← Alle Anleitungen und Beispiele
Geheime Abstimmung: wie sie funktioniert und wo ihre Grenzen sind
Jede eingeladene Person stimmt genau einmal ab. Wannja speichert, DASS jemand abgestimmt hat, aber nie, WAS – auch du als Organisator siehst es nicht. Auf dieser Seite steht genau, wie das umgesetzt ist, und ebenso genau, was eine Online-Abstimmung nicht leisten kann.
Die geheime Abstimmung gehört zu Wannja Pro (CHF 7 pro Monat oder CHF 70 pro Jahr) und ist eine Einstellung der Meinungsumfrage. Mehr zu Pro
In Kürze
Eine Person, eine Stimme
Abstimmen kann nur, wer eingeladen ist, mit dem persönlichen Link aus der E-Mail – und damit genau einmal.
Stimme ohne Namen
Der Stimmzettel hat keine Verbindung zur Person: keinen Namen, keine Adresse, keine Uhrzeit, keine Verknüpfung zur Einladung.
Stimmregister wie an der GV
Du siehst, wer schon abgestimmt hat (mit Datum) und wer noch fehlt. Wie jemand gestimmt hat, siehst du nie.
Ergebnis erst am Schluss
Das Ergebnis erscheint erst, wenn die Abstimmung beendet ist, und nur ab 3 Stimmen. Zwischenstände gibt es keine, auch nicht für dich.
So läuft eine geheime Abstimmung ab
Meinungsumfrage mit «Geheim» anlegen
Erstelle eine Meinungsumfrage mit deinen Fragen. Wähle bei «Wer sieht, wer was gestimmt hat?» die Möglichkeit «Geheim mit Teilnehmerliste» und bei «Wer darf abstimmen?» «Nur Eingeladene». Alle Fragearten sind möglich.
Bestätigen, was die Abstimmung kann
Bevor du speichern kannst, bestätigst du mit einem Häkchen: Wannja speichert nicht, wer was gestimmt hat, kann aber nicht prüfen, wer abstimmt – und du nutzt die geheime Abstimmung nicht für rechtlich bindende oder heikle Entscheide.
Stimmberechtigte einladen
Wähle Listen, Gruppen, einzelne Personen oder Gäste. Eingeladen werden nur Personen mit E-Mail-Adresse und erlaubtem Mailversand; wer keine hat, wird übersprungen und dir genannt. Jede Person bekommt ihren persönlichen Link per E-Mail – mit dem Hinweis, die Mail nicht weiterzugeben.
Abstimmen
Der Link zeigt zuerst eine kurze Erklärung und den Knopf «Zur Abstimmung». Er öffnet einen Stimmzettel, der genau einmal gilt. Mit «Stimme abgeben» wird die Stimme gespeichert; danach lässt sie sich nicht mehr ändern.
Beenden und Ergebnis
Die Abstimmung endet, wenn die Antwortfrist abgelaufen ist, alle Eingeladenen abgestimmt haben oder du sie mit «Abstimmung beenden» beendest. Dann erscheint das Ergebnis – sofern mindestens 3 Personen abgestimmt haben. Beim Beenden kannst du alle, die abgestimmt haben, per E-Mail über das Ergebnis informieren.
