LimeSurvey und Datenschutz – Was in die Datenschutzerklärung gehört

Setzt ein Webseitenbetreiber LimeSurvey Cloud ein, verarbeitet er beim Aufruf einer Umfrage oder eines eingebetteten Formulars typischerweise IP-Adressen, Browser- und Endgeräte-Informationen sowie die Umfrageantworten zum Zweck der Bereitstellung und Auswertung von Umfragen auf Basis berechtigter Interessen oder einer Einwilligung (Art. 6 Abs. 1 lit. f bzw. lit. a DSGVO). Diese Seite erläutert, welche Daten LimeSurvey nach den öffentlich zugänglichen Anbieter-Angaben verarbeitet und was dazu in die Datenschutzhinweise einer Webseite gehört.

A. Zweck und Funktionsweise von LimeSurvey

LimeSurvey ist eine leistungsstarke Open-Source-Umfrageplattform der LimeSurvey GmbH mit Sitz in Hamburg. Der Dienst erlaubt die Erstellung und Durchführung von Online-Umfragen, Feedback-Bögen, Evaluationen und Formularen. LimeSurvey zeichnet sich durch einen hohen Funktionsumfang aus: verzweigte Fragenlogik, viele Fragetypen, Mehrsprachigkeit, Anonymisierungsoptionen und umfangreiche Exportmöglichkeiten.

LimeSurvey existiert in zwei grundsätzlich verschiedenen Betriebsmodellen, die datenschutzrechtlich unterschiedlich zu beurteilen sind. Bei der selbstgehosteten Variante (Open Source) betreibt der Webseitenbetreiber die Software auf eigenem oder gemietem Server; in diesem Fall ist kein externer Auftragsverarbeiter im Spiel. Diese Seite fokussiert sich auf die für externe Webseitenbetreiber relevante LimeSurvey Cloud (SaaS-Version), bei der die Infrastruktur von der LimeSurvey GmbH betrieben wird und ein Auftragsverarbeitungsverhältnis entsteht.

Für die Integration einer LimeSurvey Cloud-Umfrage in eine eigene Webseite stehen im Wesentlichen zwei Wege offen: Erstens die Einbettung als <iframe> aus der LimeSurvey-Cloud-Domain des Betreibers (z. B. meinname.limesurvey.net), und zweitens die schlichte Verlinkung auf die eigenständige Umfrage-URL. Die iFrame-Einbettung führt beim Seitenaufruf zur Übermittlung von Verbindungsdaten an die Server des Anbieters; bei einer reinen Verlinkung findet die Verarbeitung erst auf der Zielseite der Umfrage statt.

B. Pflichtangaben in der Datenschutzerklärung beim Einsatz von LimeSurvey Cloud

Die DSGVO verlangt in der Datenschutzerklärung neben den allgemeinen Angaben zum Verantwortlichen, zu den Betroffenenrechten und zur Aufsichtsbehörde in Bezug auf die Nutzung von Tools spezifische Pflichtangaben:

• die Zwecke der Verarbeitung (Art. 13 Abs. 1 lit. c DSGVO),
• die Rechtsgrundlagen der Verarbeitung (Art. 13 Abs. 1 lit. c DSGVO),
• bei einer Verarbeitung auf Grundlage einer Interessenabwägung zusätzlich die konkret verfolgten berechtigten Interessen (Art. 13 Abs. 1 lit. d DSGVO),
• die Empfänger oder Kategorien von Empfängern (Art. 13 Abs. 1 lit. e DSGVO),
• ob die Daten in ein unsicheres Drittland außerhalb EU/EWR übermittelt werden und auf welcher Grundlage (Art. 13 Abs. 1 lit. f DSGVO),
• die Speicherdauer oder die Kriterien zu deren Festlegung (Art. 13 Abs. 2 lit. a DSGVO).

In der Praxis hat sich eingebürgert, für jedes einzelne Tool – auch für LimeSurvey – einen eigenen Textbaustein in die Datenschutzerklärung aufzunehmen. Dieses Vorgehen ist nach hier vertretener Auffassung nicht zwingend und führt regelmäßig zu langen, durch Wiederholungen aufgeblähten und schwer pflegbaren Datenschutzerklärungen. Das widerspricht dem Transparenzgebot des Art. 12 Abs. 1 DSGVO, der eine "präzise, transparente, verständliche und leicht zugängliche Form" verlangt.

