Formular-Werkzeuge vergleichen: Kriterien für Schweizer KMU

Ein Gartenbaubetrieb in Sursee nimmt Offertanfragen bisher per Telefon entgegen und will sie künftig über ein Formular auf der Website sammeln: Name, Adresse, Telefonnummer, Grundstücksgrösse, ein Feld für Bemerkungen, dazu ein Foto des Gartens. Drei Anbieter stehen in der engeren Wahl. Alle drei Startseiten sehen ordentlich aus, alle drei sprechen von Sicherheit und Datenschutz, und nach einer Stunde Lesen ist die Auswahl keinen Schritt weiter.

Das liegt selten an fehlenden Informationen. Es liegt daran, dass die Angaben nicht nebeneinanderstehen. Ein Vergleich, der weiterhilft, ist deshalb weniger eine Meinung als eine Tabelle: dieselben Fragen, an jeden Anbieter gestellt, beantwortet aus dem, was er selbst veröffentlicht.

Wie so eine Tabelle aufgebaut ist

Eine Spalte pro Anbieter, eine Zeile pro Kriterium. In jeder Zelle drei Dinge: die Antwort in einem Halbsatz, die Adresse der Seite, auf der sie steht, und das Datum, an dem nachgeschaut wurde. Das Datum klingt nach Bürokratie und ist das Nützlichste an der ganzen Übung — Dokumentation ändert sich, und eine Notiz ohne Datum lässt sich später nicht mehr einordnen.

Zwei Regeln halten die Tabelle brauchbar. Erstens: In eine Zelle kommt nur, was in der Dokumentation des Anbieters selbst steht, nicht, was ein Vergleichsportal darüber schreibt und nicht, was im Verkaufsgespräch gesagt wurde. Zweitens: Was sich nicht finden lässt, bleibt leer. Eine leere Zelle ist kein Urteil über den Anbieter; sie hält fest, dass eine Frage offen ist und per E-Mail gestellt werden kann.

Acht Kriterien

Kriterium	Die Frage dahinter	Wo die Angabe meist steht
Speicherort	In welchem Land liegen die Antworten — und die hochgeladenen Dateien?	Sicherheits- oder Datenschutzseite, Hilfebereich
Unterauftragsbearbeiter	Wer arbeitet sonst noch mit, und wer davon sieht Formularantworten?	Öffentliche Liste, Datenschutzerklärung
Vertrag	Gibt es einen Auftragsverarbeitungsvertrag, und ab wann gilt er?	AGB, eigene Vertragsseite, Registrierung
Export	In welchem Format kommen die Antworten wieder heraus?	Produkthilfe unter «Export»
Löschung und Vertragsende	Was geschieht beim Löschen, und was beim Kündigen?	AGB, Hilfebereich zu Aufbewahrung
Betroffenenrechte	Findet die Software die Daten einer einzelnen Person wieder?	Produkthilfe, Vertrag
Sprachen	Läuft das Formular auf Deutsch, Französisch und Italienisch?	Funktionsseite, Hilfebereich
Uploads und Einbettung	Welche Dateien sind möglich, und wie kommt das Formular auf die Seite?	Produkthilfe

Die Reihenfolge ist keine Rangfolge. Für die eine Praxis ist die Mehrsprachigkeit entscheidend, für den anderen Betrieb der Speicherort. Die Tabelle sagt nicht, was wichtiger ist — sie stellt nur sicher, dass nichts vergessen geht.

Speicherort: die Angabe gilt für etwas Bestimmtes

Die Frage nach dem Speicherort hat selten eine Antwort aus einem Wort, weil sie fast immer an eine Produktvariante, eine Region oder eine Einstellung geknüpft ist.

Jotform etwa beschreibt auf einer eigenen Seite eine europäische Option und formuliert sie so: «The data will be kept exclusively in our EU servers in Germany.» Das ist eine präzise Angabe — und zugleich eine, die für diese Option gilt und nicht allgemein für jedes Konto. Tally schreibt in seinem Hilfebereich, alle Formulardaten seien bei der Übertragung und im Ruhezustand verschlüsselt und würden in Europa gespeichert. Und Formsly, ein Anbieter aus der Schweiz, hält in seinen häufigen Fragen fest: «Alle Daten, Antworten und hochgeladenen Dateien (wie PDFs oder Bilder) werden ausschliesslich auf dedizierten Servern in der Schweiz (Rechenzentrum Zürich) gespeichert», mit Exoscale als Infrastruktur-Partner.