Was technisch gespeichert wird – und was nicht
Die Trennung zwischen Person und Stimme ist im Programm selbst umgesetzt, nicht nur in der Anzeige:
| Was | Gespeichert | Nicht gespeichert |
|---|---|---|
| Einladung | Name und E-Mail-Adresse der eingeladenen Person, ein persönlicher Link und «hat abgestimmt» mit dem Tagesdatum. | Die Uhrzeit der Stimmabgabe. Irgendein Verweis auf den Stimmzettel. |
| Stimmzettel | Eine zufällige Nummer, die Umfrage und die Antworten. Als Datum trägt der Stimmzettel nur das Erstellungsdatum der Abstimmung – bei allen Stimmzetteln dasselbe. | Name, E-Mail-Adresse, Einladung, Bearbeitungslink, Tag und Uhrzeit der Stimmabgabe. Auch keine fortlaufende Nummer: Aus der Reihenfolge lässt sich nicht ablesen, wer zuerst abgestimmt hat. |
| Einmal-Stimmzettel | «Zur Abstimmung» erzeugt einen Einmal-Schlüssel; gespeichert wird nur eine Prüfsumme davon, und nur bis die Stimme abgegeben ist. Wird der Stimmzettel ein zweites Mal geöffnet, gilt nur noch der neue. | Der Schlüssel selbst. Nach der Stimmabgabe ist auch die Prüfsumme gelöscht. |
| Übermittlung | Die Stimme wird an eine Adresse geschickt, die keinen persönlichen Schlüssel enthält; der Schlüssel steht nur im Formular. | Auf diesem Weg kein Eintrag mit IP-Adresse für die Missbrauchsbremse, keine Spam-Protokollzeile und kein Eintrag im anonymen Tageszähler. |
Nur die Einladung hält fest, an welchem Tag jemand abgestimmt hat. Der Stimmzettel trägt kein Abgabedatum, sondern bei allen dasselbe Erstellungsdatum der Abstimmung. Deshalb lässt sich eine Stimme auch dann keiner Person zuordnen, wenn an einem Tag nur eine einzige Person abgestimmt hat.
Was du als Organisator siehst – und was nicht
| Thema | Das siehst du | Das siehst du nicht |
|---|---|---|
| Teilnahme | Wer eingeladen ist, wer abgestimmt hat und an welchem Tag. | Die Uhrzeit und wie die Person gestimmt hat. |
| Ergebnis | Die Summen je Frage, nachdem die Abstimmung beendet ist und mindestens 3 Stimmen vorliegen. Freitexte alphabetisch sortiert. | Zwischenstände. Einzelne Stimmzettel. Die Excel- und die CSV-Datei enthalten nur die Summen. |
| Erinnern | Eine gemeinsame Erinnerung an alle, die noch nicht abgestimmt haben; automatisch, wenn du eine Frist und die Erinnerung eingestellt hast. | Eine Erinnerung an einzelne Personen ist bei der geheimen Abstimmung nicht vorgesehen. |
| Ändern | Weitere Personen einladen und die Frist verschieben, solange die Abstimmung läuft. Einladungen von Personen, die noch nicht abgestimmt haben, entfernen. | Stimmen ansehen, ändern oder löschen. Nach dem Ende: wieder öffnen, die Frist ändern oder weitere Personen einladen. |
Warum das Ergebnis erst am Schluss kommt
Sähe man das Ergebnis laufend, liesse sich jede Stimme ablesen: Im Stimmregister erscheint ein neuer Haken bei Anna, gleichzeitig steigt «Ja» um eins. Deshalb gibt es bei der geheimen Abstimmung keine Zwischenstände – für niemanden. Und haben alle Eingeladenen abgestimmt, ist die Abstimmung automatisch beendet, damit danach niemand mehr eingeladen oder die Frist verschoben werden kann.
Die Mindestzahl von 3 Stimmen verhindert, dass bei einer oder zwei Stimmen das Ergebnis gleich die einzelne Stimme zeigt. Wir empfehlen die geheime Abstimmung trotzdem erst ab etwa 5 Personen – siehe Grenzen.
Was die geheime Abstimmung nicht leisten kann
Ehrlich gesagt: Eine Online-Abstimmung ist keine Urne mit Wahlbüro. Diese Grenzen solltest du kennen, bevor du sie einsetzt.
- Keine Identitätsprüfung. Wannja prüft nicht, wer den Link öffnet. Wer die Einladungsmail einer anderen Person bekommt – weitergeleitet, am gemeinsamen Computer, mitgelesen –, kann an ihrer Stelle abstimmen. Die berechtigte Person merkt es erst, wenn sie selbst abstimmen will.
