TrustCaptcha DSGVO-Compliance-Leitfaden

TrustCaptcha DSGVO-Compliance

TrustCaptcha hilft Organisationen dabei, Formulare, Logins und digitale Services vor automatisiertem Missbrauch zu schützen – und dabei trotzdem im Rahmen der DSGVO zu bleiben. Auf dieser Seite erklären wir, wie wir die DSGVO-Anforderungen angehen, was wir verarbeiten, welche Controls wir anbieten und was du auf deiner Seite dokumentieren solltest, damit alles sauber passt.

„CAPTCHA-DSGVO-Compliance“ heißt im Grunde: Welche DSGVO-Auswirkungen hat Bot-Schutz? In der Praxis läuft es darauf hinaus, die Basics gut zu machen: klarer Zweck, passende Rechtsgrundlage, Transparenz, Datenminimierung, Sicherheit, saubere Aufbewahrungsfristen – und ein stimmiger Vertrag.

Was TrustCaptcha macht

TrustCaptcha unterscheidet Menschen von Bots, indem es für eingehende Interaktionen eine Risiko-Einschätzung („Trust Score“) erstellt. Dafür nutzen wir technische und verhaltensbezogene Signale, um typische Muster von automatisiertem Traffic zu erkennen – z. B. Credential Stuffing, Scraping, Spam und ähnliche Formen von Missbrauch.

Wir bauen TrustCaptcha so, dass das Privacy-Risiko niedrig bleibt, ohne die Sicherheit zu schwächen – damit du kritische Abläufe schützen kannst, ohne auf tracking-lastige Methoden angewiesen zu sein. (Art. 5 Abs. 1 lit. c DSGVO)

Wann gilt die DSGVO bei einem CAPTCHA?

Ein CAPTCHA kann personenbezogene Daten betreffen, wenn die verarbeiteten Informationen sich auf eine identifizierte oder identifizierbare Person beziehen – direkt oder indirekt. Im Web-Kontext können bestimmte technische Kennungen und Ereignisdaten je nach Situation als personenbezogen gelten.

Deshalb behandeln wir TrustCaptcha grundsätzlich als DSGVO-relevant und liefern Controls und Dokumentation, die du für einen konformen Einsatz typischerweise brauchst.

Rollen und Verantwortlichkeiten

Verantwortlicher und Auftragsverarbeiter

In den meisten Setups gilt:

• Du entscheidest, ob du TrustCaptcha nutzt, wo es läuft und wofür (Sicherheit, Spam-Schutz, Integrität des Dienstes). Damit bist du für diese Entscheidung in der Regel der Verantwortliche.
• Wir (TrustCaptcha) verarbeiten bestimmte Daten, um die Bot-Schutz-Funktion bereitzustellen. Dabei sind wir in der Regel Auftragsverarbeiter und handeln nach deinen Weisungen – so wie es im Auftragsverarbeitungsvertrag (AVV) beschrieben ist. (Art. 28 DSGVO)

Was das praktisch heißt

• Du dokumentierst deine Rechtsgrundlage, passt deine Datenschutzhinweise an und ordnest TrustCaptcha in dein Gesamtkonzept ein.
• Wir liefern die Auftragsverarbeiter-Zusagen, Sicherheitsmaßnahmen, den Aufbewahrungsansatz und Support-Pflichten über den AVV und unsere operativen Controls.

Welche Daten TrustCaptcha verarbeitet

TrustCaptcha ist so konzipiert, dass es ohne eigene Cookies läuft und keine Cross-Site-Tracking-Profile erstellt. Wir konzentrieren uns auf Signale, die für die Sicherheitsentscheidung nötig sind: „Ist das wahrscheinlich ein Mensch – oder eher automatisierter Missbrauch?“

Je nach Konfiguration und Umgebung können u. a. folgende Kategorien verarbeitet werden:

• Verbindungs- und Request-Daten: IP-Adresse, Zeitstempel, Header-/Referrer-Informationen
• Geräte- und Browserdaten: Eigenschaften von Gerät/Browser, die für Bot-Erkennung nötig sind
• Interaktionssignale: Verhaltensindikatoren wie Klickmuster oder Mausbewegungen, die Automatisierung erkennen helfen
• Wiederholungs-/Häufungssignale: Daten, um Angriffsmuster zu erkennen, z. B. viele gestartete CAPTCHAs in kurzer Zeit