Sachgerechter ist ein themenorientierter Ansatz: Verarbeitungen werden übergreifend nach Themenblöcken (Serverbetrieb, Drittanbieter-Inhalte, Newsletter, Tracking …) beschrieben; die konkret eingesetzten Dienstleister wie LimeSurvey werden in einem Anhang: Empfänger aufgelistet.

C. Anbieter: LimeSurvey GmbH

Vertragspartner für Webseitenbetreiber beim Einsatz von LimeSurvey Cloud ist nach den öffentlich zugänglichen Anbieter-Angaben:

• LimeSurvey GmbH
• Sitzland: Deutschland
• Eingetragene Anschrift: Papenreye 63, 22453 Hamburg, Deutschland
• Handelsregister: Hamburg, HRB 137625
• Privacy Notice (DE): https://www.limesurvey.org/de/datenschutzhinweise
• Privacy Notice (EN): https://www.limesurvey.org/privacy-notice
• AVV / Auftragsverarbeitungsvertrag: über das Online-Vertragsportal im Kundenkonto verfügbar (https://www.limesurvey.org/de/hilfe/faq/datenschutz%20und%20datenschutzpolitik/ich-will-einen-eu-allgemeinen-datenschutz-regulierung-gdpr-vertrag-abschlie%C3%9Fen-mit-ihnen-ist-das-m%C3%B6glich)

Drittlandtransfer: Da die LimeSurvey GmbH ihren Sitz in Deutschland hat und das Hosting nach den öffentlich zugänglichen Angaben auf Servern der Hetzner Online GmbH in Deutschland erfolgt, findet bei der Nutzung von LimeSurvey Cloud kein Transfer in ein Drittland statt. Dies ist ein wesentlicher Vorteil gegenüber US-amerikanischen Formular-Tools.

Subprozessoren: Als Hosting-Dienstleister (Subprozessor) nennt der Anbieter nach öffentlichen Quellen die Hetzner Online GmbH (Gunzenhausen, Deutschland). Weitere genannte Subprozessoren sind Host Europe GmbH und OVH GmbH. Die jeweils aktuelle Subprozessor-Liste ist im AVV des Anbieters ersichtlich.

Datenschutzbeauftragter: LimeSurvey hat nach den öffentlich zugänglichen Angaben einen Datenschutzbeauftragten bestellt; dieser ist über heydata.eu (datenschutz@heydata.eu) erreichbar.

D. Datenverarbeitung mit LimeSurvey Cloud – Ablauf in Schritten

E. Von LimeSurvey erhobene Daten

Beim Einsatz von LimeSurvey Cloud verarbeitet der Anbieter nach den öffentlich zugänglichen Angaben zunächst technische Verbindungsdaten: IP-Adresse, User-Agent, Referrer, Datum und Uhrzeit des Zugriffs. Hinzu kommen sämtliche Inhalte, die der Teilnehmer in der Umfrage eingibt – je nach Konfiguration also Freitexte, Bewertungen, Auswahlantworten, Datei-Uploads sowie – bei aktivierter Teilnehmer-Verwaltung – auch E-Mail-Adresse und Name.

LimeSurvey bietet als besonderes Merkmal die Möglichkeit, Umfragen vollständig anonym zu betreiben, sodass keine Rückschlüsse auf einzelne Teilnehmer möglich sind. Ob diese Option genutzt wird, liegt in der Verantwortung des Webseitenbetreibers.

Die erhobenen Daten lassen sich in folgende Datenarten-Klassen einordnen:

• Webserver-Protokolldaten: IP-Adresse, Datum/Uhrzeit, URL der Umfrage, Referrer, User-Agent, Statuscode
• Endgeräte-Daten: Gerätetyp, Betriebssystem
• Browserinformationen: Browsername und -version
• Grobe Standortdaten: anhand der IP-Adresse abgeleiteter Standort auf Stadt-/Gemeindeebene (sofern nicht anonymisiert)
• Nutzungskonto-Daten: bei aktivierter Teilnehmer-Verwaltung: E-Mail-Adresse, Name, Einladungsstatus
• Nutzer-Inhalte: alle Antworten des Teilnehmers auf die Umfragefragen, Freitexte, Auswahlen, hochgeladene Dateien
• Conversion-Ereignisse: das Abschließen der Umfrage als messbares Ereignis

F. Nutzungszwecke des Webseitenbetreibers beim Einsatz von LimeSurvey

Der Webseitenbetreiber nutzt LimeSurvey Cloud typischerweise zur Durchführung von Umfragen, Evaluationen, Kundenbefragungen, Mitarbeiterbefragungen oder Feedbackerhebungen. Im Gegensatz zu einfachen Kontaktformularen liegt der Schwerpunkt auf der strukturierten Erhebung von Meinungen, Bewertungen und Informationen, die anschließend ausgewertet werden.

