Ist Google reCAPTCHA DSGVO-konform? Das sollten Website-Betreiber prüfen
Aktualisiert:
Kurzantwort
Ob reCAPTCHA DSGVO-konform ist, hängt von Ihrem Setup ab, ein pauschales Ja gibt es nicht. Drei Fragen entscheiden: Speichert oder liest das Widget Informationen auf dem Gerät des Besuchers (Einwilligung nach § 25 TDDDG / ePrivacy), werden personenbezogene Daten außerhalb der EU übermittelt, und gibt es eine tragfähige Rechtsgrundlage samt Auftragsverarbeitungsvertrag. Viele Betreiber umgehen die Frage mit einer cookiefreien Alternative aus der EU. Dies ist eine allgemeine Information, keine Rechtsberatung.
Warum ist reCAPTCHA überhaupt eine Datenschutzfrage?
reCAPTCHA wird von Google betrieben. Wenn Sie es einbinden, lädt der Browser des Besuchers ein Skript von einer Google-Domain und sendet Informationen über die Anfrage und den Browser an Google, damit dort beurteilt werden kann, ob der Besucher ein Bot ist.
Das wirft zwei getrennte Rechtsfragen auf: die DSGVO für die verarbeiteten personenbezogenen Daten und die ePrivacy-Regel (in Deutschland § 25 TDDDG) für alles, was auf dem Gerät des Besuchers gespeichert oder von dort gelesen wird.
Die drei Fragen, die Sie beantworten müssen
| Frage | Warum sie wichtig ist | Was Sie prüfen |
|---|---|---|
| Speichert oder liest das Widget Informationen auf dem Gerät? | Nach § 25 TDDDG braucht das grundsätzlich eine Einwilligung, außer es ist unbedingt erforderlich für einen vom Besucher gewünschten Dienst. | Mit den Entwicklertools des Browsers Cookies und Local Storage vor und nach dem Laden des Widgets auflisten. |
| Werden personenbezogene Daten außerhalb der EU übermittelt? | Übermittlungen brauchen einen gültigen Mechanismus nach Kapitel V DSGVO. | Die Auftragsverarbeitungsbedingungen lesen: welches Unternehmen, welches Land, welcher Übermittlungsmechanismus. |
| Gibt es Rechtsgrundlage und AVV? | Art. 6 DSGVO verlangt eine Grundlage (oft berechtigtes Interesse für Sicherheit), Art. 28 einen Auftragsverarbeitungsvertrag. | Grundlage dokumentieren, Vertrag abschließen und den Anbieter in der Datenschutzerklärung nennen. |
Was bedeutet das in der Praxis?
Viele deutsche Datenschutzbehörden und Rechtsberater sehen die Einbindung eines Drittanbieter-Widgets, das Informationen auf dem Gerät liest oder schreibt, als einwilligungspflichtig an. Folgt man dieser Sicht, muss das CAPTCHA blockiert bleiben, bis der Besucher zustimmt. Besucher, die ablehnen, können das Formular dann nicht nutzen.
Sie können ein Einwilligungsbanner betreiben und reCAPTCHA erst nach Zustimmung laden, oder ein CAPTCHA wählen, das nichts auf dem Gerät speichert und in der EU verarbeitet wird. Welcher Weg passt, entscheiden Sie gemeinsam mit Ihrem Datenschutzbeauftragten.
Checkliste für eine datenschutzfreundliche Alternative
- Keine Cookies, kein Local Storage und kein auf dem Gerät gespeicherter Fingerprint, bestätigt in der Dokumentation und im eigenen Test.
- Verarbeitung in der EU, mit benanntem Hosting-Land und benannten Unterauftragsverarbeitern.
- Ein Auftragsverarbeitungsvertrag vor der Registrierung verfügbar.
- Kein Profil des Besuchers, nur die Signale, die nötig sind, um Bots von Menschen zu unterscheiden.
- Kein Rätsel, das Menschen mit assistiver Technik ausschließt (WCAG 2.2, 3.3.8).
- Eine API, die zu Ihrer bestehenden passt, damit der Wechsel günstig bleibt.
Wo BurgCaptcha passt
BurgCaptcha führt im Browser eine Proof-of-Work-Aufgabe aus, setzt keine Cookies und wird in jedem Tarif in Deutschland gehostet. Die API antwortet im reCAPTCHA-Antwortformat. reCAPTCHA zu ersetzen bedeutet also, eine Skript-URL, einen Site-Key und ein Secret zu ändern.
Es gibt einen kostenlosen Tarif für bis zu 1.000 Anfragen pro Monat. Bitte bestätigen Sie Ihr eigenes Setup mit Ihrem Datenschutzbeauftragten.
Häufige Fragen
Ist reCAPTCHA in der EU verboten?
Nein. Es ist nicht verboten, aber der rechtmäßige Einsatz braucht eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag, einen gültigen Übermittlungsmechanismus für Daten außerhalb der EU und, wo Informationen auf dem Gerät gespeichert oder gelesen werden, eine Einwilligung. Prüfen Sie Ihr Setup mit Ihrem Datenschutzbeauftragten.
Brauche ich für reCAPTCHA ein Cookie-Banner?
Viele Behörden und Berater sagen ja, weil das Widget mit dem Gerät des Besuchers interagiert. Ein CAPTCHA, das nichts auf dem Gerät speichert, vermeidet diesen Einwilligungseintrag in der Regel.
Ist ein CAPTCHA ein berechtigtes Interesse nach DSGVO?
Die Absicherung einer Website gegen Missbrauch kann ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO sein. Das betrifft aber nur die Verarbeitung personenbezogener Daten. Es ersetzt keine Einwilligung, wo die ePrivacy-Regel zum Gerätezugriff greift.
Was ist eine DSGVO-freundliche reCAPTCHA-Alternative?
Eine, die keine Cookies setzt, Daten in der EU verarbeitet, einen Auftragsverarbeitungsvertrag anbietet und keine Besucherprofile erstellt. BurgCaptcha ist nach dieser Checkliste gebaut.