Drei Anbieter, drei unterschiedlich formulierte Antworten — und in allen drei Fällen eine, die sich zitieren und datieren lässt. Genau das gehört in die Zelle. Was «Daten in der Schweiz» dabei beantwortet und was nicht, haben wir in einem eigenen Beitrag auseinandergenommen.

Unterauftragsbearbeiter: die Spalte, die den Unterschied macht

Hinter jedem Formulardienst stehen weitere Dienstleister — Rechenzentrum, Mailversand, Fehlerprotokoll, Support-Werkzeug. Rechtlich ist das kein Nebenschauplatz: Ein Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen (Art. 9 Abs. 3 DSG). Ist diese Genehmigung allgemein erteilt, informiert der Auftragsbearbeiter über jede beabsichtigte Hinzuziehung oder Ersetzung, und es kann Widerspruch erhoben werden (Art. 7 DSV). Der EDÖB fragt in seiner Checkliste zu Cloud-Diensten entsprechend, ob der Anbieter einen Überblick über seine Unterauftragsbearbeiter hat und ob daraus hervorgeht, in welchen Ländern bearbeitet wird.

Für die Tabelle zählt nicht nur, ob eine Liste existiert, sondern wie fein sie ist. Tally veröffentlicht seine Unterauftragsbearbeiter als Tabelle mit Name, Zweck, Land — und einer Spalte «May process form submissions», also der Unterscheidung, ob ein Dienstleister überhaupt mit Formularantworten in Berührung kommt. Bei mehreren Einträgen steht dort ein Hinweis auf eine Einstellung, etwa für Datei-Uploads oder für Benachrichtigungs-E-Mails. Damit lässt sich eine Frage beantworten, die sonst schwer zu beantworten ist: Welcher Teil der Kette wird überhaupt aktiv, wenn dieses eine Formular verwendet wird?

Vertrag, Export und das Ende

Drei Zeilen, die im Auswahlgespräch fast nie vorkommen und danach umso häufiger.

Der Vertrag. Interessant ist weniger, ob ein Auftragsverarbeitungsvertrag existiert — er ist bei vielen Anbietern Standard —, sondern ob er vor der Registrierung lesbar ist und wie er zustande kommt. Tally beschreibt, dass geschäftliche Nutzerinnen und Nutzer mit der Zustimmung zu den Bedingungen bei der Kontoeröffnung auch an den Vertrag zur Auftragsbearbeitung gebunden sind und dass dieser nicht unterzeichnet werden muss. Formsly schreibt, ein Auftragsverarbeitungsvertrag werde direkt bei der Registrierung zur Verfügung gestellt. Beides sind Angaben, die sich vor dem Anlegen eines Kontos nachlesen lassen.

Der Export. Das DSG gibt jeder Person das Recht, die Personendaten, die sie dem Verantwortlichen bekanntgegeben hat, in einem gängigen elektronischen Format zu verlangen, sofern automatisiert bearbeitet wird und die Bearbeitung auf einer Einwilligung oder einem Vertrag beruht (Art. 28 DSG). Was «gängig» heisst, konkretisiert die DSV: Formate, die es ermöglichen, die Daten mit verhältnismässigem Aufwand zu übertragen und weiterzuverwenden (Art. 21 DSV). Für die Tabelle ist das eine handfeste Zeile — CSV, Excel, Schnittstelle, oder eben nur ein PDF-Ausdruck.

Das Ende. Zwei verschiedene Fragen, die oft zusammengeworfen werden: Was geschieht, wenn eine einzelne Antwort gelöscht wird, und was, wenn der Vertrag endet? Tally beschreibt für den ersten Fall eine Frist: gelöschte Formulardaten würden innerhalb von 90 Tagen endgültig aus den Sicherungen entfernt, sofern der Papierkorb nicht vorher von Hand geleert werde. Für den zweiten Fall führt der EDÖB die Frage in seiner Cloud-Checkliste ausdrücklich auf: ob im Vertrag geregelt ist oder bestimmt werden kann, dass der Anbieter die Personendaten nach Beendigung des Vertrags löscht oder zurückgibt.

