Google Forms in der Schule: Ist das DSGVO-konform? Eine ehrliche Antwort

Zu jedem Schuljahresbeginn taucht im Lehrerzimmer dieselbe Frage auf: Können wir den Eltern nicht einfach ein Google-Formular schicken? Es ist kostenlos, alle kennen es, und die Antworten landen ordentlich in einer Tabelle. Bis jemand fragt, ob das nach der DSGVO überhaupt erlaubt ist, und niemand es sicher weiß.

Die ehrliche Antwort ist weder Ja noch Nein. Die DSGVO genehmigt oder verbietet keine Produkte. Sie legt Ihrer Schule Pflichten auf, und ob Google Forms (oder Microsoft Forms) diese erfüllt, hängt davon ab, welche Version Sie nutzen, wie sie eingerichtet ist und was Sie darin abfragen. Dieser Artikel zeigt, was Aufsichtsbehörden in Deutschland und anderen europäischen Ländern tatsächlich gesagt haben, wo die Risiken liegen, was Ihre Schule regeln muss und wann ein in der EU gehostetes Werkzeug wie TinyForms schlicht der einfachere Weg ist.

Das ist eine praktische Orientierung, keine Rechtsberatung. Das letzte Wort haben der oder die Datenschutzbeauftragte Ihrer Schule und Ihr Schulträger.

Kurz gesagt:

• Google Forms ist nicht verboten, aber das private Google-Konto einer Lehrkraft ist etwas völlig anderes als ein sauber eingerichtetes Schulkonto.
• Öffentliche Stellen in den Niederlanden, Flandern und Dänemark haben die Bildungsprodukte von Google gründlich geprüft. Ihr Ergebnis: nutzbar unter Bedingungen, in den kostenpflichtigen Versionen, und die Schule muss selbst einiges tun.
• In Deutschland bewerten die Aufsichtsbehörden große US-Clouddienste bis heute unterschiedlich.
• Die vier Risiken sind Übermittlungen außerhalb der EU, der Auftragsverarbeitungsvertrag, Daten von Minderjährigen (besonders Gesundheitsdaten) und die Speicherdauer.
• Für Formulare an Eltern, etwa Einverständniserklärungen und Anmeldungen, nimmt Ihnen ein in der EU gehostetes Werkzeug mit automatischer Löschung viel dieser Arbeit ab.

Google Forms und DSGVO in der Schule: Es kommt darauf an, welches Google Forms

Hinter demselben Logo stecken zwei sehr unterschiedliche Situationen.

Ein Schulkonto in Google Workspace for Education. Google Forms gehört zu den Kerndiensten von Google Workspace und fällt unter den Vertrag der Schule mit Google. Die Schule ist dann Verantwortliche, und Google handelt weitgehend als Auftragsverarbeiter, zu Bedingungen, denen die Schule zugestimmt hat.

Ein privates Google-Konto. Eine Lehrkraft, die ein Formular in ihrem eigenen Gmail-Konto anlegt, steht vollständig außerhalb des Vertrags der Schule. Für diese Daten gibt es dann keinen Auftragsverarbeitungsvertrag zwischen Schule und Google, und die Schule kann sie weder verwalten noch löschen. Hier beginnen die meisten echten Probleme.

Die sinnvolle Frage lautet also nicht „Ist Google Forms DSGVO-konform?“, sondern „Nutzt unsere Schule eine Version und eine Einrichtung, die wir begründen können?“

Was Aufsichtsbehörden und öffentliche Stellen sagen

Deutschland: kein einheitliches Bild

Wie unterschiedlich die Behörden urteilen, zeigt das Beispiel Microsoft 365. Die Datenschutzkonferenz (DSK) stellte im November 2022 fest, dass Verantwortliche auf Grundlage des damaligen Vertrags nicht nachweisen können, Microsoft 365 datenschutzkonform zu betreiben. Der Hessische Beauftragte für Datenschutz kam im November 2025 nach Verhandlungen mit Microsoft zu dem Ergebnis, dass Microsoft 365 in Hessen datenschutzkonform genutzt werden kann, ohne die einzelnen Dienste technisch zu prüfen. Andere Landesbeauftragte sehen das zurückhaltender. Klären Sie deshalb mit Ihrem Schulträger und Ihrem Kultusministerium, welche Dienste in Ihrem Land freigegeben sind.