Unser Ziel: zweckgebunden (nur Bot-Schutz) und datenminimiert (nur so viel wie nötig). (Art. 5 Abs. 1 lit. b und lit. c DSGVO)

Zweckbindung und Datenminimierung

Die DSGVO erwartet, dass Daten für klare Zwecke erhoben werden und nur das verarbeitet wird, was wirklich nötig ist. Genau daran orientieren wir uns:

• Ein klarer Zweck: automatisierten Missbrauch verhindern und die Verfügbarkeit des Dienstes schützen (Art. 5 Abs. 1 lit. b DSGVO)
• Keine „Nebenverwertung“: Wir nutzen TrustCaptcha-Inputs nicht, um Werbe-Zielgruppen oder fremde Analyseprofile zu bauen (Art. 5 Abs. 1 lit. b DSGVO)
• Minimierung: Wir vermeiden unnötige, dauerhafte Kennungen und speichern nicht mehr als erforderlich (Art. 5 Abs. 1 lit. c DSGVO)

Hinweis zur Datenminimierung: TrustCaptcha läuft nur auf Endpoints, die Schutz brauchen (Login, Passwort-Reset, Registrierung, Formulare, Checkout) – nicht pauschal auf jeder Seite. So bekommst du Schutz dort, wo es zählt, ohne unnötige Datenverarbeitung. (Art. 5 Abs. 1 lit. c DSGVO)

Rechtsgrundlage für die Verarbeitung mit TrustCaptcha

Für viele Organisationen lässt sich Bot-Schutz sinnvoll über berechtigte Interessen begründen (Sicherheit, Betrugsprävention, Integrität des Dienstes). Das ist oft die pragmatischste Grundlage, wenn die Verarbeitung nötig ist, um Systeme und Nutzer:innen zu schützen – und wenn Schutzmaßnahmen die Auswirkungen gering halten.

Was wir liefern

• Eine klare Beschreibung, was TrustCaptcha macht und wofür es eingesetzt wird
• Vorschläge für Textbausteine, die du für deine Datenschutzhinweise anpassen kannst
• Controls, die eine „low-impact“ Abwägung unterstützen (Minimierung, kurze Aufbewahrung, Sicherheit)

Was du für DSGVO-Compliance tun solltest

• Deine Entscheidung zur Rechtsgrundlage dokumentieren (typisch: Einwilligung oder berechtigtes Interesse) (Art. 6 DSGVO)
• TrustCaptcha/CAPTCHA in der Datenschutzerklärung aufnehmen (Art. 12–13 DSGVO)
• Nutzer:innen kurz und verständlich erklären, dass TrustCaptcha für Sicherheit und Missbrauchsprävention eingesetzt wird (Art. 12–13 DSGVO)

Transparenz: Was in die Datenschutzhinweise gehört

Transparenz ist Pflicht, wenn personenbezogene Daten verarbeitet werden. Wir unterstützen das, indem wir dir praktische Beschreibungen liefern, die du in deine Dokumentation übernehmen kannst. (Art. 12 und 13 DSGVO)

Eine typische Disclosure für ein CAPTCHA sollte kurz abdecken:

• Dass du ein CAPTCHA nutzt (als Anti-Bot-Maßnahme)
• Warum (Schutz vor Spam, Missbrauch und automatisierten Angriffen)
• Welche Datenkategorien grob verarbeitet werden können (High-Level reicht meist)
• Rechtsgrundlage (häufig berechtigtes Interesse oder Einwilligung) (Art. 6 DSGVO)
• Aufbewahrung (Art. 5 Abs. 1 lit. e DSGVO)
• Wie Betroffenenrechte ausgeübt werden können (dein Kontaktweg) (Art. 12 und Art. 15–21 DSGVO)

Empfehlung: lieber kurz und in normaler Sprache schreiben, damit es wirklich verständlich ist.

Speicherbegrenzung: Aufbewahrung und Löschung

TrustCaptcha löscht oder anonymisiert Daten automatisch innerhalb eines definierten Aufbewahrungsfensters – damit Informationen nicht länger liegen bleiben, als es für Sicherheit und Fehleranalyse nötig ist. (Art. 5 Abs. 1 lit. e DSGVO)

Unser Ansatz

• Automatisches Aufräumen, ausgerichtet an den Anforderungen des Sicherheitsbetriebs.
• Klare Retention-Controls, damit nichts ohne Zweck gespeichert bleibt.

