Ist Mentimeter DSGVO-konform? Die nüchterne Analyse für Trainer & Unternehmen

"Ist Mentimeter DSGVO-konform?" — diese Frage landet regelmäßig in meinem Postfach, meist von Trainern oder HR-Verantwortlichen, deren Datenschutzbeauftragter gerade den Tool-Einsatz prüft. Die ehrliche Antwort ist unbequemer als ein Ja oder Nein: Es kommt darauf an — und zwar auf Dinge, die du selbst prüfen musst.

Vorab volle Transparenz: Ich betreibe mit InsightQuiz einen Wettbewerber zu Mentimeter. Genau deshalb bekommst du hier keine Schwarz-Weiß-Polemik, sondern die Prüfkriterien, mit denen du jedes Audience-Response-Tool bewerten kannst — Mentimeter, InsightQuiz oder ein drittes.

---

Die gute Nachricht zuerst: Mentimeter ist ein EU-Unternehmen

Anders als oft angenommen ist Mentimeter kein US-Tool: Das Unternehmen sitzt in Stockholm, Schweden — also mitten in der EU. Die DSGVO gilt damit unmittelbar, und Mentimeter stellt einen Auftragsverarbeitungsvertrag (AVV/DPA) bereit.

Warum stellt sich die Frage dann überhaupt? Weil der Firmensitz nur eines von mehreren Kriterien ist. "EU-Unternehmen" heißt nicht automatisch "DSGVO-konform einsetzbar". Entscheidend ist, was mit den Daten deiner Teilnehmer tatsächlich passiert — und dafür musst du tiefer schauen.

---

Die fünf Kriterien, auf die es wirklich ankommt

1. Wo werden die Daten verarbeitet — und von wem?

Fast jedes SaaS-Tool setzt Subprozessoren ein: Cloud-Hosting, E-Mail-Versand, Analytics, Support-Software. Viele davon sind US-Anbieter. Sobald personenbezogene Daten in ein Drittland wie die USA übertragen werden (oder ein US-Mutterkonzern Zugriff hat), brauchst du eine Rechtsgrundlage — etwa das EU-U.S. Data Privacy Framework oder Standardvertragsklauseln plus Transfer-Folgenabschätzung.

Was du konkret tust: Öffne die aktuelle Subprozessorenliste des Anbieters (bei seriösen Anbietern öffentlich verlinkt) und prüfe: Welche US-Dienste sind dabei? Für welche Datenkategorien? Diese Liste ändert sich — eine Prüfung von 2023 ist heute nichts mehr wert.

2. Welche Daten fallen überhaupt an?

Ein Live-Umfrage-Tool kann sehr datensparsam sein — wenn Teilnehmer anonym per Code beitreten und keine Accounts brauchen. Kritisch wird es bei:

• Teilnehmer-Accounts mit E-Mail-Adresse und Profildaten
• Tracking und Cookies auf den Teilnahme-Seiten (Analytics, Marketing-Pixel)
• Freitextantworten, in denen Teilnehmer ungewollt personenbezogene Daten preisgeben
• Ergebnisdaten, die sich einzelnen Personen zuordnen lassen (bei benoteten Quizzen gewollt — dann sind es aber Leistungsdaten mit erhöhtem Schutzbedarf)

Was du konkret tust: Öffne die Teilnahme-Ansicht deines Tools einmal mit offenem Browser-Entwicklermodus (Netzwerk-Tab) und schau, welche Drittanbieter-Requests beim Teilnehmer ausgelöst werden. Das Ergebnis ist oft erhellend.

3. Gibt es einen sauberen AVV — und deckt er deinen Einsatz ab?

Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Pflicht, sobald du personenbezogene Daten deiner Teilnehmer über das Tool verarbeitest. Prüfe: Bekommst du den AVV in deinem Tarif (manche Anbieter bieten ihn erst ab bestimmten Plänen)? Ist er auf Deutsch oder Englisch verfügbar, und akzeptiert dein Datenschutzbeauftragter die Konditionen?

4. Free-Tarife und die Frage der Gegenleistung

Bei kostenlosen Tarifen lohnt der Blick in die Datenschutzerklärung: Werden Nutzungsdaten für Produktanalyse und Marketing verwendet? Gibt es Werbe-Einblendungen? Ein kostenpflichtiger Tarif mit sauberem AVV ist datenschutzrechtlich oft die einfachere Wahl als ein Free-Tarif mit unklarer Datenverwendung.

5. Der organisatorische Teil: deine eigene Dokumentation

Selbst das konformste Tool macht dich nicht automatisch konform. Du brauchst: einen Eintrag im Verzeichnis von Verarbeitungstätigkeiten, eine Information der Teilnehmer (Art. 13 DSGVO), ggf. eine Abstimmung mit Betriebsrat (bei Mitarbeiter-Assessments) und eine Löschroutine für Ergebnisdaten. Das gilt für Mentimeter genauso wie für jedes andere Tool — InsightQuiz eingeschlossen.

---

Das Fazit für die Praxis

Kann man Mentimeter DSGVO-konform einsetzen? In vielen Szenarien ja — als EU-Anbieter mit AVV ist die Ausgangslage deutlich besser als bei manch reinem US-Tool. Die Bedingungen: aktuelle Subprozessorenliste geprüft, AVV abgeschlossen, anonyme Teilnahme konfiguriert, eigene Dokumentation erledigt. Ob das Ergebnis für deinen Fall reicht, entscheidet dein Datenschutzbeauftragter — nicht ein Blogartikel. Auch nicht dieser.

Wann wird es schwierig? Je sensibler der Kontext (Schule, Behörde, Gesundheitswesen, Mitarbeiterdaten) und je strenger die zuständige Aufsichtsbehörde, desto mehr zählt jedes Kriterium oben — und desto häufiger fällt die Entscheidung für einen Anbieter, bei dem Hosting und Subprozessoren komplett in Deutschland bzw. der EU liegen.

Wo InsightQuiz steht

Weil die Frage sonst in den Kommentaren kommt: InsightQuiz wurde von Anfang an für genau diese strengen Fälle gebaut — Hosting auf Servern in Deutschland (Frankfurt), keine US-Subprozessoren für Teilnehmerdaten, anonyme Teilnahme per PIN ohne Account, kein Tracking und keine Werbung auf Teilnahme-Seiten, AVV inklusive. Die fünf Kriterien oben kannst (und solltest) du trotzdem auch bei uns anlegen.

Wenn du gerade Tools vergleichst: Der direkte Vergleich InsightQuiz vs. Mentimeter zeigt Funktionsumfang und Datenschutz-Setup nebeneinander.