hCaptcha DSGVO: Ist hCaptcha datenschutzkonform?

Ist hCaptcha DSGVO-konform?

hCaptcha sagt ja: Bei jedem Tarif steht “Complies with GDPR, CCPA, LGPD, PIPL, and more”, und seine Bedingungen enthalten einen Auftragsverarbeitungsvertrag. Das deckt die Seite von hCaptcha ab. Ob dein Einsatz von hCaptcha datenschutzkonform ist, hängt an drei Punkten, die der Anbieter bei dir lässt: der Übermittlung von Daten in die USA, den Cookies und der Beschreibung in deiner Datenschutzerklärung.

Kurz gesagt: Das Ja von hCaptcha deckt nur den Teil von hCaptcha ab, nicht deine ganze Prüfung. Übermittlung, Cookies und Datenschutzerklärung bleiben bei dir.

Wer hinter hCaptcha steht

hCaptcha wird von Intuition Machines, Inc. betrieben, einer Gesellschaft aus Delaware mit Sitz in Miami, Florida. Es ist ein CAPTCHA-Dienst für Login, Registrierung und Checkout und hat drei Tarife:

• Basic ist kostenlos und läuft im Modus “Always Challenge”: Besucher lösen Bildaufgaben.
• Pro kostet 139 USD im Monat oder 99 USD im Monat bei jährlicher Abrechnung und bringt den Modus, den hCaptcha “99.9% Passive” nennt und der deutlich seltener Challenges zeigt.
• Enterprise gibt es auf Anfrage, mit passivem Modus ganz ohne CAPTCHA und mit Risiko-Scores.

Der Tarif ist nicht nur eine Preisfrage. Im Gratis-Tarif sieht jeder Besucher ein Bildrätsel, und das betrifft die Barrierefreiheit genauso wie den Datenschutz. Als barrierefreie Optionen bietet hCaptcha eine Bestätigung per E-Mail und textbasierte Challenges in über 100 Sprachen an. Einen Vergleich mit anderen Anbietern findest du bei den hCaptcha Alternativen.

Welche Daten hCaptcha verarbeitet

Jedes CAPTCHA verarbeitet technische Daten aus dem Browser des Besuchers, um Menschen von Bots zu unterscheiden, mindestens die IP-Adresse und Angaben zum Browser und zur Anfrage. Eine IP-Adresse gilt nach der DSGVO in der Regel als personenbezogenes Datum. Die Verarbeitung braucht also eine Rechtsgrundlage und eine Beschreibung in deiner Datenschutzerklärung, egal welches CAPTCHA du einsetzt.

hCaptcha handelt für die Daten von Endnutzern, die es in deinem Auftrag verarbeitet, als Auftragsverarbeiter. Die vollständige Liste der Zwecke und Datenkategorien steht in seiner Datenschutzerklärung.

hCaptcha und Datenschutz: wohin die Daten gehen

Laut der Datenschutzerklärung von hCaptcha können Daten “in any country where we have facilities or in which we engage service providers” gespeichert und verarbeitet werden, also in jedem Land mit Standorten oder Dienstleistern von hCaptcha, die USA eingeschlossen. Übermittlungen aus der EU stützt hCaptcha auf das EU-U.S. Data Privacy Framework und Standardvertragsklauseln. Auf seiner DSGVO-Seite ergänzt hCaptcha, dass es den größten Teil der Daten auf regionalen Servern weltweit verarbeitet und Analysedaten bereits in der EU speichert.

Für eine Website in der EU bleibt damit eine Frage: Ist eine Übermittlung an ein US-Unternehmen auf Basis des Data Privacy Framework für dein Unternehmen vertretbar? Das Framework gilt seit Juli 2023. Sein Vorgänger, der Privacy Shield, wurde 2020 vom Gerichtshof der EU im Urteil Schrems II gekippt, und deshalb schauen viele Datenschutzbeauftragte bei US-Übermittlungen genau hin. Wie dein Unternehmen die Frage beantwortet, entscheidest du mit deinem Datenschutzbeauftragten.

hCaptcha-Cookies und Einwilligung

Die Datenschutzerklärung von hCaptcha nennt die Cookies, die es nutzt, darunter hmt_id, hc_accessibility, __cf_bm und Load-Balancing-Cookies von Cloudflare. hCaptcha stuft alle als unbedingt notwendig ein.