- Nur so gut wie die Liste der Eingeladenen. Wer eingeladen ist, entscheidest du. Stimmt eine Adresse nicht oder lädst du jemanden doppelt unter zwei Adressen ein, hat diese Person zwei Stimmen.
- Kleine Gruppen und einstimmige Ergebnisse. Das Stimmregister zeigt, wer abgestimmt hat. Stimmen alle gleich, kennt jeder Blick aufs Ergebnis alle Stimmen. Bei 3 Personen mit 2 Ja und 1 Nein lässt sich oft erraten, wer Nein gesagt hat. Das gilt auch, wenn du die Abstimmung beendest, sobald nur wenige abgestimmt haben.
- Freitext kann verraten. Inhalt und Schreibstil einer Antwort können zeigen, wer sie geschrieben hat. Wannja weist beim Erstellen und auf dem Stimmzettel darauf hin.
- Absprachen und Bildschirmfotos. Niemand kann verhindern, dass jemand seine Stimme vorzeigt, ein Bildschirmfoto macht oder unter Druck abstimmt.
- Keine nachträgliche Kontrolle einzelner Stimmen. Weil keine Verbindung zur Person besteht, lässt sich eine einzelne Stimme weder prüfen noch korrigieren noch löschen – auch nicht durch uns.
Was auf der Ebene des Betriebs gilt
Wannja ist bei Microsoft Azure in der EU gehostet und wird von e-sys (Schweiz) betrieben. Die Trennung von Person und Stimme liegt in der Datenbank selbst: Dort gibt es keine Spalte, über die sich ein Stimmzettel einer Einladung zuordnen liesse, keinen Zeitpunkt der Stimmabgabe und keine Reihenfolge. Eine Grenze bleibt, wie bei jeder Online-Abstimmung ohne kryptografisches Wahlverfahren: Wer Stände der Datenbank aus verschiedenen Zeitpunkten vergleicht, etwa zwei Sicherungen, und dazwischen ist nur eine einzige Stimme dazugekommen, kann diese Stimme der Person zuordnen, die in dieser Zeit abgestimmt hat. Das kann nur, wer direkten Zugriff auf Server und Sicherungen hat – als Organisator siehst du weder Zwischenstände noch einzelne Stimmzettel.
Wie jede Website führt auch der Webserver ein Zugriffsprotokoll mit Zeitpunkt und IP-Adresse der Aufrufe. Daraus kann hervorgehen, wann jemand seinen persönlichen Link geöffnet hat – nicht aber die Stimme, weil sie ohne persönliche Kennung in der Adresse übermittelt wird. Die Einladungs- und Erinnerungsmails laufen über unseren Mailserver; sie zeigen, wer eingeladen wurde, nicht wie abgestimmt wurde. Wie lange solche Protokolle aufbewahrt werden, steht in der Datenschutzerklärung.
Gelöscht wird eine geheime Abstimmung samt Einladungen und Stimmzetteln, wenn du sie löschst oder dein Konto löschst. Archivierte Abstimmungen bleiben gespeichert, bis du sie löschst.
Wann du besser Papier oder ein geprüftes Verfahren nimmst
Die geheime Abstimmung von Wannja ist kein zertifiziertes E-Voting und kein Wahlsystem, das bestimmte rechtliche Anforderungen erfüllt. Ob eine Online-Abstimmung für einen Entscheid zulässig ist, regeln eure Statuten, das Gesetz oder das Reglement eurer Organisation – nicht Wannja. Wir geben dazu keine Rechtsauskunft.
- Wahlen und Abstimmungen, die nach Statuten, Obligationenrecht oder Gemeinderecht verbindlich sein müssen und angefochten werden könnten.
- Personalentscheide, Abstimmungen mit Geld- oder Rechtsfolgen, politische Abstimmungen.
- Sehr kleine Gruppen, in denen Stimmen erratbar sind.
- Wenn sicher sein muss, dass genau die berechtigte Person selbst abstimmt.