Die Zwecke lassen sich in folgende Nutzungszweck-Klassen einordnen:

• Funktionsbereitstellung: Bereitstellung und Betrieb der Umfrage, Entgegennahme und Speicherung von Antworten, Fehlererkennung und Fehlerbehebung
• Allgemeine Produktverbesserung: Auswertung aggregierter Antwortdaten zur Verbesserung von Produkten, Dienstleistungen oder Prozessen, bedarfsgerechte Gestaltung von Angeboten
• Kommunikation: bei aktivierter Teilnehmer-Verwaltung: Versand von Einladungen und Erinnerungen, Bearbeitung von Rückfragen
• Compliance: Durchführung von Pflichtbefragungen (z. B. im Rahmen von Betriebsverfassungsrecht oder Qualitätssicherung)
• Erfüllung von Aufbewahrungspflichten: gesetzliche Aufbewahrungsfristen für erhobene Daten

G. Rechtsgrundlagen für den Einsatz von LimeSurvey

LimeSurvey fällt in die Tool-Kategorie Umfrage-Tool (Drittanbieter-Umfrageplattform, die als Cloud-SaaS betrieben wird und deren Oberfläche in die eigene Webseite eingebettet oder verlinkt wird).

Als Rechtsgrundlagen kommen in Betracht:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): wenn die Umfrage freiwillig ist und personenbezogene Daten der Teilnehmer für bestimmte Zwecke (z. B. Marketing, Profilerstellung) verarbeitet werden. Bei iFrame-Embedding kann § 25 Abs. 1 TDDDG relevant werden, sofern Cookies gesetzt werden.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): mit den konkret verfolgten Interessen an Funktionsbereitstellung, Qualitätssicherung, Produktverbesserung und Missbrauchsschutz. Diese Grundlage ist besonders bei anonymen oder anonymisierten Umfragen naheliegend, bei denen kein erheblicher Eingriff in die Rechte der Betroffenen vorliegt.
• Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO): wenn die Umfrage der Erfüllung oder Anbahnung eines Vertragsverhältnisses dient.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): sofern die Durchführung einer Befragung gesetzlich vorgeschrieben ist.

Da LimeSurvey Cloud in Deutschland gehostet wird, entfällt das Drittlandtransfer-Problem, das bei US-amerikanischen Tools die Rechtsgrundlagenwahl erschwert. Dies vereinfacht die Bewertung erheblich.

Die einschlägige Rechtsgrundlage ist im Einzelfall durch den Webseitenbetreiber zu prüfen.

H. Besonderheiten und Hinweise zu LimeSurvey

• AVV/DPA: LimeSurvey GmbH bietet einen Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO an, der nach Anbieter-Angaben über das Online-Vertragsportal im Kundenkonto abgeschlossen werden kann. Der Abschluss ist beim Einsatz des Tools zur Verarbeitung personenbezogener Daten zwingend erforderlich.
• Drittlandtransfer: Nach Anbieter-Angaben wird das LimeSurvey Cloud-Hosting in Deutschland (Hetzner Online GmbH) betrieben. Ein Transfer in Drittländer außerhalb der EU/des EWR findet nach öffentlichen Angaben bei den genannten Subprozessoren nicht statt. Dies ist ein wesentlicher Vorteil gegenüber US-basierten Tools.
• Subprozessoren: Hetzner Online GmbH (Gunzenhausen, Deutschland) als primärer Hosting-Dienstleister; nach öffentlichen Angaben außerdem Host Europe GmbH und OVH GmbH. Die stets aktuelle Subprozessor-Liste ist im AVV des Anbieters ersichtlich.
• Anonymisierungsfunktion: LimeSurvey bietet eine Anonymisierungsoption für Umfragen, bei der keine Verbindung zwischen Antworten und Teilnehmern hergestellt werden kann. Diese Option reduziert den datenschutzrechtlichen Aufwand erheblich und ist bei Umfragen ohne Personenbezugserfordernis empfehlenswert.
• Teilnehmer-Verwaltung: Wird die Teilnehmerverwaltung aktiviert (z. B. für personalisierte Einladungen und Erinnerungen), werden zusätzlich E-Mail-Adressen und Namen gespeichert. Dies erfordert gesonderte Beachtung in der Datenschutzerklärung.
• iFrame-Einbettung: Eine technische Einschränkung bei der iFrame-Einbettung von LimeSurvey Cloud betrifft CSRF-Tokens; bei einigen Browserkonfigurationen können Drittanbieter-Cookies blockiert werden, was zu Fehlermeldungen führen kann. Für produktive Einbettungen empfiehlt sich daher ein Test der Funktionalität in verschiedenen Browsern.
• Selbstgehostete Alternative: Für Webseitenbetreiber mit besonders hohen Datenschutzanforderungen bietet LimeSurvey die Open-Source-Version zur Eigeninstallation an; in diesem Fall entfällt das Auftragsverarbeitungsverhältnis mit der LimeSurvey GmbH vollständig.

