Warum drei die richtige Datenschutzgrenze ist — und warum eine Grenze nicht genügt

Anonymes Feedback gibt ein Versprechen, das sich leicht versehentlich brechen lässt. Die Antworten werden nicht mit Namen gespeichert, aber das Ergebnis einer Gruppe von zwei Personen sind die Antworten zweier Menschen, und jeder von ihnen kennt eine davon.

Was die Grenze bewirkt

Eine Datenschutzgrenze ist die kleinste Zahl von Personen, die ein Ergebnis beschreiben darf. Darunter wird ein Wert, eine Heatmap-Zelle oder eine Kommentaranzahl zum Strich, und die Gruppe fehlt in Berichten und Exporten. Sie zählt Personen, nicht Antworten: Wer zehnmal antwortet, ist eine Person. In Polzy liegt die Grenze bei drei, solange Sie keine andere Zahl wählen, und sie wirkt gleich für ein Team, ein Kundensegment, eine Veranstaltungssession oder eine Klasse.

Warum drei

Nehmen Sie eine Gruppe von zwei. Jeder kennt die eigene Antwort, also verrät der Gruppendurchschnitt die des anderen genau. Das ist keine Vermutung. Das ist Rechnen.

Bei drei bleiben nach derselben Subtraktion zwei Personen übrig. Wer die eigene Antwort vom Gruppenergebnis abzieht, erfährt, was die anderen beiden zusammen gesagt haben, nicht was einer von ihnen gesagt hat. Drei ist die kleinste Gruppe, in der kein einzelnes Mitglied die Antwort eines anderen allein aus dem Ergebnis ermitteln kann. Deshalb geht die Grenze nie tiefer.

Warum nicht fünf

Bis November 2026 lag der Standard bei fünf, und dieser Blog hat dafür argumentiert. Fünf verbirgt mehr: auch jede Gruppe von drei oder vier. Das waren viele Gruppen — ein kleines Team, eine Seminargruppe, eine Session mit einer Handvoll Teilnehmender, ein Kundensegment, das noch wächst — und die Menschen darin antworteten in ein Ergebnis, das niemand sah. Wer den Eindruck hat, dass nichts von dem, was er sagt, jemanden erreicht, hört auf zu antworten.

Fünf bringt auch nicht den Schutz, den es zu bringen scheint. Eine höhere Zahl tut nichts gegen die Möglichkeiten, ein Ergebnis nachträglich einzugrenzen, und genau dort geht Anonymität meist verloren. Deshalb ist der Standard jetzt drei, und die Arbeit ging in die Schutzmaßnahmen unten. Neue Arbeitsbereiche beginnen bei drei. Ein Arbeitsbereich, den es schon gab, behält seine Zahl: die, die ein Admin gewählt hat, oder fünf, wo niemand eine gewählt hat — so wird eine Gruppe, die gestern ausgeblendet war, heute nicht gezeigt, es sei denn, ein Admin senkt die Grenze.

Warum eine Grenze nicht genügt

Eine Grenze prüft ein Ergebnis nach dem anderen. Anonymität hängt auch davon ab, wann und wem Ergebnisse gezeigt werden. Wer vor einer Minute gesehen hat, wie ein Kollege die Umfrage abgeschlossen hat, und dann einen neuen Kommentar eintreffen sieht, braucht keinen Namen.

Was Polzy ergänzt

• Eine Regel, durchgesetzt auf dem Server. Jedes Diagramm, jeder Filter, jede Heatmap, jeder Bericht, Export und API-Aufruf und jede Antwort von Ask Polzy durchläuft dieselbe Prüfung, sodass kein Bildschirm und kein Werkzeug sie umgehen kann.
• Eine Auswahl muss die Grenze auf beiden Seiten erreichen. Wählt jemand, der eine Berichtslinie liest, einen Teil davon aus, erscheinen Zahlen nur, wenn sowohl die ausgewählten als auch die ausgelassenen Personen die Grenze erreichen. Eine Eingrenzung, die eine andere Person herausgreifen würde, wird immer zurückgehalten.
• Ihre eigenen Antworten sehen nur Sie. Ein Mitglied sieht seine eigenen Antworten Thema für Thema, weil die einzige Person, die sie beschreiben, die lesende ist. Das entscheidet der Server, und es hebt die Grenze nie für die Antworten anderer auf.
• Ein Kommentar trägt einen Tag, keine Uhrzeit, und den Namen seiner Gruppe nur, wenn diese Gruppe die Grenze erreicht.

Was seitdem dazugekommen ist

Die drei Schutzmaßnahmen, die dieser Beitrag zuerst als geplant nannte, sind jetzt im Produkt:

• Kommentare am Morgen danach. In einer Kampagne, die Antworten anonym hält, erscheinen Kommentare am nächsten Morgen um 07:00 Uhr nach der Uhr Ihres Arbeitsbereichs, zusammen mit den übrigen dieses Tages, damit der Moment, in dem ein Kommentar erscheint, nichts darüber verrät, wer gerade geantwortet hat. Ab Team.
• Ein Gruppenname nur, wo er genug Personen umfasst. Ein Kommentar trägt den Namen seiner Gruppe nur, wenn die Gruppe die Grenze erreicht und ebenso die Personen daraus, die in dem, was Sie lesen, kommentiert haben, und nie, wenn die schreibende Person zu mehreren Gruppen dieses Felds gehört. Sonst steht dort Gruppe anonymisiert.
• Ergebnisse von Onboarding- und Austrittsumfragen gesammelt. Eine anonyme Kampagne, die am eigenen Datum jeder Person versendet wird, hält ihre Ergebnisse zurück, bis so viele Personen geantwortet haben, wie die Grenze verlangt, und gibt sie dann gemeinsam unter einem Datum frei, damit die Austrittsumfrage einer einzelnen Person nie für sich gelesen wird. Ab Team.

Wann Sie sie anheben

Drei ist das Niedrigste, was die Grenze sicher sein kann, nicht die richtige Zahl für jedes Thema. Wenn Gruppen klein sind und das Thema heikel ist — eine Umfrage des Betriebsrats, Fragen zu einer einzelnen Führungskraft, ein Beschwerdeverfahren —, heben Sie sie an. Jede Zahl von 3 bis 50 ist möglich, und jede Ansicht nutzt die neue sofort.

Was sie nicht kann

Eine Grenze schützt Ergebnisse, nicht die Worte in einem Kommentar. Schreibt jemand seinen Namen hinein oder ein Detail, das nur er kennen kann, liest sich der Kommentar so, wie er geschrieben wurde. Deshalb bietet Polzy anonymes Nachfassen: Sie können der Person hinter einem anonymen Kommentar eine Frage stellen, Polzy leitet sie weiter, und Sie erfahren nie, wer sie ist.