DSGVO-konformes Captcha: Anforderungen und Checkliste
Aktualisiert:
Kurzantwort
Ein Captcha ist DSGVO-konform, wenn Sie für die verarbeiteten Daten eine Rechtsgrundlage haben, einen Auftragsverarbeitungsvertrag mit dem Anbieter, jede Übermittlung außerhalb der EU rechtmäßig regeln und, falls es Informationen auf dem Gerät des Besuchers speichert oder ausliest, die ePrivacy-Vorgaben erfüllen (in Deutschland § 25 TDDDG). Ein cookiefreier, in der EU gehosteter Dienst lässt weniger Fragen offen. Klären Sie Ihr Gesamtsetup mit Ihrem Datenschutzbeauftragten; diese Seite ist keine Rechtsberatung.
Die vier Fragen, die Sie beantworten müssen
- Rechtsgrundlage. Sicherheitsmaßnahmen gegen Missbrauch werden häufig als berechtigtes Interesse geprüft (Art. 6 Abs. 1 lit. f DSGVO). Dokumentieren Sie Ihre Interessenabwägung.
- Auftragsverarbeitung. Ein Captcha-Anbieter verarbeitet Daten in Ihrem Auftrag, daher verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag und eine Liste der Unterauftragsverarbeiter.
- Standort und Übermittlung. Verarbeitung in der EU vermeidet die Regeln aus Kapitel V DSGVO. Übermittlungen in die USA brauchen nach dem Schrems-II-Urteil einen gültigen Mechanismus.
- Gerätespeicher. Speichern oder Auslesen von Informationen auf dem Gerät des Besuchers (Cookies, Local Storage, Fingerprinting) braucht eine Einwilligung, sofern nicht unbedingt erforderlich (Art. 5 Abs. 3 ePrivacy-Richtlinie, in Deutschland § 25 TDDDG).
Checkliste für Ihren Datenschutzbeauftragten
| Prüfpunkt | So sieht gut aus |
|---|---|
| Auftragsverarbeitungsvertrag | Öffentlich oder vor der Anmeldung zugesandt, mit Liste der Unterauftragsverarbeiter und Änderungsankündigung |
| Hosting | Nur EU, in jedem Tarif, mit genanntem Land |
| Cookies und Speicher | Keine durch das Widget gesetzt; in den Entwicklertools bestätigt |
| Erhobene Daten | Nur, was nötig ist, um automatisierten von menschlichem Traffic zu unterscheiden; kein Profil der Person |
| Speicherdauer | Kurz und dokumentiert |
| Barrierefreiheit | WCAG 2.2 AA mit veröffentlichtem Prüfbericht |
Was Burgcaptcha verarbeitet und behält
Burgcaptcha prüft den Browser, nicht die Person. Eine Proof-of-Work-Aufgabe läuft im Hintergrund, und Signale der Anfrage wie Headless-Browser oder bekannte Bot-Netze bestimmen, wie schwer die Aufgabe ist.
Das Widget setzt keine Cookies und speichert keinen Fingerabdruck. Das Hosting erfolgt in jedem Tarif in der EU, und der Bereich Transparenz listet die Unterlagen für Ihren Datenschutzbeauftragten.
Barrierefreiheit gehört dazu
Rätsel können Menschen mit Screenreader oder motorischen und kognitiven Einschränkungen ausschließen. WCAG 2.2 AA ist der übliche Maßstab, und in Deutschland gilt das Barrierefreiheitsstärkungsgesetz (BFSG), das den European Accessibility Act umsetzt, seit dem 28. Juni 2025 für viele Online-Dienste. Prüfen Sie, ob Ihr Angebot darunterfällt.
Häufige Fragen
Ist reCAPTCHA DSGVO-konform?
Das hängt von Ihrem Setup ab. reCAPTCHA wird von einem US-Anbieter betrieben, daher müssen Sie Rechtsgrundlage, Auftragsverarbeitung, Übermittlungen außerhalb der EU und jede Speicherung auf dem Gerät des Besuchers bewerten. Viele Teams wählen eine in der EU gehostete, cookiefreie Alternative, um offene Fragen zu verringern. Fragen Sie Ihren Datenschutzbeauftragten.
Brauche ich für ein Captcha ein Cookie-Banner?
Nur, wenn das Captcha Informationen auf dem Gerät des Besuchers speichert oder ausliest, ohne dass dies unbedingt erforderlich ist. Ein Widget ohne Cookies und ohne gespeicherte Kennung braucht in der Regel keinen Eintrag im Consent-Banner. Klären Sie das mit Ihrem Datenschutzbeauftragten.
Was bedeutet DSGVO-konformes Captcha?
Gemeint ist ein Captcha, das mit Rechtsgrundlage, Auftragsverarbeitungsvertrag und EU-Hosting arbeitet und keinen einwilligungspflichtigen Gerätespeicher nutzt.
Welches Gesetz gilt in Deutschland für Cookies?
In Deutschland setzt § 25 TDDDG die ePrivacy-Regel zum Speichern und Auslesen von Informationen auf Endgeräten um. Die DSGVO regelt die anschließende Verarbeitung personenbezogener Daten.