reCAPTCHA DSGVO: Ist Google reCAPTCHA datenschutzkonform?

Ist reCAPTCHA DSGVO-konform?

Google sagt Ja. Seit dem 2. April 2026 verarbeitet Google reCAPTCHA-Daten als Auftragsverarbeiter nach dem Google Cloud Data Processing Addendum, du als Websitebetreiber bist alleiniger Verantwortlicher, und Googles FAQ beantwortet die Frage “Is Fraud Defense GDPR compliant?” mit einem schlichten “Yes”. Damit ist Googles Seite des Vertrags geregelt. Dein Teil ist es nicht: Das Cookie _GRECAPTCHA wirft eine Frage zur Einwilligung auf, und Übermittlungen der Daten an Google brauchen eine rechtliche Prüfung.

Die neue Rolle kam mit einem größeren Umbau. Klassische Keys wurden in Google-Cloud-Projekte verschoben, die Abrechnung läuft über Google Cloud, und im April 2026 wurde reCAPTCHA Teil von Google Cloud Fraud Defense. Den Ablauf findest du in unserer Übersicht der Änderungen an reCAPTCHA, die Kosten bei den reCAPTCHA Preisen.

Die Antwort auf “Ist reCAPTCHA DSGVO-konform?” hat also zwei Hälften. Googles Teil hat jetzt einen Vertrag im Rücken. Dein Teil ist dieselbe Arbeit wie bei jedem anderen fremden Skript, plus zwei Fragen, die Google offenlässt.

reCAPTCHA und Datenschutz: welche Daten Google erhält

Google veröffentlicht keine vollständige Liste der Signale, die reCAPTCHA erfasst. Einiges ergibt sich aber aus der Funktionsweise. Der Browser des Besuchers lädt Googles Skript und spricht mit Googles Servern, Google erhält also die IP-Adresse und die üblichen Header der Anfrage. reCAPTCHA setzt sein Cookie _GRECAPTCHA. Wenn dein Server das Token prüft, schickt er es an Google und bekommt ein Ergebnis oder einen Score zurück.

Nach der DSGVO können IP-Adresse und Geräteinformationen personenbezogene Daten sein, auch ohne Namen. Deshalb gehört reCAPTCHA in deine Datenschutzerklärung und dein Verzeichnis von Verarbeitungstätigkeiten wie jeder andere Dienst, der Besucherdaten verarbeitet.

Geändert hat sich im April 2026, was Google mit den Daten tun darf. Nach den Cloud-Bedingungen verarbeitet Google sie nur, um den Dienst bereitzustellen und zu warten, und nicht für andere Zwecke wie personalisierte Werbung.

Setzt reCAPTCHA Cookies?

Ja. Googles FAQ nennt ein Cookie namens _GRECAPTCHA, beschreibt es als notwendig und sagt, dass es nach der Änderung vom April 2026 bleibt. reCAPTCHA v2 und v3 setzen es beide.

Die Einstufung als “notwendig” stammt von Google selbst. Sie sagt dir, wie Google das Cookie sieht, nicht, wie die Regeln für Cookies auf deine Website anzuwenden sind.

Braucht reCAPTCHA eine Einwilligung?

Das ist die Frage, die die meisten Websitebetreiber stellen, und es gibt keine Antwort, die für jede Website passt. Der Maßstab sind die ePrivacy-Regeln zum Speichern von Informationen im Browser, in Deutschland § 25 TDDDG. Das Speichern eines Cookies braucht eine Einwilligung, es sei denn, es ist unbedingt erforderlich für einen Dienst, den der Besucher ausdrücklich gewünscht hat. Ob eine Bot-Prüfung eines Drittanbieters auf deinem Formular diese Hürde nimmt, ist genau der Punkt, an dem die Meinungen auseinandergehen.

Für die Verarbeitung selbst stützen sich Betreiber meist auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, weil der Schutz von Formularen vor Bots ein Sicherheitszweck ist. Ob das für deinen Einsatz trägt, gehört zur selben Prüfung. Dieser Abschnitt ist keine Rechtsberatung; kläre die Frage der Einwilligung mit deinem Datenschutzbeauftragten.

Was Gerichte und Aufsichtsbehörden zu reCAPTCHA sagen

Ein Gericht in Österreich und die Datenschutzbehörde in Frankreich haben über reCAPTCHA entschieden, und die veröffentlichten Entscheidungen zeigen bisher in dieselbe Richtung: erst die Einwilligung, dann reCAPTCHA.

In Österreich entschied das Bundesverwaltungsgericht (BVwG) am 13. September 2024, dass die Cookies, die reCAPTCHA auf der Website einer politischen Partei setzte, technisch nicht notwendig waren. Der Einsatz von reCAPTCHA ohne vorherige Einwilligung des Besuchers war dort nach der DSGVO und den österreichischen Regeln zum Speichern von Informationen auf dem Endgerät rechtswidrig (BVwG-Entscheidung zu reCAPTCHA).

In Frankreich verhängte die Datenschutzbehörde CNIL im März 2023 gegen Cityscoot ein Bußgeld von 125.000 Euro, unter anderem weil reCAPTCHA bei Registrierung und Login lief, ohne dass die Nutzer informiert oder um Einwilligung gebeten wurden. Die Ausnahme für Tracker, die nur einen Login absichern, griff nach Ansicht der CNIL nicht, weil reCAPTCHA auch Analysen durch Google ermöglicht. In einer späteren Entscheidung, SAN-2023-023, bestätigte die CNIL, dass reCAPTCHA für die Sicherheit einer Website nicht zwingend erforderlich ist, weil es auch Analysezwecken dient. Eine Einwilligung ist daher nötig.

