Frage des Tages: Einwilligungspflicht für den „reCAPTCHA“-Dienst von Google?
Derzeit werden wir vermehrt um Auskunft gebeten, ob der reCAPTCHA -Dienst von Google nach dem Cookie-Urteil des EuGH vom 01.10.2019 (Az. C-673/17) der Einwilligungspflicht unterfällt. Mit dem reCAPTCHA-Dienst lassen sich durch Abfrage bestimmter Zahlenfolgen oder Bildelemente missbräuchliche computergesteuerte Eingaben auf Webseiten verhindern. Der nachfolgende Beitrag der IT-Recht Kanzlei gibt Antwort auf die Frage nach der Einwilligungspflicht für Google reCAPTCHA.
Die elementare Funktion von Google reCAPTCHA besteht darin, Seitenbetreibern durch die Einbindung eines Verifizierungsschritts eine möglichst präzise Unterscheidung dahingehend zu ermöglichen, ob eine Eingabe durch eine natürliche Person oder missbräuchlich durch maschinelle und automatisierte Verarbeitung erfolgt.
Hierfür werden Nutzer angehalten, bestimmte Zahlenfolgen wiederzugeben oder bestimmte Motive innerhalb verschiedener Graphikelementen zu identifizieren. Derartige Leistungen können Computer bei missbräuchlichen Aufrufen (noch) nicht erbringen.
Nachdem der EuGH mit Urteil vom 01.10.2019 (Az. C-673/17) eine grundsätzliche Einwilligungspflicht für alle technisch nicht notwendigen Cookies bestätigt hat, wird die Notwendigkeit einer Einwilligung auch für den Betrieb von Google reCaptcha diskutiert.
Nach Ansicht der IT-Recht Kanzlei sind Cookies, die von Google reCAPTCHA gesetzt werden, für den Betrieb einer Webseite nicht erforderlich und mithin einwilligungspflichtig. Insofern ist das Verhindern von Bot-Eingaben für den Seitenbetreiber zwar vorteilhaft, aber für den Betrieb der Website und die Bereitstellung ihrer Funktion im engeren Sinne nicht technisch notwendig, da hiervon die Funktionalität der Website nicht unmittelbar betroffen wird.
Festgestellt wurde von Seiten der IT-Recht Kanzlei allerdings, dass (wohl) versions- und seitenabhängig eine Cookie-Setzung durch Google reCAPTCHA teilweise erfolgt und teilweise entfällt.
Sofern der Einsatz von reCAPTCHA ohne die Setzung von Cookies möglich ist, ist der Einsatz des Dienstes ohne Einwilligung möglich.
Werden durch reCAPTCHA aber Cookies gesetzt, muss nach hier vertretener Ansicht der Einsatz des Dienstes von der cookie-bezogenen Nutzereinwilligung abhängig gemacht werden.
Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .
Link kopieren
Als PDF exportieren
Per E-Mail verschicken
Zum Facebook-Account der Kanzlei
Zum Instagram-Account der Kanzlei
Beiträge zum Thema
27 Kommentare
Man kann es sogar einstellen (z.Bsp. auch unsichtbar). Außerdem werden keine Cookies installiert und dort keine Daten gespeichert.
Wir haben es auf unserer Website mit Wordpress installiert, das hatte nur 2 Minuten gedauert.
Viel zu günstig.
Ich weiß wirklich nicht wohin mit meinem ganzen Geld.
Ich benötige ein datenschutzfreundliches Captacha, dass lokal installierbar ist und wäre durchaus bereit hierfür je Domain / Website 10 EUR pro Jahr zu zahlen. Über Tipps wäre ich dankbar.
Das Problem unserer Zeit ist genau das: wir sehen Software Services als etwas, was kostenlos zur Verfügung stehen sollte.
Wir haben uns diese Einstellung aufgebaut, indem wir Software nutzten, welche durch Werbung oder Datensammeln (und wirtschaftlich nutzen) finanziert wird. Wenn das Produkt nichts kostet, bist du das Produkt.
Eine kostenlose oder sehr günstige Version für kleine, nicht kommerzielle Seiten ist nett, aber keinesfalls etwas, was wir einfach erwarten können.
Was ich hier aber noch spannend finde: während ich so meinen Kommentar eingebe, sehe ich, dass auch hier ein ReCaptcha im Einsatz ist ;-)
"GDPR-compliant ReCaptcha for all forms and logins"
Welche Daten Google dabei erfasst und wie diese verwendet werden, ist intransparent. Ferner stellt sich mir auch die Frage ob ein Dienst, z.B. Online-Banking auch Jahre nach initialem Vertragsschluss ReCAPTCHA nachrüsten und privatsphäre- und datenschutzsensiblen Mitgliedern und Kunden den Zugang damit faktisch sperren darf.
