Google Forms und Datenschutz: Was die DSGVO wirklich von Ihnen verlangt

Art. 4 Nr. 7, Art. 28 DSGVO

Haben Sie einen Vertrag über die Auftragsverarbeitung – und wissen Sie, welchen?

Art. 28 Abs. 3 DSGVO verlangt einen Vertrag, sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Der Vertrag muss unter anderem Gegenstand und Dauer der Verarbeitung, die Art der Daten, die Weisungsbindung, die Unterauftragsverarbeiter und die Löschung nach Vertragsende regeln. Ohne diesen Vertrag fehlt Ihnen eine Pflichtunterlage – und zwar unabhängig davon, ob tatsächlich etwas passiert ist.

Hier entsteht der häufigste Fehler in der Praxis: Der Vertragsrahmen hängt davon ab, mit welchem Konto Sie arbeiten. Google stellt Bedingungen zur Auftragsverarbeitung im Rahmen von Google Workspace bereit, also den kostenpflichtigen Geschäftskonten. Wer mit einem privaten Google-Konto arbeitet, nutzt den Dienst unter den Verbraucherbedingungen. Prüfen Sie deshalb konkret nach, welche Bedingungen für Ihr Konto gelten und ob Ihnen eine AVV vorliegt, die Sie einer Behörde vorlegen könnten.

Die letzte Frage wird regelmäßig unterschätzt. Formularantworten landen typischerweise in einer Tabelle, die weitergeteilt wird – an Kolleginnen, an Dienstleister, manchmal per Link „für alle mit dem Link". Jede dieser Freigaben ist datenschutzrechtlich relevant. Ein technisch einwandfreies Formular mit einer offen geteilten Antworttabelle ist in der Summe das größere Problem.

Art. 6 DSGVO

Steht für jedes Feld fest, auf welcher Grundlage es erhoben wird?

Jede Verarbeitung braucht eine Rechtsgrundlage. Für Veranstaltungsanmeldungen kommen in der Regel drei in Betracht:

• Vertrag oder vertragsähnliches Verhältnis (Art. 6 Abs. 1 lit. b): Name und E-Mail-Adresse, um die Anmeldung überhaupt bearbeiten und bestätigen zu können. Dafür brauchen Sie keine Einwilligung.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): etwa die Organisation des Einlasses oder eine Teilnehmerzahl für die Platzplanung. Erfordert eine dokumentierte Abwägung gegen die Interessen der Betroffenen.
• Einwilligung (Art. 6 Abs. 1 lit. a): für alles, was über die Durchführung hinausgeht – Fotoveröffentlichung, Newsletter, Weitergabe an Sponsoren.

Der verbreitete Reflex, vorsichtshalber für alles eine Einwilligung einzuholen, macht die Lage nicht sicherer, sondern instabiler: Eine Einwilligung ist nach Art. 7 Abs. 3 DSGVO jederzeit widerrufbar. Wenn Sie die Durchführung der Veranstaltung auf eine Einwilligung stützen und jemand widerruft, verlieren Sie die Grundlage für Daten, die Sie organisatorisch noch brauchen. Ordnen Sie deshalb feldweise zu.

Besondere Aufmerksamkeit verdienen die beiden mittleren Zeilen. Sobald Sie Unverträglichkeiten, Medikationen oder Mobilitätseinschränkungen erfassen, geraten Sie in den Bereich der besonderen Kategorien nach Art. 9 DSGVO. Deren Verarbeitung ist grundsätzlich untersagt und nur über einen der Ausnahmetatbestände zulässig – in der Praxis meist die ausdrückliche Einwilligung. Für das Gesundheitswesen haben wir das in einem eigenen Artikel vertieft: Google Forms in Arztpraxen und Kliniken.

Praktischer Nebeneffekt der feldweisen Zuordnung: Sie merken, wie viele Felder Sie eigentlich nicht brauchen. Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung – und kein Feld ist so sicher wie das, das Sie nicht erheben.

Kapitel V DSGVO (Art. 44 ff.)

Verlassen die Daten die EU – und wenn ja, auf welcher Grundlage?

Kapitel V der DSGVO regelt die Übermittlung in Drittländer. Zulässig ist sie nur, wenn für das Zielland ein Angemessenheitsbeschluss der EU-Kommission vorliegt (Art. 45 DSGVO) oder geeignete Garantien bestehen, etwa Standardvertragsklauseln (Art. 46 DSGVO). Google beschreibt in seiner eigenen Dokumentation, dass Daten in Rechenzentren weltweit verarbeitet werden – eine Übermittlung in Drittländer ist damit Teil des Modells und keine Ausnahme.