Über einzelne Fälle hinaus haben mehrere europäische Aufsichtsbehörden signalisiert, dass reCAPTCHA einen klaren Einwilligungsmechanismus braucht, dass das berechtigte Interesse allein es womöglich nicht trägt und dass ein Laden vor der Einwilligung problematisch ist. Aufsichtsbehörden erwarten zunehmend eine vorherige Einwilligung, wenn Cookies oder ähnliche Technologien im Spiel sind, auch wenn die Positionen von Land zu Land unterschiedlich ausfallen.

Alle diese Entscheidungen betreffen reCAPTCHA so, wie es vor dem 2. April 2026 genutzt wurde. Seitdem verarbeitet Google die Daten als dein Auftragsverarbeiter und nur, um den Dienst bereitzustellen und zu warten. Das berührt das Argument der CNIL zu Analysen durch Google. Das Cookie _GRECAPTCHA, um das es dem österreichischen Gericht ging, wird weiterhin gesetzt. Wie sich die neuen Bedingungen auf die Bewertung deiner Website auswirken, klärst du mit deinem Datenschutzbeauftragten.

Was ein DSGVO-Verstoß kosten kann

Stellt eine Behörde einen Verstoß fest, erlaubt die DSGVO in den schwersten Fällen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO). Behörden können außerdem Beschwerden von Besuchern nachgehen und Änderungen an der Verarbeitung anordnen. Wer das Skript eines Anbieters einbindet, gibt die Verantwortung damit nicht ab: Als Verantwortlicher stehst du für die Tools auf deiner Website ein.

Ist reCAPTCHA v3 DSGVO-konform?

Für v3 gilt dieselbe Antwort wie für v2. Es ist derselbe Google-Dienst mit demselben Cookie _GRECAPTCHA und denselben Bedingungen als Auftragsverarbeiter. Der Besucher sieht keine Aufgabe, und dein Server bekommt stattdessen einen Score von 0,0 bis 1,0.

Ein Unterschied zählt in der Praxis. Google empfiehlt, v3 auch im Hintergrund von Seiten laufen zu lassen, nicht nur auf Formularen. Jede Seite, die es lädt, schickt Anfragen von Besuchern an Google. Entscheide deshalb bewusst, wo du es einbindest.

Datenübermittlung in die USA

Google ist ein US-Unternehmen, und dorthin gehen die reCAPTCHA-Daten. Für Übermittlungen außerhalb der EU gelten die Regeln der DSGVO zu internationalen Übermittlungen, und für reCAPTCHA ist das Cloud Data Processing Addendum von Google das Dokument, das sie regelt. Lies es zusammen mit deinem Datenschutzbeauftragten; wir bewerten es nicht für deine Website. Aus unserer Sicht bleibt reCAPTCHA für Websites, die sich an Besucher in der EU richten, ein Restrisiko bei der Übermittlung, auch mit aktualisierten Übermittlungsregeln.

An dieser Stelle macht ein EU CAPTCHA den Unterschied: Ist der Anbieter ein Unternehmen aus der EU und verarbeitet die Daten in der EU, stellt sich die Frage der Übermittlung gar nicht.

reCAPTCHA in der Datenschutzerklärung

Wer reCAPTCHA einsetzt, muss es in der Datenschutzerklärung nennen. Nach Art. 13 DSGVO gehört dazu: wer die Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, ob Daten in Länder außerhalb der EU gehen und wie lange sie gespeichert werden. Eine Textvorlage geben wir bewusst nicht, denn der Wortlaut hängt von deiner Einbindung ab. Dieser Abschnitt ist keine Rechtsberatung; kläre die Formulierung mit deinem Datenschutzbeauftragten.

Mit TrustCaptcha entfallen Cookies und die Übermittlung in die USA. Was dafür in die Datenschutzerklärung gehört, steht im TrustCaptcha DSGVO-Leitfaden.

DSGVO-konforme Alternative

Wenn Cookie und Übermittlung die zwei offenen Punkte sind, ist ein CAPTCHA ohne beides die sauberste Lösung. TrustCaptcha ist so gebaut:

• Es setzt keine Cookies und baut keine websiteübergreifenden Tracking-Profile auf.
• Es verarbeitet alle CAPTCHA-Daten in EU-Rechenzentren.
• Es enthält für jeden Kunden einen Auftragsverarbeitungsvertrag (AVV).
• Es löscht oder anonymisiert Daten automatisch innerhalb einer festgelegten Aufbewahrungsfrist.
• Es prüft Besucher in jedem Tarif mit Proof-of-Work und ergänzt ab dem Solo-Tarif Bot-Erkennung und Risiko-Scoring.

Der Besucher muss nichts lösen, und dein Server prüft das Token wie bei reCAPTCHA. Die Produktseite dazu ist das DSGVO-konforme CAPTCHA, eine der reCAPTCHA Alternativen aus der EU.

TrustCaptcha testen

Jeder Tarif startet mit einer 14-tägigen kostenlosen Testphase, und nicht-kommerzielle Websites nutzen TrustCaptcha kostenlos. Starte deine kostenlose Testphase und ersetze reCAPTCHA durch ein CAPTCHA, das Besucherdaten in der EU hält.