Google reCAPTCHA datenschutzkonform einsetzen

Google reCAPTCHA analysiert das Nutzerverhalten zur Bot-Erkennung und lädt Ressourcen von Google (USA), oft schon beim Laden des Formulars.

reCAPTCHA ist ein Sonderfall, weil sich der Zweck — Schutz vor Spam und Bot-Missbrauch — grundsätzlich auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen lässt. Das ändert aber nichts an § 25 TDDDG: Sobald reCAPTCHA v2/v3 Skripte von Google lädt und Kennungen setzt oder ausliest, die über das technisch Notwendige hinausgehen, ist der Zugriff auf das Endgerät einwilligungspflichtig. Die Rechtsprechung ist hier noch uneinheitlich; die konservative Linie ist, reCAPTCHA in die Einwilligung aufzunehmen.

Der praktische Kompromiss vieler Betreiber: reCAPTCHA nur auf den Seiten laden, die tatsächlich ein Formular enthalten (Kontakt, Login, Registrierung), und nicht global über das Template. Das begrenzt die Datenübertragung auf die Fälle, in denen sie einen konkreten Schutzzweck erfüllt, und macht die Interessenabwägung belastbarer. reCAPTCHA v3, das auf allen Seiten mitläuft, um einen Score zu bilden, ist datenschutzrechtlich deutlich schwerer zu rechtfertigen.

Es gibt datensparsamere Alternativen, die den Google-Transfer ganz vermeiden: hCaptcha (EU-Hosting-Option), Cloudflare Turnstile (kein sichtbares Captcha, keine Cookies), Friendly Captcha (in Deutschland gehostet) oder — für einfache Formulare — ein serverseitiger Honeypot plus Rate-Limiting. Für viele kleine Websites reicht die letzte Variante und kommt ohne jede Drittübermittlung aus.

Ist das ein Risiko?

Der Schutz vor Spam kann ein berechtigtes Interesse sein (Art. 6 Abs. 1 lit. f DSGVO). Setzt reCAPTCHA jedoch nicht notwendige Kennungen oder lädt auf allen Seiten, kommt § 25 TDDDG ins Spiel. Der USA-Transfer ist zu begründen.

Was du tun kannst

• reCAPTCHA nur auf Seiten mit Formularen laden, nicht global.
• Datensparsame Alternativen prüfen (z. B. hCaptcha, Honeypot, serverseitige Rate-Limits).
• In der Datenschutzerklärung Zweck, Rechtsgrundlage, Google als Empfänger und USA-Transfer nennen.

Häufige Fragen

Ist reCAPTCHA ohne Cookie-Banner erlaubt?

Uneinheitlich beurteilt. Da reCAPTCHA Skripte von Google lädt und Kennungen verarbeitet, ist die konservative Linie, es in die Einwilligung aufzunehmen. Einige Betreiber stützen einen reinen Formular-Einsatz auf ein berechtigtes Interesse — das ist ein Risiko.

Welche Alternative vermeidet den Google-Transfer?

Cloudflare Turnstile, hCaptcha mit EU-Hosting oder Friendly Captcha übertragen keine Daten an Google. Für einfache Formulare genügt oft ein serverseitiger Honeypot mit Rate-Limiting.

Reicht es, reCAPTCHA nur auf Formularseiten zu laden?

Es reduziert die Datenübertragung erheblich und stärkt die Interessenabwägung, hebt die Einwilligungsfrage nach § 25 TDDDG aber nicht vollständig auf. Global mitlaufendes reCAPTCHA v3 ist am schwersten zu rechtfertigen.

Was muss in die Datenschutzerklärung?

Zweck (Spam-/Bot-Schutz), Rechtsgrundlage, Google als Empfänger, der USA-Transfer und die Transfergrundlage sowie ein Hinweis auf Googles eigene Datenschutzbestimmungen und Nutzungsbedingungen.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.