Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Google Forms ist der kostenlose Formular, und Umfrage-Builder von Google und wird von Millionen Organisationen zum Sammeln von Antworten, für Quizze und zur Lead-Generierung eingesetzt. Formulare können per iframe eingebettet oder als eigenständige URL geteilt werden. Beim Einbetten setzt Google Cookies und überträgt Formulardaten und Metadaten an Server von Google LLC in den USA, wodurch Pflichten aus der DSGVO und der ePrivacy-Richtlinie ausgelöst werden.
Google Forms ist Teil der Google Workspace-Suite und ermöglicht es jedem, Umfragen, Quizze, Anmeldeformulare und Feedback-Fragebögen über eine einfache Drag-and-Drop-Oberfläche zu erstellen. Formulare werden auf docs.google.com gehostet und können per teilbarem Link, per E-Mail-Einladung oder, am häufigsten auf Websites, in einer iframe eingebettet werden. Jede Antwort wird in einer verknüpften Google Sheets-Datei oder direkt im Antwort-Panel von Forms gespeichert.
Wenn ein Google-Formular auf Ihrer Website geladen wird (per iframe-Einbettung oder Direktbesuch), setzt Google mehrere Cookies auf den Domains docs.google.com und google.com, darunter NID, CONSENT, SOCS, AEC und 1P_JAR. Über Cookie-Daten hinaus erfasst Google die IP-Adresse des Befragten, den User-Agent, den Referrer, die Bildschirmauflösung und, sofern der Befragte angemeldet ist, die Google-Konto-Kennung. Sämtliche Formularantworten werden auf Google-Servern gespeichert.
Da beim Seitenaufruf Cookies auf das Endgerät geschrieben werden, verlangt Art. 5(3) ePrivacy-Richtlinie (in nationalen Cookie-Gesetzen in der gesamten EU umgesetzt) eine vorherige, informierte und freiwillige Einwilligung, bevor Google Forms in einem eingebetteten Kontext geladen werden darf. Google agiert als Auftragsverarbeiter für Formularantworten unter dem Google Workspace Data Processing Addendum, jedoch als eigenständiger Verantwortlicher für bestimmte Telemetrie, sodass Betreiber für Transparenz und ein ebenso einfach zugängliches Ablehnen wie das Annehmen verantwortlich bleiben.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
In der Praxis muss ein eingebettetes Google-Formular hinter einer Consent Management Platform blockiert werden, bis die Besucherin oder der Besucher aktiv in die einschlägige Kategorie eingewilligt hat (typischerweise Funktional oder Marketing, je nach Einstufung). Eine sogenannte Zwei-Klick-Lösung, bei der ein Platzhalter erläutert, was das Laden des Formulars bedeutet, und der Nutzer explizit zustimmen muss, ist das gängigste Muster und steht im Einklang mit Leitlinien der CNIL, des BfDI und weiterer EU-Aufsichtsbehörden.
Google Forms-Daten werden überwiegend auf Infrastruktur von Google LLC in den USA verarbeitet. Transfers stützen sich auf Standardvertragsklauseln gemäß Art. 46(2)(c) DSGVO sowie auf den EU, US Data Privacy Framework, sofern Google LLC dort zertifiziert ist. Verantwortliche sollten ein Transfer Impact Assessment durchführen, zusätzliche Maßnahmen prüfen (etwa Pseudonymisierung von Formularfeldern) und die Rechtsgrundlage des Transfers im Verarbeitungsverzeichnis dokumentieren.
Konkret: führen Sie Google Forms in Cookie-Richtlinie und Verarbeitungsverzeichnis, blockieren Sie die iframe bis zur Einwilligung, bieten Sie einen Zwei-Klick-Platzhalter, halten Sie das Google Workspace DPA bereit, führen Sie ein Transfer Impact Assessment durch und verzichten Sie auf die Erhebung besonderer Datenkategorien über Google Forms ohne starke Rechtsgrundlage nach Art. 9. Für Hochrisikoszenarien (Gesundheitsumfragen, Mitarbeiter-Feedback, Minderjährige) ziehen Sie eine EU-basierte Alternative in Betracht.
Websites using Google Forms must obtain user consent under GDPR regulations.
DPIA considerations
Google Forms verarbeitet Formularantworten (einschließlich aller von Befragten eingegebenen personenbezogenen Daten), IP-Adressen, Browser-Fingerprints und Google-Konto-Kennungen, wenn Befragte angemeldet sind. Eingebettete Formulare erben die Cookies der docs.google.com-Domain. Wesentliche DSFA-Aspekte: (1) die über Formularfelder erhobenen Datenkategorien können je nach Anwendungsfall sensible Daten (Gesundheit, politische Meinungen, Religion) enthalten und erfordern eine Rechtsgrundlage nach Art. 9 DSGVO; (2) Drittlandtransfer an Google LLC in den USA, zu bewerten per Transfer Impact Assessment; (3) Google agiert als Auftragsverarbeiter unter dem Google Workspace DPA, kann aber bestimmte technische Metadaten auch als eigenständiger Verantwortlicher verarbeiten; (4) persistente Kennzeichner über die Cookies NID und CONSENT ermöglichen dienstübergreifendes Tracking auf Google-Diensten; (5) Protokollierung der IP-Adresse in Formular-Auswertungen und Antwortdatensätzen. Eine DSFA wird empfohlen, wenn Formulare sensible Daten erheben, im großen Maßstab eingesetzt werden oder schutzbedürftige Gruppen betreffen.
