Vertraulichkeit
Ab wie vielen Personen ist eine Mitarbeiterbefragung wirklich anonym?
Eine Mitarbeiterbefragung ist nicht ab einer bestimmten Personenzahl automatisch anonym. Entscheidend ist, ob Antworten unter Berücksichtigung vernünftigerweise nutzbarer Zusatzinformationen einzelnen Menschen zugeordnet werden können. Eine Mindestzahl für die Auswertung hilft, ersetzt aber nicht die Prüfung von Fragen, Freitext, Zugängen und Auswertungsmöglichkeiten.
Diese Unterscheidung ist gerade in kleinen Teams wichtig. Menschen kennen Aufgaben, Arbeitszeiten und aktuelle Ereignisse ihrer Kolleginnen und Kollegen. Eine Aussage kann deshalb auch ohne Namen erkennbar sein. Wer vor einer Befragung glaubwürdig über Vertraulichkeit informieren will, sollte erklären, was geschützt wird und wo Rückschlüsse möglich bleiben.
In diesem Beitrag10 Abschnitte · direkt zum Thema springen
Was bedeutet anonym und was bedeutet vertraulich?
Anonym bedeutet, dass sich die Informationen nicht auf eine identifizierte oder identifizierbare Person beziehen. Vertraulich beschreibt dagegen, wer Informationen sehen oder weitergeben darf. Eine vertraulich behandelte Antwort kann durchaus personenbezogen sein, etwa wenn eine externe Beratung sie einer Person zuordnen könnte, der Arbeitgeber aber nur zusammengefasste Ergebnisse erhält.
Auch Pseudonymisierung ist keine vollständige Anonymisierung. Wird ein Name durch einen Code ersetzt und existiert eine Zuordnungsmöglichkeit, bleibt eine Identifizierung grundsätzlich möglich. Die rechtliche Einordnung folgt insbesondere Artikel 4 und Erwägungsgrund 26 der Datenschutz-Grundverordnung. Der Gesetzestext der DSGVO ist dafür der Ausgangspunkt; die BfDI stellt ihn außerdem in ihrer Sammlung DSGVO und BDSG bereit.
Für die praktische Kommunikation heißt das: „Die Teamleitung sieht keine Namen“ ist eine konkrete Information. „Niemand kann jemals erkennen, von wem etwas stammt“ ist eine viel weitergehende Zusage. Verwende nur Aussagen, die durch das gesamte Verfahren gedeckt sind.
Warum reicht eine Mindestzahl allein nicht aus?
Eine Mindestschwelle kann verhindern, dass eine einzelne Rückmeldung als Gruppenergebnis erscheint. Sie beseitigt jedoch nicht das Wissen, das andere bereits besitzen. In einem fiktiven Team kann beispielsweise nur eine Person einen bestimmten Kundentermin wahrgenommen haben. Erwähnt ein Kommentar genau diesen Termin, hilft eine größere Zahl anderer Antworten wenig.
Umgekehrt sagt die Teamgröße noch nichts darüber aus, wie viele Personen die jeweilige Frage beantworten. Urlaube, Teilzeit, wechselnde Aufgaben oder ausgelassene Fragen können die auswertbare Gruppe verkleinern. Entscheidend ist deshalb das tatsächlich dargestellte Ergebnis, nicht die Zahl der Namen auf der Teamliste.
Die DSGVO nennt keine allgemeine Mindestzahl von Beschäftigten, ab der jede Befragung anonym wäre. Die BfDI erläutert in ihrer Stellungnahme zur Anonymisierung, warum eine pauschale Zusage rechtssicherer Anonymisierung schwierig ist. Eine Zahl kann eine Schutzregel sein, aber keine vollständige Antwort.
Welche Fragen machen Menschen indirekt erkennbar?
Besonders aufschlussreich können Kombinationen von Merkmalen sein. Ein Arbeitsbereich allein mag viele Personen umfassen. Zusammen mit einer seltenen Rolle, einem besonderen Arbeitszeitmodell und einem konkreten Projekt kann daraus eine sehr kleine Gruppe werden. Prüfe deshalb die Kombination aller abgefragten Angaben.
