aufsichtsbehörde. Die interne Werbekampagne, das Ziel einer hohen Beteiligungsquote und die Kontrolle der Teilnahme konnten bei Beschäftigten den Eindruck erzeugen, dass Nichtteilnahme unerwünscht ist. Eine solche Einwilligung trägt die Datenverarbeitung nicht.

Besonders schwer wog schließlich die Kommunikation zur Anonymität. Wer Beschäftigten sagt, ihre Antworten seien anonym, muss das technisch und rechtlich einhalten. Das war hier nicht der Fall. Zwar sah der Arbeitgeber am Ende nur zusammengefasste Ergebnisse. Allerdings lagen die personenbezogenen Daten beim Dienstleister vor. Dann ist die Befragung nicht wirklich anonym. Falsche oder unvollständige Hinweise verletzen die Transparenzpflichten aus Art. 13 DSGVO und den Grundsatz der Verarbeitung nach Treu und Glauben aus Art. 5 Abs. 1 lit. a DSGVO.

Typische Risiken in der Praxis

Mitarbeiterbefragungen werden als Stimmungsbild verkauft. Tatsächlich entstehen aber oft detaillierte Datenprofile. Wenn Alter, Geschlecht, Standort, Abteilung, Teilnahmeverhalten und technische Kennungen zusammenkommen, kann der Kreis der Betroffenen schnell klein werden. Dann ist die Grenze zur Identifizierbarkeit nicht weit.

Ebenso riskant ist Teilnahmecontrolling. Erinnerungen an eine Befragung sind nicht automatisch unzulässig. Problematisch wird es, wenn erkennbar bleibt, wer teilgenommen hat und wer nicht. Noch kritischer ist es, wenn Führungskräfte Beteiligungsquoten einfordern. Aus Freiwilligkeit wird dann sozialer oder betrieblicher Druck.

„Anonym“ klingt beruhigend, wird aber häufig nicht gewährleistet. Ist die Befragung nur gegenüber dem Arbeitgeber aggregiert, beim Dienstleister aber personenbezogen, darf sie nicht schlicht als anonym beworben werden.

Was Betriebsräte tun sollten

Betriebsräte sollten Mitarbeiterbefragungen so früh wie möglich inhaltlich prüfen. Vor dem Start müssen Fragebogen, Datenschutzkonzept, Datenschutzhinweise, Datenflüsse, Auftragsverarbeitungsvertrag, Löschkonzept und Auswertungsregeln auf den Tisch. Beschäftigte müssen wirklich frei teilnehmen können, Teilnahmeverhalten darf nicht nachvollziehbar sein und die behauptete Anonymität muss auch technisch bestehen.

Werden standardisierte Fragen zu persönlichen Verhältnissen gestellt, ist § 94 BetrVG rechtlicher Maßstab. In einer Betriebsvereinbarung sollten Zweck, Freiwilligkeit, Datenarten, Zugriffsbeschränkungen, Mindestgruppengrößen, Löschung und das Verbot individueller Leistungs- oder Verhaltenskontrolle klar geregelt werden. Mitarbeiterbefragungen dürfen nicht durch unklare Datenflüsse, Teilnahmedruck oder falsche Anonymitätsversprechen zum Vertrauensproblem werden.

Bei elektronischen Befragungen kommt ferner noch § 87 Abs. 1 Nr. 6 BetrVG in Betracht. Teilnahmeinformationen, Zeitpunkte, technische Kennungen oder Antwortdaten können eine Überwachung von Verhalten oder Leistung ermöglichen.

Über den Autor

Klaus-Dieter Franzen

Fachanwalt für Arbeitsrecht

Schwerpunkte: Kollektives Arbeitsrecht, Datenschutz und KI
Qualifikation: zertifizierter Datenschutzbeauftragter (DSB)

Ich kümmere mich seit 1996 um Ihr gutes Recht, regional, national und international. Das kollektive Arbeitsrecht, künstliche Intelligenz und der Datenschutz bilden die zentralen Schwerpunkte meiner Tätigkeit, auch als Referent für Betriebsräte und in fachanwaltlichen Fortbildungen.

Sie haben Fragen?

Wir beraten Sie gerne persönlich zu diesem Thema.