CAPTCHA ohne Cookies: Warum es wichtig ist und wie Sie es prüfen
Aktualisiert:
Kurzantwort
Ein CAPTCHA, das keine Cookies setzt und nichts auf dem Gerät des Besuchers speichert, braucht dafür in der Regel keine Einwilligung, denn die ePrivacy-Regel (in Deutschland § 25 TDDDG) greift beim Speichern oder Auslesen von Informationen auf dem Endgerät. Sie können ein Widget selbst in den Entwicklertools des Browsers prüfen. Dies ist eine allgemeine Information und keine Rechtsberatung: Stimmen Sie Ihr Setup mit Ihrem Datenschutzbeauftragten ab.
So testen Sie jedes CAPTCHA-Widget in fünf Minuten
- Öffnen Sie eine Seite mit dem Widget in einem privaten Fenster und die Entwicklertools des Browsers.
- Prüfen Sie unter Application (Chrome) oder Storage (Firefox) Cookies, Local Storage, Session Storage und IndexedDB vor und nach dem Laden des Widgets.
- Listen Sie im Network-Tab alle Domains auf, die die Seite bei aktivem Widget kontaktiert, und notieren Sie die neuen.
- Lesen Sie in der Dokumentation und im Auftragsverarbeitungsvertrag, was der Server speichert, wie lange und in welchem Land.
- Halten Sie das Ergebnis fest und geben Sie es Ihrem Datenschutzbeauftragten.
Was Sie einen Anbieter fragen sollten
| Frage | So sieht eine gute Antwort aus |
|---|---|
| Setzt das Widget Cookies oder nutzt es Local Storage? | Nein, und die Dokumentation bestätigt es. |
| Erstellt es einen Geräte-Fingerabdruck? | Es entsteht kein Profil der Person, nur Signale, die Bots von Menschen unterscheiden. |
| Wo werden Daten verarbeitet? | In der EU, mit Angabe von Land und Unterauftragsverarbeitern. |
| Gibt es einen Auftragsverarbeitungsvertrag? | Ja, öffentlich oder vor der Anmeldung auf Anfrage. |
So geht BurgCaptcha vor
BurgCaptcha prüft den Browser, nicht die Person. Eine Proof-of-Work-Aufgabe läuft im Hintergrund, das Widget setzt keine Cookies und speichert keinen Fingerabdruck, und das Hosting erfolgt in allen Tarifen in der EU.
Häufige Fragen
Brauche ich für ein CAPTCHA ein Cookie-Banner?
Nur wenn das CAPTCHA Informationen auf dem Gerät des Besuchers speichert oder ausliest, ohne dass dies unbedingt erforderlich ist. Ein Widget ohne Cookies und ohne gespeicherte Kennung braucht dafür in der Regel keinen Einwilligungseintrag. Klären Sie das mit Ihrem Datenschutzbeauftragten.
Ist ein cookiefreies CAPTCHA automatisch DSGVO-konform?
Nein. Der Verzicht auf Cookies betrifft die Regel zur Gerätespeicherung. Sie brauchen weiterhin eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag und eine Einschätzung zum Verarbeitungsort.
Welches deutsche Gesetz regelt Cookies?
§ 25 TDDDG setzt die ePrivacy-Regel zum Speichern und Auslesen von Informationen auf Endgeräten um. Für die anschließende Verarbeitung personenbezogener Daten gilt die DSGVO.