Was sich 2023 geändert hat – und was nicht

Lange war dieser Punkt der schärfste Einwand gegen US-Dienste. Mit dem Schrems-II-Urteil des EuGH vom Juli 2020 fiel der Privacy Shield, und Übermittlungen in die USA ließen sich nur noch über Standardvertragsklauseln plus zusätzliche Maßnahmen stützen. Seit Juli 2023 gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF). Für US-Unternehmen, die nach dem DPF zertifiziert sind, ist die Übermittlung damit ohne zusätzliche Garantien nach Art. 46 DSGVO möglich.

Viele im Netz kursierende Beiträge sind an dieser Stelle veraltet und behaupten weiterhin, Übermittlungen in die USA seien pauschal rechtswidrig. Das trifft seit dem Beschluss von 2023 nicht mehr zu. Umgekehrt heißt das aber auch nicht, dass der Punkt für Sie erledigt ist. Drei Dinge bleiben Ihre Aufgabe:

1. Zertifizierung prüfen. Der Beschluss gilt nicht für die USA als Land, sondern für zertifizierte Unternehmen. Ob der von Ihnen genutzte Dienst erfasst ist, steht in der öffentlich einsehbaren DPF-Liste des US-Handelsministeriums.
2. Dokumentieren. Ihre Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Prüfung belegen können – mit Datum, Quelle und Ergebnis. Ein Screenshot des Listeneintrags im Verarbeitungsverzeichnis genügt in der Praxis.
3. Mit Änderungen rechnen. Safe Harbor und Privacy Shield wurden beide vom EuGH aufgehoben. Gegen das DPF sind Verfahren anhängig. Wer heute auf dem Beschluss aufbaut, sollte wissen, was ein Wegfall für die eigenen Prozesse bedeuten würde.

§ 25 TDDDG, Art. 6 DSGVO

Werden im Browser der Teilnehmer Daten gespeichert, bevor diese eingewilligt haben?

Dieses Prüffeld wird am häufigsten übersehen, weil es nicht um die Formularantworten geht, sondern um das, was beim Aufruf der Seite passiert. Nach § 25 Abs. 1 TDDDG (bis 2024 TTDSG) ist das Speichern von Informationen auf dem Endgerät oder der Zugriff darauf nur mit vorheriger Einwilligung zulässig. Ausnahme: Es ist für den Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Entscheidend ist das Wort unbedingt. Ein Session-Cookie, ohne das das Formular nicht funktioniert, fällt darunter. Alles, was der Analyse, Wiedererkennung oder Reichweitenmessung dient, fällt nicht darunter – auch dann nicht, wenn es Ihnen nützlich erscheint. Und: Die Einwilligung muss vorher vorliegen. Ein Banner, das erscheint, nachdem die Skripte geladen sind, erfüllt die Anforderung nicht.

Das strukturelle Problem bei eingebetteten Fremdformularen

Wenn Sie ein Formular eines Drittanbieters per Link weitergeben oder per iframe auf Ihrer Website einbetten, haben Sie auf das Verhalten im Browser Ihrer Teilnehmer praktisch keinen Einfluss. Ihr eigener Consent-Banner steuert Ihre eigene Domain – nicht die des Anbieters. Prüfen lässt sich das trotzdem: Öffnen Sie das Formular in einem frischen Browser-Profil und schauen Sie in den Entwicklerwerkzeugen unter „Anwendung → Speicher" nach, was ohne Ihr Zutun gesetzt wurde.

Wer das Formular über die eigene Website ausliefert, verschiebt dieses Problem nicht, sondern löst es: Dann greifen Ihre eigene Consent-Logik und Ihre eigene Datenschutzerklärung. Wie das Einbetten technisch funktioniert, steht in unserem Tutorial Anmeldeformular mit Google Forms erstellen; wie Sie die Freigabe steuern, in Google Formular öffentlich machen.

Art. 13, 30, 32 DSGVO

Könnten Sie einer Aufsichtsbehörde morgen Unterlagen vorlegen?

