Friendly Captcha DSGVO-konform einbinden

Friendly Captcha (friendlycaptcha.com, Friendly Captcha GmbH, Deutschland) verzichtet auf Nutzer-Rätsel und Tracking: Statt Interaktion löst der Browser im Hintergrund eine Rechenaufgabe (Proof of Work). Die Server stehen in der EU.

Friendly Captcha verfolgt einen anderen Ansatz als die klassischen CAPTCHAs: Es gibt kein Bilderrätsel und keine Verhaltensanalyse. Stattdessen erhält der Browser beim Laden des Formulars eine kryptografische Rechenaufgabe, die er im Hintergrund löst. Für Menschen ist das unsichtbar, für Bot-Netze wird das massenhafte Absenden rechenintensiv und damit teuer. Es werden keine Cookies gesetzt und kein Nutzerprofil gebildet.

Der große Vorteil für die DSGVO ist der Anbieterstandort und das Hosting: Friendly Captcha ist ein deutsches Unternehmen, und die Verarbeitung findet nach Anbieterangaben in der EU statt. Damit entfällt die Drittlandproblematik, die reCAPTCHA und hCaptcha mit sich bringen. Ein Auftragsverarbeitungsvertrag ist trotzdem nötig, weil die IP-Adresse während der Token-Prüfung verarbeitet wird.

Zu beachten ist der Versionsunterschied: Ältere Einbindungen (v1) nutzten teils andere Endpunkte und Speicherfristen. Die v2-Einbindung ist auf EU-Verarbeitung und kürzere Aufbewahrung ausgelegt. Bei einer bestehenden Integration lohnt der Blick in den Quelltext, welche Skript-URL und welcher API-Endpunkt tatsächlich angesprochen werden, und ein Abgleich mit der aktuellen Anbieter-Dokumentation.

Ist das ein Risiko?

Friendly Captcha ist deutlich datensparsamer als reCAPTCHA oder hCaptcha, aber nicht völlig ohne Datenverarbeitung: Das Widget lädt ein Skript vom Friendly-Captcha-CDN und der Browser kontaktiert die API zur Ausstellung und Prüfung des Tokens. Dabei wird die IP-Adresse verarbeitet. In Version 2 wirbt der Anbieter mit EU-Datenverarbeitung; die genaue Einbindung (v1 vs. v2, Endpunkt) sollte geprüft werden.

Was du tun kannst

• Die aktuelle Widget-Version (v2) mit EU-Endpunkt verwenden und die Einbindung gegen die Anbieter-Doku prüfen.
• Das Skript nur auf Formularseiten laden, idealerweise per Lazy Load bei Formular-Fokus.
• Einen Auftragsverarbeitungsvertrag (AVV) mit der Friendly Captcha GmbH abschließen.
• Friendly Captcha in der Datenschutzerklärung mit Zweck (Botschutz), Rechtsgrundlage (i. d. R. berechtigtes Interesse / Erforderlichkeit) und Hinweis auf die kurzzeitige IP-Verarbeitung nennen.

Häufige Fragen

Braucht Friendly Captcha ein Consent-Banner?

In der Regel nicht. Da keine Cookies gesetzt werden, die Verarbeitung in der EU stattfindet und der Botschutz für den vom Nutzer gewünschten Formular-Versand erforderlich ist, lässt sich der Einsatz meist auf § 25 Abs. 2 TDDDG bzw. Art. 6 Abs. 1 lit. f DSGVO stützen.

Werden bei Friendly Captcha personenbezogene Daten verarbeitet?

Ja, kurzzeitig die IP-Adresse während der Ausstellung und Prüfung des Tokens. Es wird aber kein dauerhafter Identifier gesetzt und kein Profil gebildet. Ein AVV mit dem Anbieter ist erforderlich.

Ist Friendly Captcha barrierefrei?

Ja. Da es keine visuellen oder akustischen Rätsel gibt, entfällt die typische Barriere von Bild-CAPTCHAs. Der Proof of Work läuft automatisch im Hintergrund.

Was ist der Unterschied zwischen Friendly Captcha v1 und v2?

v2 ist auf EU-Datenverarbeitung, kürzere Speicherfristen und ein überarbeitetes Widget ausgelegt. Bestehende v1-Einbindungen sollten auf v2 migriert und die Datenschutzerklärung entsprechend angepasst werden.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.