Niederlande: nutzbar, aber nicht die kostenlose Version

In den Niederlanden prüften SIVON und SURF Google Workspace for Education in einer Datenschutz-Folgenabschätzung (DSFA) und fanden 2021 acht hohe Risiken. Google besserte nach, und SIVON kam 2024 zu dem Schluss, dass eine sichere Nutzung möglich ist, wenn Schulen selbst Maßnahmen treffen, darunter Einstellungen, die es nur in den kostenpflichtigen Versionen gibt. Im September 2025 stellte SIVON klar: Die kostenlose Version lässt sich nicht sicher nutzen. In Flandern kommt eine Expertengruppe des Bildungswesens zum gleichen Ergebnis: Nur mit einer kostenpflichtigen Lizenz bleiben die Daten im Europäischen Wirtschaftsraum.

Dänemark: deutliche Kritik an Unterauftragsverarbeitern

Die dänische Aufsichtsbehörde wies 2024 Kommunen an, Schülerdaten nicht mehr für Zwecke ohne Rechtsgrundlage an Google weiterzugeben. Im Januar 2026 sprach sie 51 Kommunen eine ernste Rüge aus, mit Blick auf Googles Unterauftragsverarbeiter außerhalb der EU.

Übermittlungen in die USA: derzeit erlaubt, aber umstritten

Die EU hat im Juli 2023 den EU-US-Datenschutzrahmen angenommen, und das Gericht der EU hat ihn im September 2025 bestätigt. Ein Rechtsmittel beim Gerichtshof ist anhängig, und die beiden Vorgänger wurden für ungültig erklärt.

Österreich und die Schweiz

In Österreich gilt die DSGVO wie in Deutschland, ergänzt um das österreichische Datenschutzgesetz. In der Schweiz gilt nicht die DSGVO, sondern das revidierte Datenschutzgesetz, und für öffentliche Schulen meist das kantonale Datenschutzrecht. Die Fragen unten stellen sich aber überall gleich.

Der gemeinsame Nenner: Niemand sagt „niemals“. Alle sagen, dass die Schule nachweisen muss, dass ihre Nutzung rechtmäßig ist.

Wo die Risiken liegen

1. Übermittlungen außerhalb der EU

Auch wenn die Daten in Europa liegen, können ein US-Anbieter und seine Unterauftragsverarbeiter US-Recht unterliegen. Der Europäische Datenschutzausschuss betont in seiner Stellungnahme 22/2024, dass der Verantwortliche (Ihre Schule) seine Auftragsverarbeiter und Unterauftragsverarbeiter kennen und deren Garantien prüfen muss.

2. Der Auftragsverarbeitungsvertrag

Artikel 28 DSGVO verlangt mit jedem Auftragsverarbeiter einen schriftlichen Vertrag. Für ein Schulkonto in Workspace gibt es ihn, wenn jemand ihn abgeschlossen hat. Für ein privates Konto nicht. Das gilt für jedes Werkzeug, bei dem sich eine Lehrkraft mal eben anmeldet.

3. Daten von Minderjährigen, besonders Gesundheitsdaten

Schülerinnen und Schüler verdienen besonderen Schutz. Eine Einverständniserklärung für einen Ausflug fragt oft nach Allergien, Medikamenten oder Ernährung. Das sind Gesundheitsdaten, eine besondere Kategorie nach Artikel 9. Fragen Sie nur, was der Ausflug wirklich braucht, und nur bei denen, die mitfahren.

4. Die Speicherdauer

Die DSGVO verlangt, Daten nicht länger als nötig zu speichern. Ein Google-Formular behält seine Antworten, samt verknüpfter Tabelle, bis jemand sie löscht. Die Allergieliste vom letzten Jahr lebt so still in irgendeinem Drive weiter.