Frage nur nach Merkmalen, die für die beabsichtigte Entscheidung wirklich gebraucht werden. Wenn das Team seine Übergaben verbessern will, sind genaue Angaben zu Alter, Betriebszugehörigkeit oder Vertragsumfang möglicherweise entbehrlich. Das Weglassen solcher Informationen verbessert häufig auch die Verständlichkeit der Befragung.
Beachte außerdem, auf wen sich eine Antwort bezieht. Eine Befragung kann die antwortenden Menschen schützen und zugleich eine eindeutig erkennbare Führungskraft bewerten. Das Bundesarbeitsgericht hat diese Unterscheidung in einem konkreten Fall einer elektronischen Mitarbeiterbefragung behandelt. Daraus folgt keine pauschale Bewertung jeder Befragung, wohl aber ein wichtiger Prüfpunkt: BAG, Beschluss vom 11. Dezember 2018, 1 ABR 13/17.
Wie sollte mit offenen Kommentaren umgegangen werden?
Freitext kann erklären, was hinter einer Bewertung steckt. Er kann aber auch Schreibstil, Ereignisse oder beteiligte Personen erkennen lassen. Ein Hinweis vor dem Eingabefeld sollte deshalb dazu auffordern, keine Namen, sensiblen Einzelfälle oder unnötig eindeutigen Details zu nennen.
Diese Aufforderung ist keine technische Garantie. Menschen können trotzdem identifizierende Angaben eintragen. Kläre deshalb vorab, wer Kommentare lesen darf und ob sie unverändert, auszugsweise oder nur thematisch zusammengefasst weitergegeben werden. Das automatische Veröffentlichen jedes Kommentars im gesamten Team ist nicht die einzig mögliche Vorgehensweise.
Fiktives Beispiel: Ein Kommentar beschreibt einen Streit bei einer einmaligen Übergabe. Für die gemeinsame Arbeit kann die relevante Information lauten, dass Zuständigkeiten bei Übergaben unklar sind. Dafür muss der genaue Wortlaut nicht projiziert werden. Die Zusammenfassung sollte den Inhalt fair wiedergeben und nicht unbequeme Kritik entfernen.
Was ist an Untergruppen und Vergleichen problematisch?
Auch einzeln ausreichend große Auswertungen können zusammen mehr verraten als beabsichtigt. Wenn ein Bericht das gesamte Team und ein zweiter fast dieselben Personen umfasst, können Unterschiede unter Umständen Rückschlüsse auf die verbleibende Person ermöglichen. Solche Kombinationen sollten bei der Berichtsplanung bedacht werden.
Ähnliches gilt für schnell wechselnde Filter oder eng aufeinanderfolgende Veröffentlichungen. Je mehr Varianten frei zusammengestellt werden können, desto schwieriger wird es, das Rückschlussrisiko allein über eine Mindestzahl zu begrenzen. Prüfe nicht nur die voreingestellte Übersicht, sondern auch Exporte und nachträgliche Auswertungen.
Für kleine Teams ist häufig ein schlichter Bericht sinnvoller: wenige Themen, keine unnötigen Unterteilungen und ein festgelegter Zeitpunkt für die Auswertung. Ein einfacher Bericht ist nicht automatisch anonym. Er ist aber leichter zu erklären und auf mögliche Rückschlüsse zu prüfen.
Welche Rolle spielen Zugänge und technische Daten?
Die sichtbare Ergebnisansicht ist nur ein Teil des Verfahrens. Prüfe auch, welche Daten bei Einladung, Anmeldung, Abgabe, Speicherung und technischem Betrieb entstehen. Ein persönlicher Einladungslink kann organisatorisch praktisch sein; ob und wie er mit Antworten verbunden bleibt, muss gesondert geklärt werden.
Frage den Anbieter konkret: Werden Kennungen mit Antworten gespeichert? Welche Protokolle entstehen? Wer kann auf Rohdaten zugreifen? Welche Informationen sind exportierbar? Wie werden Sicherungen behandelt? Aus „im Bericht steht kein Name“ folgt noch keine Aussage über diese anderen Verarbeitungsschritte.