Sicherheitsmaßnahmen

Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen. TrustCaptcha ist mit Sicherheitskontrollen entwickelt, die zur Art des Dienstes und zu den Risiken der Missbrauchsprävention passen. (Art. 32 DSGVO)

Dazu gehören z. B.:

• Verschlüsselung bei der Übertragung (Encryption in transit)
• Zugriffskontrollen, damit nur berechtigte Personen an operative Daten kommen
• Monitoring im Betrieb, um Vorfälle zu erkennen und zu reagieren
• Trennung von Umgebungen und sauberes Change-Management

Details zu Pflichten und Maßnahmen findest du im AVV und in der begleitenden Dokumentation.

Auftragsverarbeitungsvertrag (AVV)

TrustCaptcha stellt einen formellen AVV bereit, um die Vertragsanforderungen an Auftragsverarbeiter zu erfüllen. (Art. 28 DSGVO) Der AVV deckt typischerweise ab:

• Weisungen und zulässiger Verarbeitungsumfang
• Vertraulichkeitspflichten
• Sicherheitsmaßnahmen
• Regeln und Controls zu Unterauftragsverarbeitern
• Unterstützung bei Betroffenenrechten
• Unterstützung bei DPIAs, wenn relevant
• Rückgabe-/Löschregeln beim Vertragsende

Wenn du TrustCaptcha produktiv nutzt, sollte der AVV abgeschlossen und als Teil deiner Compliance-Unterlagen abgelegt sein.

Unterauftragsverarbeiter und internationale Übermittlungen

Internationale Übermittlungen können den Compliance-Aufwand deutlich erhöhen. TrustCaptcha ist deshalb auf EU-fokussierte Verarbeitung ausgelegt, um das einfacher zu halten. (Art. 44–49 DSGVO)

Alle TrustCaptcha CAPTCHA-Daten werden in Rechenzentren in der EU verarbeitet.

Unterstützung bei Betroffenenrechten

Als Verantwortlicher bist du dafür zuständig, Betroffenenanfragen zu beantworten (Auskunft, Löschung, Widerspruch usw.). Als Auftragsverarbeiter unterstützt TrustCaptcha diese Prozesse wie im AVV beschrieben – inklusive praktischer Hilfe. (Art. 15–17 und Art. 21 DSGVO)

Empfohlene interne Schritte:

• Ein simples Verfahren, um zu prüfen, ob TrustCaptcha-Daten betroffen sind
• Anfragen über dein Privacy-Team routen, damit es konsistent bleibt
• Eine Nachvollziehbarkeit/Audit-Trail der Bearbeitung pflegen

CAPTCHA-DSGVO-Compliance-Checkliste

Konfiguration und Dokumentation

• CAPTCHA ist nur dort aktiv, wo Bot-Schutz nötig ist (z. B. Login, Kontaktformular, Newsletter)
• Zweck ist klar definiert (z. B. Sicherheit / Spam- und Missbrauchsprävention) (Art. 5 Abs. 1 lit. b DSGVO)
• Rechtsgrundlage ist festgelegt (häufig berechtigtes Interesse oder Einwilligung) (Art. 6 DSGVO)
• Entscheidung zur Rechtsgrundlage ist dokumentiert (falls erforderlich)

Transparenz

• Datenschutzhinweise nennen TrustCaptcha, Zweck, Datenkategorien, Rechtsgrundlage und Aufbewahrung (Art. 12–13 DSGVO; Art. 5 Abs. 1 lit. e DSGVO)
• Nutzertexte passen zum echten Setup (keine „Papier-Compliance“)
• Nutzer:innen bekommen genug Infos, um es zu verstehen (z. B. kurzer Hinweis auf der CAPTCHA-Seite) (Art. 12–13 DSGVO)

Verträge

• TrustCaptcha AVV ist abgelegt und auffindbar (Art. 28 DSGVO)
• Infos zu Unterauftragsverarbeitern sind dokumentiert

Nächste Schritte

TrustCaptcha unterstützt DSGVO-orientierten Bot-Schutz durch minimierte Verarbeitung, starke Sicherheitskontrollen, saubere Aufbewahrung und klare Auftragsverarbeiter-Dokumentation. Am besten wird’s aber erst, wenn du das mit deiner internen Governance kombinierst: Rechtsgrundlage dokumentieren, transparent informieren und die Unterlagen konsistent pflegen.