Die DSGVO verlangt nicht nur rechtmäßiges Handeln, sondern dessen Nachweisbarkeit (Art. 5 Abs. 2 DSGVO). In der Praxis ist das der Punkt, an dem die meisten Prüfungen hängen bleiben – nicht weil etwas Schlimmes passiert wäre, sondern weil nichts aufgeschrieben wurde.

Art. 13: Information zum Zeitpunkt der Erhebung

Die Betroffenen müssen bei der Erhebung erfahren, wer verantwortlich ist, zu welchen Zwecken und auf welcher Rechtsgrundlage verarbeitet wird, wer die Empfänger sind, ob eine Übermittlung in Drittländer erfolgt, wie lange gespeichert wird und welche Rechte sie haben. Ein Link zur Datenschutzerklärung auf der Startseite Ihrer Website reicht nicht, wenn das Formular über einen direkten Link erreicht wird – dann hat der Teilnehmer diese Seite nie gesehen. Verlinken Sie die Erklärung im Formular selbst.

Art. 30: Verzeichnis von Verarbeitungstätigkeiten

Für die Verarbeitung „Veranstaltungsanmeldung" gehört ein Eintrag ins Verarbeitungsverzeichnis. Darin stehen Zweck, Kategorien betroffener Personen, Datenkategorien, Empfänger, Drittlandübermittlungen mit Rechtsgrundlage, Löschfristen und die technisch-organisatorischen Maßnahmen. Das ist eine Tabelle, keine Doktorarbeit – aber sie muss existieren.

Art. 32: Technisch-organisatorische Maßnahmen

Hier geht es um das, was Sie selbst in der Hand haben: Wer darf die Antworttabelle öffnen? Ist die Freigabe auf benannte Personen beschränkt oder auf „jeder mit dem Link"? Gibt es Zwei-Faktor-Authentisierung für die Konten mit Zugriff? Wird die Tabelle nach dem Event in einen Ordner mit engeren Rechten verschoben? Diese Fragen beantwortet kein Anbieter für Sie.

Wenn Sie regelmäßig Veranstaltungen durchführen, lohnt es sich, diese Unterlagen einmal als Vorlage zu erstellen und pro Event nur noch Name, Datum und Löschfrist zu aktualisieren. Für die Teilnehmerliste selbst haben wir die DSGVO-Anforderungen separat zusammengefasst: Teilnehmerliste DSGVO-konform führen.

Art. 5 Abs. 1 lit. e, Art. 17 DSGVO

Gibt es eine Frist, eine zuständige Person und einen Nachweis?

Der Grundsatz der Speicherbegrenzung verlangt, dass personenbezogene Daten nur so lange in identifizierbarer Form vorliegen, wie es für den Zweck erforderlich ist. Für eine Veranstaltungsanmeldung ist dieser Zweck kurz nach dem Event erfüllt. Trotzdem liegen in vielen Organisationen Anmeldetabellen von Veranstaltungen aus mehreren Jahren in Cloud-Ordnern – meist, weil niemand zuständig war.

Feste Fristen nennt die DSGVO nicht. Sie müssen selbst eine festlegen, sie dokumentieren und einhalten. Verbreitet ist eine Frist von wenigen Wochen nach dem Event für die reinen Anmeldedaten. Davon zu trennen sind Rechnungs- und Belegdaten: Für die gelten handels- und steuerrechtliche Aufbewahrungsfristen – diese betreffen aber den Beleg, nicht die Teilnehmerliste.

Die drei Stellen, die beim Löschen vergessen werden

1. Kopien und Exporte. Die Tabelle wurde fürs Catering exportiert, per E-Mail verschickt und auf einem Laptop gespeichert. Jede Kopie ist eine eigene Verarbeitung und muss mitgelöscht werden.
2. Der Papierweg. Die ausgedruckte Check-in-Liste am Empfang ist personenbezogene Datenverarbeitung. Sie gehört geschreddert, nicht in den Papierkorb.
3. Das Formular selbst. Ein Formular, das nach dem Event noch offen ist, sammelt weiter Daten ohne Zweck. Schließen Sie es aktiv.

Hinzu kommt das Recht auf Löschung nach Art. 17 DSGVO: Wenn ein Teilnehmer vor dem Event anfragt, müssen Sie seine Daten gezielt entfernen können – ohne die übrige Liste zu beschädigen. Testen Sie diesen Vorgang einmal, bevor er ernst wird. Und notieren Sie, dass und wann gelöscht wurde; die Löschung selbst ist ebenfalls nachweispflichtig.