Was Ihre Schule regeln muss

Egal, welches Werkzeug Sie wählen, das ist die Liste:

1. Nur Schulkonten nutzen. Keine Formulare für Schulzwecke in privaten Konten.
2. Vertrag und Version prüfen. Gibt es einen Auftragsverarbeitungsvertrag, und können die Daten in der EU bleiben?
3. Eine DSFA durchführen, wenn viele Schülerinnen und Schüler oder sensible Daten betroffen sind.
4. Transparent informieren. Jedes Formular braucht eine klare Datenschutzerklärung: wer Sie sind, warum Sie die Daten erheben, wie lange Sie sie speichern, an wen man sich wenden kann.
5. Die richtige Rechtsgrundlage wählen. Vieles, was eine Schule tut, beruht auf ihrem gesetzlichen Bildungsauftrag, nicht auf Einwilligung. Fragen Sie nur dort nach einer Einwilligung, wo man wirklich ablehnen kann, etwa bei Fotos auf der Website.
6. Weniger erheben. Jede gestrichene Frage ist ein Risiko weniger.
7. Ein Löschdatum festlegen und dafür sorgen, dass es eingehalten wird, auch bei Exporten.
8. Den Datenschutzbeauftragten einbeziehen, bevor ein neues Werkzeug eingeführt wird, nicht danach.

Wann ein DSGVO-Formular aus der EU die einfachere Wahl ist

Wenn Ihre Schule bereits eine kostenpflichtige, sauber eingerichtete und freigegebene Plattform mit DSFA nutzt, können interne Formulare darin gut begründbar sein. Viele Formulare sind aber nicht intern: Sie gehen an Eltern, oft verschickt von einer Lehrkraft oder dem Elternbeirat ohne Zugriff auf die Verwaltungskonsole. Dann ist die Liste oben viel Arbeit, für jeden Ausflug aufs Neue.

Hier passt TinyForms. Es wird in der EU von der Hyperchicken BV entwickelt und betrieben, und alles wird in der EU gehostet. Eltern brauchen kein Konto. Und der Datenschutz ist Teil des Formulars statt einer eigenen Aufgabe:

• Eine Datenschutzseite zu jedem Formular, verlinkt im Formular selbst. Standardmäßig wird sie in der Sprache des Formulars erstellt und nennt Ihre Schule und die Aufbewahrungsfrist. Sie können sie durch Ihre eigene Datenschutzerklärung ersetzen, für den ganzen Arbeitsbereich oder für ein einzelnes Formular.
• Ein Einwilligungsfeld mit Ihrem eigenen Text und Links, gespeichert mit der Einsendung, zu der es gehört.
• Automatisches Löschen. Sie legen fest, wie viele Tage Einsendungen aufbewahrt werden, und sie werden jede Nacht gelöscht, sobald diese Frist abgelaufen ist. Übrig bleiben nur anonyme Zählungen. Inhaber und Admins erhalten wöchentlich eine E-Mail mit dem, was demnächst gelöscht wird.

Ehrlich zum Rest: TinyForms speichert die IP-Adresse und den Browser jeder Einsendung, um Spam abzuwehren, Ihre Schule bleibt Verantwortliche, und Sie entscheiden, was verhältnismäßig ist. Den Auftragsverarbeitungsvertrag erhalten Sie in der aktuellen Fassung über unsere Kontaktseite. Die Seite zu DSGVO-freundlichen Formularen erklärt den Ansatz im Detail.

So richten Sie ein datenschutzfreundliches Schulformular mit TinyForms ein

Schritt 1: Starten Sie mit einer Schulvorlage

Die Vorlage für die Einverständniserklärung zum Schulausflug fragt nach dem Kind, einem Elternteil, einer Notfallnummer und dem Einverständnis, und zeigt die Fragen zu Gesundheit und Ernährung nur, wenn das Kind mitfährt.

Für neue Schülerinnen und Schüler trennt die Anmeldevorlage eine verpflichtende Datenschutzeinwilligung von einer freiwilligen Fotoeinwilligung. Ein Nein zu Fotos ist so kein Nein zur Anmeldung.