I. Häufige Fragen zu LimeSurvey und Datenschutz

J. Fazit und Handlungsempfehlung

LimeSurvey Cloud ist eine datenschutzfreundliche Wahl für Webseitenbetreiber, die Online-Umfragen betreiben möchten: Der Anbieter sitzt in Deutschland, das Hosting erfolgt nach öffentlichen Angaben in Deutschland, und ein Drittlandtransfer-Problem besteht bei den genannten Subprozessoren nicht. Hinzu kommen eine umfassende Anonymisierungsoption, ein bereitgestellter Auftragsverarbeitungsvertrag und die Open-Source-Alternative für besonders sensible Einsatzzwecke.

Aus Sicht der Datenschutzerklärung ist es dennoch wenig sinnvoll, für LimeSurvey einen eigenen Textbaustein aufzunehmen. Tool-by-Tool-Bausteine machen Datenschutzerklärungen lang, unübersichtlich und schwer pflegbar – und widersprechen damit dem Transparenzgebot des Art. 12 Abs. 1 DSGVO, der Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form verlangt.

Sachgerechter ist ein strukturierter, themenorientierter Ansatz, der Tools übergreifend nach Themenblöcken erklärt und im Empfänger-Anhang auf einzelne Dienstleister wie die LimeSurvey GmbH verweist. Das ist die Methodik des matterius-Generators.

K. Autor

Autorenschaft

Dieser Wissensbeitrag wird von der matterius GmbH bereitgestellt. matterius ist keine Kanzlei und erbringt keine Rechtsberatung.

matterius wird inhaltlich begleitet von Dr. Thomas Helbing, Fachanwalt für IT-Recht in München.

Dr. Helbing wird seit 2020 durchgehend bis heute (2026) vom Handelsblatt als einer der „Deutschlands besten Anwälte" im Bereich IT-Recht und Datenschutzrecht ausgezeichnet.

Laut Kanzleimonitor.de (Ausgaben 2024–2026) zählt er zu den führenden Anwälten für Datenschutz und IT-Recht und ist unter den Top-100 Anwälten in Deutschland gelistet. Kanzleimonitor gilt als besonders aussagekräftige Marktstudie, da sie ausschließlich auf persönlichen Empfehlungen von Unternehmensjuristen basiert.

Dr. Helbing verfügt über langjährige Beratungserfahrung im Datenschutz- und IT-Recht und berät Mandanten unterschiedlichster Größen, vom Startup über wachstumsstarke SaaS-Unternehmen und Unicorns bis hin zu internationalen Konzernen.

Sein beruflicher Hintergrund umfasst das gesamte Spektrum der Praxis im IT- und Technologierecht. Er begann seine Laufbahn in einer internationalen Großkanzlei, sammelte anschließend Inhouse-Erfahrung in einem DAX-Unternehmen und ist selbst Unternehmer und Gründer mehrerer digitaler Projekte. Darüber hinaus verfügt er über praktische Programmiererfahrung, wodurch er technische Systeme, Softwarearchitekturen und digitale Geschäftsmodelle nicht nur juristisch, sondern auch aus technischer Perspektive versteht.

Zu seinen Mandanten zählen seit vielen Jahren unter anderem Technologieunternehmen und SaaS-Anbieter, führende deutsche Forschungseinrichtungen sowie eine systemrelevante deutsche Großbank. Seine Beratungsschwerpunkte liegen insbesondere in den Bereichen DSGVO-Compliance, Datenökonomie, SaaS, KI-Regulierung und IT-Vertragsrecht.

Mehr über Dr. Helbing: www.thomashelbing.com