Dieses Etikett ist die Sicht von hCaptcha. Ob das Speichern dieser Cookies auf dem Gerät eines Besuchers nach den ePrivacy-Regeln eine Einwilligung braucht, ist eine rechtliche Bewertung deiner Website, und das Etikett eines Anbieters entscheidet sie nicht. Lautet die Antwort Ja, muss das CAPTCHA auf die Einwilligung warten, und ein Login- oder Kontaktformular dahinter funktioniert für Besucher, die ablehnen, womöglich nicht. Kläre diesen Punkt mit deinem Datenschutzbeauftragten, bevor du hCaptcha ohne Cookie-Banner einsetzt.

hCaptcha in der Datenschutzerklärung

Wer hCaptcha einsetzt, muss es in der Datenschutzerklärung nennen. Nach Art. 13 DSGVO gehört dazu: wer die Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, ob Daten in Länder außerhalb der EU gehen und wie lange sie gespeichert werden. Eine Textvorlage geben wir bewusst nicht, denn der Wortlaut hängt von deiner Einbindung ab. Dieser Abschnitt ist keine Rechtsberatung; kläre die Formulierung mit deinem Datenschutzbeauftragten.

Mit TrustCaptcha entfallen Cookies und die Übermittlung in die USA. Was dafür in die Datenschutzerklärung gehört, steht im TrustCaptcha DSGVO-Leitfaden.

DSGVO-konforme Alternative zu hCaptcha

Die Fragen zu Übermittlung und Cookies fallen weg, wenn das CAPTCHA von einem Unternehmen aus der EU kommt, Daten in der EU verarbeitet und keine Cookies setzt. Genau das macht ein DSGVO-konformes CAPTCHA aus, und unsere Übersicht zum EU CAPTCHA listet die europäischen Anbieter.

Googles reCAPTCHA wirft dieselben Fragen auf, nur mit einem anderen Vertragsmodell: Seit April 2026 handelt Google als Auftragsverarbeiter, und Übermittlungen von reCAPTCHA-Daten an Google brauchen weiterhin eine rechtliche Prüfung. In den vergangenen Jahren haben Aufsichtsbehörden und Datenschützer genau untersucht, wie Dienste wie reCAPTCHA Daten verarbeiten, vor allem beim Tracking und bei internationalen Übermittlungen. In Österreich kam das Bundesverwaltungsgericht (BVwG), in Frankreich die Datenschutzbehörde CNIL zu dem Ergebnis, dass reCAPTCHA in der Form, in der es vor April 2026 genutzt wurde, eine Einwilligung brauchte. Das hat viele Organisationen dazu gebracht, ihren Bot-Schutz neu zu bewerten und sich Lösungen anzusehen, die auf Privacy by Design setzen. Die Details stehen unter Ist reCAPTCHA DSGVO-konform?, den direkten Vergleich der beiden US-Dienste findest du unter hCaptcha vs. reCAPTCHA.

TrustCaptcha: keine Cookies, EU-Rechenzentren

TrustCaptcha prüft Besucher im Hintergrund mit Proof-of-Work, das mit dem Risiko einer Anfrage schwieriger wird, und ab dem Solo-Tarif mit Bot-Scoring. Besucher müssen nichts lösen. TrustCaptcha setzt keine Cookies, verarbeitet Daten in EU-Rechenzentren und enthält für jeden Kunden einen Auftragsverarbeitungsvertrag (AVV). Die Fragen zu Übermittlung und Cookies stellen sich damit nicht.

TrustCaptcha testen

Jeder Tarif startet mit einer 14-tägigen kostenlosen Testphase, und nicht-kommerzielle Websites nutzen TrustCaptcha mit 500 Prüfungen im Monat kostenlos. Starte deine kostenlose Testphase und ersetze hCaptcha, ohne deiner Website ein Cookie hinzuzufügen.