Beide Vorlagen enthalten einen Datei-Upload, die Ausflugsvorlage zusätzlich eine Unterschrift. Diese beiden Feldtypen gehören zu den Tarifen Pro und Business. Im kostenlosen Tarif löschen Sie sie und veröffentlichen den Rest.

Schritt 2: Prüfen Sie die Datenschutzseite

Öffnen Sie die Datenschutzseite aus der Vorschau. Passt der erzeugte Text, sind Sie fertig. Hat Ihre Schule eine eigene Datenschutzerklärung, fügen Sie sie einmal in den Einstellungen des Arbeitsbereichs ein, und jedes Formular verwendet sie.

Schritt 3: Formulieren Sie Einwilligungen sorgfältig

Nutzen Sie das Einwilligungsfeld für das, was wirklich freiwillig ist, mit einem eigenen Kästchen pro Entscheidung, und kreuzen Sie es nie vorab an. Verlinken Sie im Text Ihre Datenschutzseite.

Schritt 4: Wählen Sie eine passende Aufbewahrungsfrist

Die Frist gilt für den ganzen Arbeitsbereich und zählt ab dem Tag, an dem jede Einsendung eingegangen ist. Öffnen Sie das Formular zwei Monate vor dem Ausflug, würde eine Frist von 30 Tagen die Antworten noch vor der Abfahrt löschen. Der kostenlose Tarif erlaubt bis zu 30 Tage, Pro bis zu einem Jahr, und Business kann Einsendungen ohne Obergrenze aufbewahren. Alle Details finden Sie auf der Preisseite.

Schritt 5: Exportieren Sie, was Sie behalten müssen, und lassen Sie den Rest los

Braucht Ihre Verwaltung einen Nachweis, exportieren Sie vor Ablauf der Frist als CSV oder Excel. Der Rest verschwindet pünktlich. Der Hilfeartikel Daten und Datenschutz erklärt genau, was wann gelöscht wird.

Weitere Ideen für Formulare im Schulalltag finden Sie auf unserer Seite für Schulen.

Häufige Fragen

Ist Google Forms DSGVO-konform?

Kein Produkt ist für sich allein „DSGVO-konform“. Google Forms in einer kostenpflichtigen, sauber eingerichteten Google Workspace for Education, mit DSFA und Auftragsverarbeitungsvertrag, lässt sich nach Einschätzung mehrerer europäischer Stellen rechtmäßig nutzen. Google Forms im privaten Konto einer Lehrkraft ist für Schülerdaten kaum zu rechtfertigen.

Brauchen wir die Einwilligung der Eltern, um Google Forms zu nutzen?

Für ein Werkzeug, dem Schülerinnen und Schüler nicht ausweichen können, ist die Einwilligung meist die falsche Grundlage, denn ein Nein würde ein Kind vom Unterricht ausschließen. Für wirklich freiwillige Dinge, etwa die Veröffentlichung von Fotos, bleibt sie dagegen nötig. Fragen Sie Ihren Datenschutzbeauftragten, was für Ihre Schule gilt.

Und Microsoft Forms?

Es stellen sich dieselben Fragen: welches Konto, welcher Vertrag, wohin gehen die Daten, wie lange bleiben sie. Wie oben beschrieben, bewerten die deutschen Aufsichtsbehörden Microsoft 365 unterschiedlich. Folgen Sie den Vorgaben Ihres Landes und Schulträgers.

Ist TinyForms DSGVO-zertifiziert?

Nein, und das behaupten wir auch nicht. Wir bieten Hosting in der EU, eine Datenschutzseite und ein Einwilligungsfeld bei jedem Formular, automatisches Löschen und einen Auftragsverarbeitungsvertrag auf Anfrage.

Können Schülerinnen und Schüler TinyForms für eine Facharbeit nutzen?

Ja. Unser Leitfaden zum Erstellen einer Umfrage für die Facharbeit behandelt Fragen, Einwilligung und Anonymität bei Forschungsprojekten von Schülern und Studierenden.