Wenn jemand Auskunft verlangt

Eine Zeile, die erst Jahre später gebraucht wird und dann sofort. Jede Person kann Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden, und erhält dabei unter anderem die bearbeiteten Daten selbst, den Zweck, die Aufbewahrungsdauer und die Empfängerinnen und Empfänger (Art. 25 DSG). Adressat ist der Betrieb: Lässt der Verantwortliche Daten von einem Auftragsbearbeiter bearbeiten, bleibt er auskunftspflichtig (Art. 25 Abs. 4 DSG). Der Auftragsbearbeiter unterstützt ihn dabei, sofern er das Begehren nicht in dessen Auftrag beantwortet (Art. 17 Abs. 2 DSV).

In der Tabelle wird daraus eine sehr praktische Frage: Lässt sich in der Software über alle Formulare hinweg nach einer Person suchen? Ein Betrieb mit sieben Formularen und fünf Jahren Antworten merkt den Unterschied zwischen einer Suche und sieben Exporten deutlich.

Die alltäglichen Kriterien

Sie stehen selten in Datenschutzvergleichen und entscheiden im Alltag oft mehr.

Sprachen. Ein Betrieb in Biel oder in Graubünden braucht dasselbe Formular in zwei oder drei Sprachen. Die Frage ist, ob ein Formular mehrere Sprachfassungen haben kann und wie viel davon automatisch geschieht. Jotform bewirbt die Funktion mit Übersetzungen in über 130 Sprachen. Für die Tabelle lohnt sich eine zweite, feinere Zeile: Werden auch Fehlermeldungen, Auswahllisten und die Bestätigungsseite übersetzt, oder nur die Fragen?

Uploads. Sobald ein Formular Dateien annimmt, entsteht ein zweiter Speicherort mit eigenen Regeln. Tally nennt für den Gratisplan eine Grenze von 10 MB pro Datei und beschreibt, dass hochgeladene Dateien erhalten bleiben, solange das Konto besteht und die Antwort nicht gelöscht wird. In derselben Dokumentation steht, dass Datei-Uploads über einen bestimmten Dienstleister laufen — ein gutes Beispiel dafür, dass die Upload-Zeile und die Unterauftragsbearbeiter-Zeile zusammengehören.

Einbettung. Wie das Formular auf die eigene Website kommt, ist eine Gestaltungsfrage und zugleich eine Datenfrage. Tally dokumentiert drei Varianten — eingebettet in eine Seite, als Fenster, als ganze Seite. Für die Besucherin sieht eine eingebettete Variante aus wie ein Teil der eigenen Website; technisch geht die Antwort beim Absenden trotzdem an die Adresse des Anbieters. Wer das weiss, formuliert die Datenschutzerklärung anders.

Was die Tabelle am Ende leistet

Diese Beispiele sind keine Auswahl der besten Anbieter, und die Liste ist nicht vollständig. Es sind drei Anbieter, deren Dokumentation zu diesen Punkten öffentlich und ohne Konto lesbar ist. Anbieter, deren Angaben wir nicht selbst nachlesen konnten, haben wir weggelassen, statt aus zweiter Hand über sie zu schreiben — was kein Urteil über sie ist, sondern über unsere Quellenlage.

Was am Ende dasteht, ist keine Rangliste, sondern eine Entscheidungsgrundlage, die sich zeigen lässt: dem Geschäftspartner, dem Treuhänder, der Kundin, die am Telefon fragt, wo ihre Fotos vom Garten eigentlich liegen. Und weil jede Zelle eine Adresse und ein Datum trägt, lässt sie sich in zwei Jahren in einer halben Stunde auffrischen, statt von vorne zu beginnen.

Die App für Online-Formulare, die wir entwickeln, wird auf dieselben Zeilen antworten müssen. Unsere Antworten auf Speicherort, Verschlüsselung und Export werden auf der App-Seite stehen, mit derselben Nachprüfbarkeit, die wir hier von anderen erwarten — das ist der einzige Vergleichsmassstab, der für alle gleich gilt.