Ein externer Dienstleister löst das Problem nicht automatisch. Er kann eine sinnvolle organisatorische Trennung schaffen. Ob die zugrunde liegenden Daten personenbezogen sind und welche Verträge oder Schutzmaßnahmen nötig sind, hängt weiterhin vom tatsächlichen Verfahren ab. Die datenschutzrechtlichen Rollen sollten vor der ersten Einladung feststehen.
Was sollte das Team vor der Teilnahme erfahren?
Erkläre den Zweck, den Kreis der berechtigten Personen und die geplante Nutzung der Ergebnisse. Benenne außerdem, wann etwas sichtbar wird, wie mit Freitext umgegangen wird und was bei zu wenigen Rückmeldungen geschieht. Diese Informationen sollten vor der Teilnahme zugänglich sein.
Eine verständliche Erklärung darf Grenzen enthalten. Zum Beispiel: „Wir zeigen nur zusammengefasste Ergebnisse. Beschreibungen besonderer Ereignisse können trotzdem erkennbar sein. Bitte nutze für sensible Einzelfälle den dafür vorgesehenen Kontaktweg.“ Das ist hilfreicher als ein großes Anonymitätsversprechen mit schwer auffindbaren Einschränkungen.
Sammelt Fragen aus dem Team und beantwortet sie vor dem Start. Wenn eine Schutzregel später geändert werden soll, muss die Information dazu ebenfalls angepasst werden. Ein einmal verschickter Einführungstext ist kein Ersatz für einen nachvollziehbaren Umgang mit Veränderungen.
Was tun, wenn die Gruppe für den geplanten Schutz zu klein ist?
Senke eine vereinbarte Schwelle nicht spontan, nur damit ein Ergebnis angezeigt werden kann. Prüfe stattdessen, ob die Fragestellung in einer größeren, fachlich sinnvollen Gruppe bearbeitet werden kann oder ob ein anderes Verfahren geeigneter ist. Das Zusammenlegen beliebiger Teams kann zwar die Zahl erhöhen, aber die Aussage unbrauchbar machen.
Auch ein moderiertes Gespräch oder eine vertrauliche Einzelrückmeldung kann angemessen sein, wenn sein Charakter ehrlich erklärt wird. Es sollte dann nicht als anonyme Befragung bezeichnet werden. Entscheidend ist, dass Zweck, Schutz und Vorgehen zueinander passen.
Für die Auswahl des Formats hilft der Beitrag Pulsbefragung im kleinen Team. Weiterführende Informationen zum konkreten Produktverfahren stehen unter Vertraulichkeit und Mitbestimmung.
Welche Fragen werden dazu häufig gestellt?
Ist eine Befragung ohne Namensfeld anonym?
Nicht automatisch. Auch technische Kennungen, Freitext und Zusatzwissen können eine Zuordnung ermöglichen. Das gesamte Verfahren muss betrachtet werden.
Macht ein externer Anbieter die Antworten anonym?
Nicht allein durch seine Beteiligung. Entscheidend ist, welche Daten er verarbeitet, welche Zuordnungen möglich sind und welche Ergebnisse an wen weitergegeben werden.
Darf eine Mindestschwelle als Garantie bezeichnet werden?
Eine Schwelle beschreibt eine Schutzregel. Sie ist keine pauschale Garantie, dass unter allen Umständen keine Person erkennbar wird.
Wie setzt EngageBeat den beschriebenen Rahmen um?
EngageBeat zeigt berechtigten Team-Admins Ergebnisse nach Wochenabschluss und ab mindestens fünf gültigen Antworten je Frage. Die Produktbeschreibung zur Vertraulichkeit erläutert auch, dass diese Schwelle keine Identitätsprüfung und keine absolute Anonymitätsgarantie ist. Prüfe vor dem Einsatz, ob der Rahmen zu eurem Team passt.
Dieser Beitrag bietet allgemeine Orientierung und keine Rechtsberatung. Die konkrete datenschutzrechtliche Beurteilung hängt von eurem Verfahren ab.