Google reCAPTCHA ist auf vielen Webseiten allgegenwärtig: die bekannten Prüfungen, bei denen Nutzer Hydranten, Fahrräder oder Schulbusse markieren müssen, bevor sie ein Formular absenden, sollen automatisierte Zugriffe durch Bots verhindern. Kostenlos und technisch effektiv, doch datenschutzrechtlich längst ein komplexes Thema.
Ab dem 2. April 2026 verschiebt sich die Verantwortung: Webseitenbetreiber werden selbst zu Verantwortlichen für die Verarbeitung personenbezogener Daten durch reCAPTCHA. Google fungiert dann nur noch als weisungsgebundener Auftragsverarbeiter. Damit steigt die Pflicht zu Transparenz, Dokumentation und rechtlicher Prüfung deutlich.
Was ist Google reCAPTCHA?
reCAPTCHA ist ein Sicherheitsdienst, der Webseiten vor Bots und automatisierten Angriffen schützt. Dazu analysiert der Dienst verschiedene Nutzersignale:
- IP-Adresse
- Mausbewegungen
- Verweildauer auf der Seite
- Geräte- und Browsereinstellungen
- Nutzerinteraktionen
Basierend auf diesen Daten bewertet reCAPTCHA, ob ein menschlicher Nutzer oder ein automatisiertes System auf die Seite zugreift. Die Abkürzung steht für „completely automated public Turing test to tell computers and humans apart“. Die Prüfung erfolgt teilweise sichtbar (z. B. Bilderrätsel) oder unsichtbar im Hintergrund.
Ironischerweise werden die Daten, die Nutzende durch die Bilderrätsel generieren, unter anderem verwendet, um Googles KI-Modelle zu trainieren. Die Nutzer tragen also indirekt zum Training von Machine-Learning-Systemen bei.
Datenschutzrechtliche Kritik bisher
Schon bisher war der Einsatz von reCAPTCHA kritisch:
- Intransparenz: Google veröffentlichte keine vollständigen Informationen darüber, welche Daten erhoben und wie sie verarbeitet werden.
- Datenübermittlung in die USA: Drittlandrisiken bestanden weiterhin.
- Machine-Learning-Nutzung: Daten könnten zu Trainingszwecken oder Analysen verwendet werden.
Behörden und Datenschützer empfehlen daher, datenschutzfreundlichere Alternativen zu prüfen.
Was ändert sich ab April 2026?
Bislang war Google alleiniger Verantwortlicher. Webseitenbetreiber mussten lediglich auf Googles Datenschutzerklärung verweisen. Nach dem Rollenwechsel gilt:
- Webseitenbetreiber werden selbst Verantwortliche nach DSGVO.
- Google fungiert als weisungsgebundener Auftragsverarbeiter.
- Transparenz, Information der Nutzenden, Rechtsgrundlagen und Einwilligungen liegen vollständig beim Webseitenbetreiber.
- Daten dürfen von Google ausschließlich zur Bot-Erkennung genutzt werden.
Die volle Verantwortung für Datenschutz, Dokumentation und rechtliche Bewertung liegt ab dann bei Ihnen als Betreiber.
Verbleibende Risiken
- Volle Verantwortung: Sie müssen die Datenverarbeitung prüfen, dokumentieren und Nutzende informieren.
- Notwendigkeit der Bot-Prüfung: Es ist nicht abschließend geklärt, ob umfangreiche Verhaltensanalysen immer erforderlich sind.
- Drittlandrisiken: Datenübertragungen in die USA bestehen weiterhin.
- Transparenz: Google gibt keine vollständige Übersicht aller verarbeiteten Daten.
- Keine EU-exklusive Lösung: reCAPTCHA bietet keine dedizierten Rechenzentren in der EU.
Tipp: Prüfen Sie datenschutzfreundliche Alternativen wie Friendly Captcha, EU-gehostet, minimal datensammelnd und barrierefrei.
Konkrete Handlungsempfehlungen für Webseitenbetreiber
- Datenschutzhinweise aktualisieren
- Eigenverantwortlich Hinweise zu reCAPTCHA erstellen.
- Manuelle Verweise auf Googles Datenschutzinformationen entfernen.
- Auftragsverarbeitungsvertrag prüfen
- Google Cloud Data Processing Addendum einsehen und dokumentieren.
- Verzeichnis der Verarbeitungstätigkeiten aktualisieren
- reCAPTCHA als Verarbeitungstätigkeit erfassen.
- Einwilligungen einholen
- Wahrscheinlich weiterhin notwendig, z. B. via Consent-Banner aufgrund der Datenübertragung in die USA.
- Datenschutzfreundliche Alternativen prüfen
- EU-basierte CAPTCHAs minimieren Risiken, Kosten und Aufwand.
Mein Rat: Auch weiterhin ist Google reCAPTCHA aus datenschutzrechtlicher Sicht problematisch. Wer Datenschutz und Compliance ernst nimmt, sollte Alternativen prüfen und einsetzen.
Fazit
Ab April 2026 sind Webseitenbetreiber für reCAPTCHA voll verantwortlich. Sie müssen:
- Datenschutzdokumentation aktualisieren
- Einwilligungen einholen
- Verarbeitungstätigkeiten prüfen
- Auftragsverarbeitungsverträge verwalten
Zugleich eröffnet dies die Chance, Bot-Schutzmaßnahmen und Datenschutzprozesse zu überprüfen und auf datenschutzfreundliche Lösungen umzustellen.
Wir unterstützen Sie gerne dabei, Ihre Datenschutzhinweise anzupassen, Prozesse zu dokumentieren und Ihre eingesetzten Webdienste DSGVO-konform zu bewerten.
