reCAPTCHA: Rechtliche Anforderungen + DSGVO-freundliche Alternative

Googles reCAPTCHA-Lösung soll Bot-Eingaben verhindern, setzt für einen datenschutzkonformen Einsatz aber einiges voraus. Wir zeigen, was rechtlich zu beachten ist, und stellen eine leichtgängige Alternative vor.

Google reCAPTCHA: Funktion und Datenverarbeitung

Googles reCAPTCHA-Tool hilft Seitenbetreibern, ihre Formulare vor Fake-Usern, Maschinen und Robotern zu schützen. Diese können automatisiert auf Webseiten zugreifen und beispielsweise massenweise Registrierungen ausführen oder unzählige Kontaktanfragen abschicken.

Zur Bereitstellung der Schutzfunktion zwingt reCAPTCHA menschliche User im Zweifel dazu, aktiv auf "Ich bin kein Roboter"-Kontrollkästchen zu klicken und aus einem Bildcluster Elemente wie Ampeln oder Fahrräder auszuwählen.

Für seine Überprüfung erfasst Google reCAPTCHA in jedem Fall umfangreiche Daten und setzt das Cookie setzt das Cookie "_GRECAPTCHA“ ein.

Dadurch kann reCAPTCHA für jeden einzelnen User einen Fingerabdruck erstellen, der auch auf anderen Seiten wiedererkannt wird. Google kann so das Nutzerverhalten seitenübergreifend verfolgen.

Rechtliche Anforderungen für den datenschutzkonformen Einsatz

Das von Google reCAPTCHA gesetzte Cookie wird von Google zwar als funktional deklariert, ist aber tatsächlich für den Betrieb einer Website und die Bereitstellung der wesentlichen Seitenfunktionen technisch nicht zwingend erforderlich.

Zwar sind der Captcha-Dienst und mithin auch das Cookie nützlich ist, um Cyberspam zu verhindern. Sie sind aber nicht essentiell dafür, dass eine Website überhaupt betrieben werden kann.

Damit gilt für das reCAPTCHA-Cookie die Cookie-Einwilligungspflicht nach § 25 Abs. 1 TDDDG mit der Folge, dass reCAPTCHA datenschutzrechtlich auf einer Website nur eingesetzt werden darf, wenn der Seitenbesucher diesem Einsatz zuvor über ein auf der Website implementiertes Cookie-Tool zugestimmt hat.

Ohne eine Cookie-Einwilligung für reCAPTCHA muss der Einsatz der Funktion unterbleiben.

Zusätzlich muss, da das Cookie auch personenbezogene Informationen verarbeitet, über den Einsatz von reCAPTCHA zwingend in der Datenschutzerklärung belehrt werden.

reCAPTCHA-Alternative ohne Compliance-Aufwand

Google reCAPTCHA muss, um datenschutzkonform verwendet werden zu können, von einem Cookie-Tool auf der Zielseite erfasst sein und zwingend in der Datenschutzerklärung Erwähnung finden.

Gerade die Abhängigkeit der Captcha-Funktionalität von der Nutzereinwilligung behindert aber ihre Funktion. Ohne erforderliche Cookie-Einwilligung können Bot-Eingaben und Cyberspam per Captcha gerade nicht ausgeschlossen werden.

Dabei gibt es diverse datenschutzfreundlichere Alternativen, von denen insbesondere der deutsche Dienst Friendly Captcha überzeugt.

Friendly Captcha verfolgt einen kryptografischen Proof-of-Work Ansatz, der das Endgerät des Nutzers im Hintergrund testet und nicht den Menschen davor. Dabei werden keine Cookies gesetzt und keinerlei personenbezogenen Daten verarbeitet. Zuverlässig ist die Captcha-Funktion dennoch und ermöglicht effizient den Ausschluss von Bot-Eingaben und das Blockieren von Cyberspam.

Bei Nutzung von Friendly Captcha muss weder eine Cookie-Einwilligung eingeholt noch ein Passus in der Datenschutzerklärung aufgenommen werden.

So hängt die Funktionalität des Dienstes nicht von Datenschutzeingaben des Nutzers ab, sondern kann unabhängig davon seine volle Wirkung entfalten.

Friendly Captcha: Rabatt für Mandanten

Mandanten der IT-Recht Kanzlei profitieren von einem Exklusivrabatt von 15% im ersten Jahr auf die Friendly Captcha-Pläne

• Starter
• Growth und
• Advanced

Der Rabatt kann durch Einlösen eines Gutscheincodes in Anspruch genommen werden.

Mandanten finden diesen Code hier im Mandantenportal.

Fazit

Die datenschutzkonforme Nutzung von Google reCAPTCHA setzt eine nutzerbasierte Cookie-Einwilligung ebenso voraus wie eine Erweiterung der Website-Datenschutzerklärung.

Allerdings existieren am Markt deutlich datenschutzfreundlichere Alternativen, etwa der Dienst Friendly Captcha. Da Friendly Captcha weder Cookies setzt noch personenbezogene Daten verarbeitet, lässt es sich ohne jegliche datenschutzrechtliche Compliance-Auflagen implementieren, um Bot-Eingaben und Cyber-Angriffen effektiv vorzubeugen.

Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .