DSGVO-konformes CAPTCHA

TrustCaptcha ist ein DSGVO-konformes CAPTCHA aus München. Es prüft Besucher ohne Cookies und ohne Tracking, verarbeitet die Daten in EU-Rechenzentren und enthält für jeden Kunden einen Auftragsverarbeitungsvertrag. Für nicht-kommerzielle Websites ist es kostenlos, und jeder Tarif startet mit einer 14-tägigen kostenlosen Testphase.

Kostenlos testen Vertrieb kontaktieren

Datenminimierung

Welche Daten TrustCaptcha verarbeitet

TrustCaptcha verarbeitet nur, was es braucht, um Menschen von Bots zu unterscheiden, und nur für diesen Zweck. Die Daten werden nie für Marketing genutzt und nie zu websiteübergreifenden Profilen verknüpft.

Anfragedaten — IP-Adresse, Zeitpunkt, Header und Referrer.
Geräte- und Browserdaten — die Merkmale, die die Bot-Erkennung braucht.
Interaktionssignale — zum Beispiel Klickmuster und Mausbewegungen, die Automatisierung verraten.
Wiederholungsmerkmale — zum Beispiel viele gestartete CAPTCHAs in kurzer Zeit.
Kurze Speicherdauer — Prüfdaten werden standardmäßig 48 Stunden gespeichert, höchstens 7 Tage; danach werden sie gelöscht oder anonymisiert.

Die vollständige Liste der Datenkategorien, die Rechtsgrundlage, die die meisten Kunden nutzen, und was in deine Datenschutzerklärung gehört, stehen im TrustCaptcha DSGVO-Leitfaden.

Brauche ich für TrustCaptcha eine Einwilligung?

TrustCaptcha setzt keine Cookies, bildet keine Tracking-Profile und nutzt die Daten nur für den Bot-Schutz. Damit fallen die üblichen Gründe weg, aus denen ein CAPTCHA hinter einem Consent-Banner landet, etwa Cookies oder die Nutzung der Daten für andere Zwecke.

Ob dein Setup eine Einwilligung braucht, bleibt trotzdem eine rechtliche Frage, und die Antwort hängt davon ab, wie du TrustCaptcha einsetzt. Dieser Abschnitt ist keine Rechtsberatung; kläre es mit deinem Datenschutzbeauftragten.

Wo die Daten verarbeitet werden

Alle Daten von TrustCaptcha werden in EU-Rechenzentren auf ISO-27001-zertifizierter Infrastruktur verarbeitet und gespeichert. Es gibt keine Übermittlung in Drittländer, die Fragen zur Datenübermittlung, die US-Anbieter mitbringen, stellen sich also nicht. TrustCaptcha ist ein EU-CAPTCHA, entwickelt in Deutschland und gehostet in der EU.

Vertrag

Ein Auftragsverarbeitungsvertrag für jeden Kunden

Die Trustcaptcha GmbH verarbeitet die CAPTCHA-Daten in deinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO. Du bleibst Verantwortlicher und entscheidest, wo und wofür TrustCaptcha läuft.

Für jeden Kunden enthalten — standardmäßig, das hält Einkauf und rechtliche Prüfung kurz.
Was er regelt — Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Unterstützung bei Betroffenenanfragen und Datenschutz-Folgenabschätzungen sowie die Löschung nach Vertragsende.
Sicherheitsmaßnahmen — Verschlüsselung bei der Übertragung, Zugriffskontrollen, Monitoring und getrennte Umgebungen.

Du kannst den Auftragsverarbeitungsvertrag vor der Registrierung lesen.

Wohin die Daten gehen: Der Browser des Besuchers löst den Proof-of-Work ohne Cookies, TrustCaptcha prüft es in EU-Rechenzentren, dein Server prüft das Token; keine Übermittlung in Drittländer und ein AVV für jeden Kunden

Vergleich

TrustCaptcha vs. reCAPTCHA bei der DSGVO

Seit dem 2. April 2026 verarbeitet Google reCAPTCHA-Daten als Auftragsverarbeiter, das klärt eine alte Frage. Das Cookie bleibt, und Übermittlungen an Google brauchen weiterhin eine rechtliche Prüfung.

	Google reCAPTCHA	TrustCaptcha
Rolle des Anbieters	Auftragsverarbeiter nach dem Google Cloud Data Processing Addendum (seit 2. April 2026)	Auftragsverarbeiter nach dem AVV von TrustCaptcha
Cookies	Setzt das Cookie _GRECAPTCHA, das Google als notwendig einstuft	Keine
Ort der Verarbeitung	Unterschiedlich, braucht eine rechtliche Prüfung	EU-Rechenzentren
Firmensitz	USA	Deutschland (München)
Vertrag	Google Cloud Data Processing Addendum	AVV für jeden Kunden

Die Details, auch was Googles Änderung für deine Datenschutzerklärung bedeutet, stehen unter Ist reCAPTCHA DSGVO-konform? Weitere Optionen vergleichen wir bei den reCAPTCHA Alternativen.

Rechtsprechung

Was Gerichte und Aufsichtsbehörden zu reCAPTCHA sagen

Ein Gericht in Österreich und die Datenschutzbehörde in Frankreich kamen zu dem Ergebnis, dass reCAPTCHA eine Einwilligung der Besucher brauchte. Die Entscheidungen betreffen reCAPTCHA so, wie es vor dem 2. April 2026 genutzt wurde, bevor Google Auftragsverarbeiter wurde; das Cookie _GRECAPTCHA wird weiterhin gesetzt.

Österreich: Einwilligung vor reCAPTCHA-Cookies

Mit einer Entscheidung vom 13. September 2024 stellte das österreichische Bundesverwaltungsgericht (BVwG) fest, dass die Cookies, die reCAPTCHA auf der Website einer politischen Partei setzte, technisch nicht notwendig waren. Der Einsatz von reCAPTCHA ohne vorherige Einwilligung war nach der DSGVO und den österreichischen Regeln zum Speichern von Informationen auf dem Endgerät rechtswidrig.

Quelle: BVwG-Entscheidung zu reCAPTCHA

Frankreich: Einwilligung für reCAPTCHA beim Login

Im März 2023 verhängte die französische Datenschutzbehörde CNIL gegen Cityscoot ein Bußgeld von 125.000 Euro, unter anderem weil reCAPTCHA bei Registrierung und Login ohne Einwilligung lief. Die Ausnahme für Tracker, die nur einen Login absichern, griff nicht, weil reCAPTCHA auch Analysen durch Google ermöglicht.

Frankreich: nicht zwingend erforderlich

In der Entscheidung SAN-2023-023 bestätigte die CNIL, dass reCAPTCHA für die Sicherheit einer Website nicht zwingend erforderlich ist, weil es auch Analysezwecken dient. Eine Einwilligung ist daher nötig.

Quelle: CNIL-Entscheidung SAN-2023-023

Bußgelder für die schwersten DSGVO-Verstöße können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO). Als Verantwortlicher stehst du für die Tools auf deiner Website ein, egal von welchem Anbieter sie stammen. Was diese Entscheidungen für deinen Einsatz bedeuten, ist eine rechtliche Frage; das hier ist keine Rechtsberatung, kläre es mit deinem Datenschutzbeauftragten.

Vertraut von Unternehmen, Organisationen und Behörden.

FAQ

Fragen zu DSGVO und TrustCaptcha

Was ist ein DSGVO-konformes CAPTCHA?

Ein CAPTCHA, das so gebaut ist, dass du es ohne zusätzliche Hürden unter der DSGVO einsetzen kannst: Es verarbeitet nur die Daten, die der Bot-Schutz braucht, setzt keine Cookies, verarbeitet die Daten in der EU, löscht sie nach kurzer Zeit und kommt mit einem Auftragsverarbeitungsvertrag. Ob dein eigener Einsatz konform ist, hängt außerdem von deinem Setup und deiner Datenschutzerklärung ab.

Ist TrustCaptcha DSGVO-konform?

TrustCaptcha ist für den Einsatz unter der DSGVO gebaut: Es setzt keine Cookies, bildet keine Tracking-Profile, nutzt die Daten nur für den Bot-Schutz, verarbeitet sie in EU-Rechenzentren und enthält für jeden Kunden einen Auftragsverarbeitungsvertrag. Du bleibst Verantwortlicher und dokumentierst Rechtsgrundlage und Datenschutzerklärung.

Verwendet TrustCaptcha Cookies?

Nein. TrustCaptcha setzt keine Cookies. Deine Website kann für andere Zwecke trotzdem Cookies verwenden.

Brauche ich für TrustCaptcha ein Cookie-Banner?

TrustCaptcha setzt keine Cookies und verfolgt keine Besucher. Damit fällt der übliche Grund für ein Consent-Banner weg. Ob dein Setup eine Einwilligung braucht, ist eine rechtliche Frage; das hier ist keine Rechtsberatung, kläre es mit deinem Datenschutzbeauftragten.

Wo werden die Daten verarbeitet?

Alle Daten von TrustCaptcha werden in EU-Rechenzentren auf ISO-27001-zertifizierter Infrastruktur verarbeitet und gespeichert, ohne Übermittlung in Drittländer.

Gibt es einen Auftragsverarbeitungsvertrag?

Ja. Jeder Kunde bekommt einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Er regelt Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, die Unterstützung bei Betroffenenanfragen und die Löschung nach Vertragsende.

Bot-Schutz ohne Cookies, verarbeitet in der EU. Teste TrustCaptcha.

EU-hosted & DSGVO-konform
Keine Rätsel
14 Tage kostenlos testen

Loslegen Vertrieb kontaktieren