Google Forms Alternative Schweiz: Was Berufsgeheimnisträger wissen müssen

Der häufigste Satz, den ich in Gesprächen mit Treuhändern höre, geht ungefähr so: «Wir nehmen dafür einfach ein Google-Formular.» Meistens folgt darauf eine kurze Pause, wenn ich frage, was in diesem Formular drinsteht. AHV-Nummern. Lohnausweise. Manchmal Kopien von Ausweisen für die GwG-Identifikation.

Google Forms ist ein gutes Produkt. Es ist gratis, jeder kennt es, und in zehn Minuten steht ein funktionierendes Formular. Das Problem liegt nicht in der Bedienung, sondern darin, wo die Antworten landen und wer sie theoretisch lesen kann.

Für Nutzer in Europa und der Schweiz betreibt Google Ireland Limited den Dienst. Die Daten bleiben aber nicht zwingend in Irland. Google verarbeitet Daten in einem weltweiten Rechenzentrumsverbund, und die Konzernmutter sitzt in Kalifornien.

Rechtlich hat sich die Ausgangslage 2024 verändert. Der Bundesrat hat am 14. August 2024 entschieden, Anhang 1 der Datenschutzverordnung anzupassen. Seit dem 15. September 2024 gelten die USA gestützt auf Art. 16 Abs. 1 DSG als Land mit angemessenem Datenschutzniveau, allerdings nur für Unternehmen, die unter dem Swiss-US Data Privacy Framework zertifiziert sind. Google ist zertifiziert. Eine Datenübermittlung an Google ist damit grundsätzlich ohne zusätzliche Garantien wie Standardvertragsklauseln zulässig.

Damit könnte die Sache erledigt sein. Ist sie aber nicht ganz.

Der Bundesrat überprüft solche Entscheide laufend und kann sie zurückziehen. Und die Grundlage, auf der das Framework steht, hat 2025 Risse bekommen.

Das Privacy and Civil Liberties Oversight Board, kurz PCLOB, ist die US-Aufsichtsbehörde, deren Existenz für die Angemessenheitsbeurteilung mitentscheidend war. Am 27. Januar 2025 entliess die Trump-Administration drei der vier verbliebenen Mitglieder. Das Gremium verlor damit sein Quorum und war handlungsunfähig. Ein Bundesrichter in Washington, Reggie B. Walton, erklärte die Entlassungen im Mai 2025 für nichtig.

Auf europäischer Seite hat das Gericht der EU am 3. September 2025 in der Rechtssache T-553/23 die Klage des französischen Abgeordneten Philippe Latombe gegen den EU-US-Angemessenheitsbeschluss abgewiesen. Das Framework hält also vorerst. Eine Berufung zum EuGH ist angemeldet.

Kurz: Es gilt. Es ist aber nicht in Stein gemeisselt, und wer heute eine Lösung für die nächsten fünf Jahre auswählt, sollte das einkalkulieren. Das ist keine Rechtsberatung, sondern die Beschreibung einer Rechtslage, die sich seit 2020 zweimal grundlegend geändert hat.

Beim Datenschutz hört die Prüfung nicht auf. Für Anwältinnen, Ärzte, Zahnärzte, Apotheker, Psychologen und ihre Hilfspersonen gilt zusätzlich Art. 321 StGB, das Berufsgeheimnis. Verletzung wird mit Geldstrafe oder Freiheitsstrafe bis zu drei Jahren bestraft.

Das Berufsgeheimnis ist eine eigenständige Schranke. Eine Datenbearbeitung kann datenschutzrechtlich einwandfrei sein und trotzdem eine Geheimnisverletzung darstellen. Es gibt hier keine Einwilligung des Datenschutzbeauftragten, die das heilt.

Nach herrschender Lehre ist Cloud-Nutzung für Berufsgeheimnisträger möglich. David Rosenthal hat das 2020 im Jusletter ausführlich hergeleitet: Der Anbieter muss als Hilfsperson in einem Subordinationsverhältnis eingebunden, sorgfältig ausgewählt und vertraglich abgesichert sein. Der US CLOUD Act bleibt dabei ein Risikofaktor, weil er US-Anbieter unter Umständen zur Herausgabe von Daten verpflichtet, unabhängig vom Speicherort.

Die sauberste Antwort auf dieses Problem ist technisch, nicht vertraglich: Wenn der Anbieter die Daten gar nicht lesen kann, geht auch eine Herausgabeanordnung ins Leere.