Sample consent text
Wir nutzen Google Forms, um Ihre Antworten zu erfassen. Beim Laden dieses Formulars setzt Google Cookies auf Ihrem Gerät und kann Formulardaten sowie technische Metadaten an Google LLC in den USA übertragen. Sie können Ihre Einwilligung jederzeit über unsere Cookie-Einstellungen widerrufen.
Third-party domains contacted
docs.google.comforms.google.comgoogle.comfonts.gstatic.comaccounts.google.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| NID | Preference | 6 months | Stores user preferences (language, region, number of search results) used by Google to personalise responses across services including Google Forms. |
| CONSENT | Functional | 2 years | Records the visitor consent state for Google services and persists choices made in Google's own consent interfaces across sessions. |
| SOCS | Functional | 13 months | Stores the user's consent state for Google services, including which Google product consent dialogs the user has interacted with. |
| AEC | Security | 6 months | Ensures that requests within a browsing session are made by the user and not by other sites, mitigating cross-site request forgery on Google services. |
| 1P_JAR | Marketing | 1 month | Used by Google for advertising measurement, including aggregating site statistics on Google services and properties. |
Google Forms erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Ja. Sobald eine Google-Forms-iframe auf Ihrer Website geladen wird, schreibt Google mehrere Cookies auf die Domains docs.google.com und google.com, darunter NID, CONSENT, SOCS, AEC und 1P_JAR. Einige unterstützen funktionale Aufgaben (Sprache, Einwilligungsstatus), andere werden von Google zur Werbe-Messung verwendet.
Ja. Da bereits beim Seitenaufruf Cookies auf das Endgerät gesetzt und Daten an Google in den USA übertragen werden, verlangen Art. 5(3) ePrivacy-Richtlinie und Art. 6(1)(a) DSGVO eine vorherige, informierte und freiwillige Einwilligung, bevor die iframe geladen wird. Ein Zwei-Klick-Platzhalter ist die empfohlene Vorgehensweise.
Für eingebettete Formulare, die nicht erforderliche Cookies setzen und Daten in die USA übertragen, ist die Einwilligung nach Art. 6(1)(a) DSGVO der Regelfall. Wenn das Formular Kern einer vertraglichen Interaktion ist (Bewerbung, Anmeldung), kann zusätzlich Art. 6(1)(b) für die Antwortdaten greifen, für die Cookies bleibt die Einwilligung jedoch erforderlich.
Google Forms-Antworten werden auf Infrastruktur von Google LLC gespeichert, überwiegend in Rechenzentren in den USA. Transfers stützen sich auf Standardvertragsklauseln (SCC) nach Art. 46(2)(c) DSGVO und auf den EU, US Data Privacy Framework. Ein Transfer Impact Assessment ist erforderlich, und zusätzliche Schutzmaßnahmen sollten dokumentiert sein.
Eine DSFA wird empfohlen, wenn Formulare besondere Datenkategorien erheben (Gesundheit, Religion, politische Meinungen), Daten im großen Maßstab verarbeiten, schutzbedürftige Gruppen ansprechen (Minderjährige, Beschäftigte) oder zur systematischen Überwachung dienen. Für gängige Kontakt-, oder Feedback-Formulare mit wenigen personenbezogenen Daten ist eine DSFA i. d. R. nicht zwingend, eine Dokumentation der Bewertung ist jedoch empfehlenswert.
Blockieren Sie die iframe hinter Ihrer Consent Management Platform, zeigen Sie einen Zwei-Klick-Platzhalter mit Erläuterungen zum Ladevorgang, listen Sie Google Forms in Ihrer Cookie-Richtlinie und im Verarbeitungsverzeichnis, halten Sie das Google Workspace DPA bereit, führen Sie ein Transfer Impact Assessment durch und verzichten Sie auf besondere Datenkategorien ohne starke Rechtsgrundlage nach Art. 9.
Alternativen mit EU-Hosting sind u. a. Tally, Typeform (mit europäischer Datenresidenz), Formbricks, JotForm (EU-Rechenzentrum), LimeSurvey und SurveyMonkey EU. Sie reduzieren oder eliminieren das US-Transferproblem und bieten häufig DPAs, die standardmäßig den EU-Erwartungen entsprechen.
Nennen Sie Google Forms namentlich, die Kategorien der gesetzten Cookies (funktional, marketing), die erhobenen Daten (Formularantworten, IP-Adresse, Geräte-Metadaten), das Verantwortlichkeits-, und Auftragsverarbeitungsverhältnis zu Google LLC, die Speicherdauer (gemäß Google Workspace-Bedingungen), das Zielland (USA), den Transfer-Mechanismus (SCC, Data Privacy Framework) sowie einen Link auf die Google-Datenschutzerklärung.