Vor allem wenn der Zugang die einzige Möglichkeit ist, die vertraglich vereinbarten Dienstleistungen wie Überweisungen und Kontoauszüge zu erhalten.
ich benutze das Divi theme, dort ist das recaptcha V3 von google integriert hat Divi gesagt.... Jetzt frage ich mich ob immer Cookie gesetzt werden und an Google gesendet. Wie kann ich es herausfinden und muss ich im cookiebanner den hinweis auf recaptcha machen und mir eine Einwilligung holen?
Danke für die Info. Gruß Max
Das ist ganz einfach einzubinden und für nicht kommerzielle Webseiten komplett kostenlos :-)
@Jens: Ich versteh deinen Kommentar nicht. Wie kommst du darauf, dass es für kleine Websites was kostet? Auf der Seite ist doch klar beschrieben, dass es für kleine Websites kostenlos ist. Und der Code ist für jeden Open Source. Oder irr ich mich da?
Friendly Captcha ist nicht kostenlos!
Und treibt die Kosten für kleine Websites weiter in die Höhe.
Das kostet Vielfalt, und übrigbleiben wieder nur die mit fetterem dem Budget.
Da kam einem schon die Lust vergehen.
Mir ist es ähnlich wie einigen meiner Mitkommentatoren ergangen.
Ich habe verzweifelt nach einer Alternative für reCAPTCHA gesucht.
Heute bin ich bei meinen Recherchen auf einer Webseite der Europäischen Union auf eine Alternative namens Friendly Captcha gestoßen (siehe Abschnitt „Ask a question“ unter https://www.eea.europa.eu/contact-us).
Der Service basiert nicht auf Cookies, sondern auf sog. Proof-of-Work und führt kein Tracking durch.
Daher scheint er aus meiner Sicht als einziger Service DSGVO-konform zu sein. Weitere Informationen dazu finden sich auf der Webseite unter www.friendlycaptcha.com
Ich hoffe, dass ich mit meiner Entdeckung einen produktiven Beitrag zum Thema leisten kann.
Hinter einem solchen Formular verbirgt sich dann meist ein Dienst wie Mandrill oder MailGun, der transaktionale E-Mails whitelisted versendet. Der ZWECK der Webseite ist ein zuverlässiges Generieren von Leads bzw. Verkäufen oder auch Nutzer-Registrierungen.
Wir reden hier nicht von einer Komfortfunktion sondern von essentiellen Dingen. Insbesondere LandingPages, die mit Google Ads beworben werden, verfolgen einzig und allein diesen Zweck. Dort die Möglichkeit einzuräumen, ein ungeschütztes Formular zu öffnen, würde den Zweck verfehlen. Das Formular vollständig zu deaktivieren ist genau so sinnlos.
Mit einem eigenen Captcha, das mir jegliche Quoten kaputt macht und dann auch noch ständig geknackt wird, kann ich da als Agentur auch nicht arbeiten.
Wird Zeit, dass hier ein wenig konkrete Rechtsprechung folgt, denn die Ansicht von irgendwelchen Laien in Ämtern hat leider nichts mit der Realität der freien Wirtschaft zu tun.
Man kann CAPTCHAs auch auf dem eigenen Server hosten oder erzeugen, das ist dann DSGVO-konform
Zitat: „Analyse-Tools, die Daten über das Nutzungsverhalten an Dritte weitergeben, dürfen danach jedenfalls in den Fällen, in denen diese Dritten die Daten auch zu eigenen Zwecken verwenden, nur mit Einwilligung genutzt werden. Gleiches gilt, wenn das Verhalten der Webseiten-Besucherinnen und -Besucher im Detail nachvollzogen und aufgezeichnet werden kann, etwa wenn Tastatureingaben, Maus- oder Wischbewegungen erfasst werden.“
Quelle: https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/pressemitteilungen/2019/20191114-PM-Analyse_Trackingtools.pdf
Ich nutze Google nicht, filtere sämtliche Google-Dienste bereits in der Firewall heraus und ärgere mich wirklich häufig, wie oft man ohne Google nicht weiter kommt.
Wenn es um „einfacher“ Protecion wie in diesem Kommentarfeld geht sind eigene Captcha-Lösungen als Alternativen vielleicht sinnvoll, aber als Protection-Lösungen vor Scrappern, Fake-Usern, Click-Fraud und Ddos-Attacken gänzlich unbeauchbar.