In solchen Fällen: Abstimmung mit Stimmzetteln vor Ort oder ein Verfahren, das die Identität prüft. Wannja eignet sich gut für Meinungsbilder, Konsultativabstimmungen und Entscheide, bei denen alle mit diesen Grenzen einverstanden sind.
Wofür sie sich gut eignet
Meinungsbild vor der GV
Wie stehen die Mitglieder zum neuen Jahresbeitrag? Ein geheimes Meinungsbild vorab hilft dem Vorstand, den Antrag vorzubereiten. Beispiel
Vorstandswahl im kleinen Verein
Wenn eure Statuten es zulassen und alle einverstanden sind: Kandidierende als Auswahl, Mitglieder einladen, Ergebnis nach Fristende.
Teamfeedback
Ehrliche Rückmeldung ans Team, ohne dass jemand fürchten muss, erkannt zu werden – ab etwa 5 Personen. Beispiel
Im Saal?
Für die schnelle Abstimmung per QR-Code im Saal ist die geheime Abstimmung nicht gedacht – sie braucht persönliche Einladungen per E-Mail. Im Saal nimmst du eine anonyme QR-Abstimmung; dort kann aber nicht garantiert werden, dass jede Person nur einmal abstimmt.
Namentlich, anonym oder geheim?
| Namentlich | Anonym | Geheim mit Teilnehmerliste | |
|---|---|---|---|
| Wer darf abstimmen? | Alle mit Link oder nur Eingeladene | Alle mit Link | Nur Eingeladene mit E-Mail-Adresse |
| Eine Stimme pro Person? | Nur bei Eingeladenen sicher | Nein, nur gebremst | Ja, je persönlicher Link genau eine |
| Organisator sieht, wer was gestimmt hat? | Ja | Nein | Nein |
| Organisator sieht, wer abgestimmt hat? | Ja | Nein | Ja (mit Datum) |
| Stimme änderbar? | Ja | Nein | Nein |
| Ergebnis während der Abstimmung? | Nach Einstellung | Nach Einstellung | Nein, erst nach dem Ende und ab 3 Stimmen |
| Tarif | Gratis (Einladen: Pro) | Gratis | Pro |
Häufige Fragen
Kann der Organisator herausfinden, wie ich gestimmt habe?
Nicht aus den Daten von Wannja: Die Stimme wird ohne Namen, ohne Uhrzeit und ohne Verbindung zur Einladung gespeichert, und es gibt keine Zwischenstände. Erraten lässt sich eine Stimme aber, wenn die Gruppe sehr klein ist oder alle gleich gestimmt haben.
Ist das rechtlich gültig, zum Beispiel für eine Vorstandswahl?
Das hängt von euren Statuten und dem anwendbaren Recht ab, nicht von Wannja. Wannja ist kein zertifiziertes E-Voting und prüft nicht, wer abstimmt. Für verbindliche oder anfechtbare Entscheide nehmt ein Verfahren, das die Identität prüft, oder stimmt vor Ort ab.
Ich habe meine Einladungsmail verloren. Was jetzt?
Melde dich bei der Person, die die Abstimmung organisiert. Sie kann alle, die noch nicht abgestimmt haben, gemeinsam erinnern; die Erinnerung enthält deinen persönlichen Link.
Was passiert, wenn ich den Stimmzettel schliesse, ohne abzustimmen?
Nichts. Öffne den Link aus der Mail nochmals und klick auf «Zur Abstimmung». Der vorherige Stimmzettel gilt dann nicht mehr, der neue schon.
Jemand anderes hat mit meinem Link abgestimmt. Was kann ich tun?
Die Stimme lässt sich nicht finden und nicht löschen, weil sie mit niemandem verbunden ist. Melde es der Organisatorin oder dem Organisator; je nach Bedeutung des Entscheids muss die Abstimmung wiederholt werden.
Warum braucht jede Person eine E-Mail-Adresse?
Weil der persönliche Link direkt an die stimmberechtigte Person gehen soll und nicht über den Organisator. Personen ohne Adresse werden bei der geheimen Abstimmung deshalb nicht eingeladen.