Fast jedes Formular-Tool wirbt inzwischen mit Datenschutz. Beim genaueren Hinsehen bedeuten die Aussagen sehr Unterschiedliches.

«Hosting in der EU» heisst, die Server stehen in Frankfurt oder Dublin. Der Anbieter kann die Daten trotzdem lesen.

«AES-256-Verschlüsselung» heisst in der Regel Verschlüsselung im Ruhezustand. Der Schlüssel liegt beim Anbieter. Auch hier: Er kann lesen.

«Ende-zu-Ende-Verschlüsselung» oder «Zero Knowledge» heisst, die Daten werden im Browser des Absenders verschlüsselt und erst im Browser des Empfängers wieder entschlüsselt. Der Anbieter sieht Chiffrat. Das ist der einzige Aufbau, bei dem die Frage nach dem Serverstandort ihre Schärfe verliert.

Der Unterschied klingt technisch, ist aber genau der Punkt, an dem sich für eine Anwaltskanzlei entscheidet, ob eine Lösung in Frage kommt.

Microsoft Forms: USA, EU-Rechenzentren möglich. Transport- und Ruheverschlüsselung. Passt für Firmen, die ohnehin tief in Microsoft 365 stecken.

Typeform: Spanien, AWS. Transport- und Ruheverschlüsselung. Passt für Marketing, Lead-Formulare und Teams mit hohem Designanspruch.

Jotform: USA, EU-Option buchbar. Transport- und Ruheverschlüsselung, Feldverschlüsselung als Option. Passt für grosse Formularvolumen und viele Integrationen.

Tally: Belgien. Transport- und Ruheverschlüsselung. Passt für kleine Teams und schnelle Formulare.

LimeSurvey: Deutschland, self-hosted möglich. Die Verschlüsselung hängt vom Setup ab. Passt für Forschung und Organisationen mit eigener IT-Abteilung.

SoSci Survey: Deutschland. Transport- und Ruheverschlüsselung. Passt für akademische Befragungen.

Formbricks: Open Source, self-hosted. Die Verschlüsselung hängt vom Setup ab. Passt für Produktteams mit eigener Infrastruktur.

Formsly: Schweiz, Exoscale Zürich. Ende-zu-Ende-Verschlüsselung. Passt für Treuhand, Immobilien, Kanzleien und Praxen.

Stand August 2026. Die Angaben ändern sich. Prüft sie vor einem Entscheid selbst nach.

Zwei Dinge fallen an dieser Liste auf. Erstens gibt es viele gute europäische Tools, aber praktisch keines mit Ende-zu-Ende-Verschlüsselung. Zweitens ist Self-Hosting mit LimeSurvey oder Formbricks technisch die sauberste Lösung, wenn jemand da ist, der den Server pflegt. In einer Treuhandkanzlei mit vier Mitarbeitenden ist das niemand.

Fragt den Anbieter, ob er die Antworten in eurem Formular lesen kann. Nicht ob er es tut. Ob er es könnte. Die Antwort trennt die Kategorien zuverlässiger als jedes Datenschutz-Whitepaper.

Prüft, ob ein Auftragsbearbeitungsvertrag vorliegt und ob ihr ihn ohne Vertriebsgespräch herunterladen könnt. Wer den ABV hinter einem Formular versteckt, hat oft keinen.

Schaut, was beim Löschen passiert. Viele Tools behalten Daten in Backups, ohne das zu dokumentieren. Für Aufbewahrungsfristen und Löschbegehren nach Art. 32 DSG braucht ihr eine belastbare Aussage.

Und rechnet den Wechselaufwand ehrlich. Wer fünfzehn Google-Formulare im Einsatz hat, migriert die nicht an einem Nachmittag. Realistisch sind ein bis zwei Formulare pro Woche, wenn nebenher noch gearbeitet wird.

Eine Umfrage zum Weihnachtsessen. Eine Anmeldung fürs Vereinsturnier. Feedback zu einem öffentlichen Vortrag. Überall dort, wo keine besonders schützenswerten Personendaten fliessen und niemand ein Berufsgeheimnis trägt, ist der Aufwand für einen Wechsel schwer zu begründen.

Die Grenze verläuft nicht zwischen Google und Nicht-Google, sondern zwischen Daten, deren Bekanntwerden jemandem schadet, und solchen, bei denen das nicht der Fall ist. Wer sie kennt, spart sich viele Diskussionen.

Wenn ihr wissen wollt, wie ein Formular aussieht, dessen Antworten wir bei Formsly technisch nicht lesen können: Formsly kostenlos testen.