Google Forms

Was Google Forms ist und wie es funktioniert

Google Forms ist Teil der Google Workspace-Suite und ermöglicht es jedem, Umfragen, Quizze, Anmeldeformulare und Feedback-Fragebögen über eine einfache Drag-and-Drop-Oberfläche zu erstellen. Formulare werden auf docs.google.com gehostet und können per teilbarem Link, per E-Mail-Einladung oder, am häufigsten auf Websites, in einer iframe eingebettet werden. Jede Antwort wird in einer verknüpften Google Sheets-Datei oder direkt im Antwort-Panel von Forms gespeichert.

Welche Daten und Cookies Google Forms erfasst

Wenn ein Google-Formular auf Ihrer Website geladen wird (per iframe-Einbettung oder Direktbesuch), setzt Google mehrere Cookies auf den Domains docs.google.com und google.com, darunter NID, CONSENT, SOCS, AEC und 1P_JAR. Über Cookie-Daten hinaus erfasst Google die IP-Adresse des Befragten, den User-Agent, den Referrer, die Bildschirmauflösung und, sofern der Befragte angemeldet ist, die Google-Konto-Kennung. Sämtliche Formularantworten werden auf Google-Servern gespeichert.

DSGVO- und ePrivacy-Implikationen

Da beim Seitenaufruf Cookies auf das Endgerät geschrieben werden, verlangt Art. 5(3) ePrivacy-Richtlinie (in nationalen Cookie-Gesetzen in der gesamten EU umgesetzt) eine vorherige, informierte und freiwillige Einwilligung, bevor Google Forms in einem eingebetteten Kontext geladen werden darf. Google agiert als Auftragsverarbeiter für Formularantworten unter dem Google Workspace Data Processing Addendum, jedoch als eigenständiger Verantwortlicher für bestimmte Telemetrie, sodass Betreiber für Transparenz und ein ebenso einfach zugängliches Ablehnen wie das Annehmen verantwortlich bleiben.

Einwilligungspflichten vor dem Laden

In der Praxis muss ein eingebettetes Google-Formular hinter einer Consent Management Platform blockiert werden, bis die Besucherin oder der Besucher aktiv in die einschlägige Kategorie eingewilligt hat (typischerweise Funktional oder Marketing, je nach Einstufung). Eine sogenannte Zwei-Klick-Lösung, bei der ein Platzhalter erläutert, was das Laden des Formulars bedeutet, und der Nutzer explizit zustimmen muss, ist das gängigste Muster und steht im Einklang mit Leitlinien der CNIL, des BfDI und weiterer EU-Aufsichtsbehörden.

Datentransfers in die USA

Google Forms-Daten werden überwiegend auf Infrastruktur von Google LLC in den USA verarbeitet. Transfers stützen sich auf Standardvertragsklauseln gemäß Art. 46(2)(c) DSGVO sowie auf den EU, US Data Privacy Framework, sofern Google LLC dort zertifiziert ist. Verantwortliche sollten ein Transfer Impact Assessment durchführen, zusätzliche Maßnahmen prüfen (etwa Pseudonymisierung von Formularfeldern) und die Rechtsgrundlage des Transfers im Verarbeitungsverzeichnis dokumentieren.

Praktische Compliance-Schritte

Konkret: führen Sie Google Forms in Cookie-Richtlinie und Verarbeitungsverzeichnis, blockieren Sie die iframe bis zur Einwilligung, bieten Sie einen Zwei-Klick-Platzhalter, halten Sie das Google Workspace DPA bereit, führen Sie ein Transfer Impact Assessment durch und verzichten Sie auf die Erhebung besonderer Datenkategorien über Google Forms ohne starke Rechtsgrundlage nach Art. 9. Für Hochrisikoszenarien (Gesundheitsumfragen, Mitarbeiter-Feedback, Minderjährige) ziehen Sie eine EU-basierte Alternative in Betracht.