reCAPTCHA & DSGVO: Brauchst du eine Einwilligung?

Ein kleines Häkchen mit großer rechtlicher Wirkung

Du betreibst eine Praxis, einen Handwerksbetrieb oder ein kleines Unternehmen in der Region und hast irgendwann ein Kontaktformular mit dem bekannten "Ich bin kein Roboter"-Häkchen eingerichtet. Seitdem läuft es einfach, du hast dir nie weitere Gedanken darüber gemacht. Genau das ist der Punkt, an dem viele Betriebe aktuell unbewusst ein Risiko tragen, ohne es zu bemerken.

Google hat reCAPTCHA zum 2. April 2026 rechtlich neu aufgestellt. Das ändert nichts an der Technik, aber viel an der Frage, wer für die Datenverarbeitung verantwortlich ist und ob eine Einwilligung nötig bleibt.

Wie sich das entwickelt hat

Bis zum 2. April 2026 trat Google bei reCAPTCHA selbst als datenschutzrechtlich Verantwortlicher auf und konnte theoretisch selbst entscheiden, wie die erhobenen Daten verwendet werden. Genau das kritisierten Datenschutzbehörden und Experten seit Jahren, weil Websitebetreiber kaum Einfluss darauf hatten, was mit den Daten ihrer Besucher passiert.

Mit der Umstellung zum 2. April 2026 hat sich das geändert. Google verarbeitet reCAPTCHA-Daten seitdem als Auftragsverarbeiter nach Art. 28 DSGVO, auf Basis des Google Cloud Data Processing Addendum. Websitebetreiber sind seitdem formal die Verantwortlichen im Sinne der DSGVO. Technisch hat sich an reCAPTCHA selbst nichts verändert, rechtlich aber die komplette Verantwortungsstruktur.

Was reCAPTCHA im Hintergrund wirklich erfasst

Was viele nicht wissen: reCAPTCHA sammelt deutlich mehr als nur die IP-Adresse. Je nach Version erfasst der Dienst unter anderem Cookies, Mausbewegungen und Tastaturanschläge, Gerätedaten und Browser-Fingerprints sowie bei angemeldeten Google-Nutzern Informationen aus bestehenden Google-Profilen. Besonders reCAPTCHA v3 arbeitet dabei unsichtbar im Hintergrund und bewertet fortlaufend das Nutzerverhalten auf der gesamten Seite, nicht nur beim Formular selbst.

Das ist keine Kleinigkeit, sondern eine umfangreiche Datenverarbeitung, für die du als Verantwortlicher rechtlich einstehen musst. Genau diese Datenmenge ist auch der Grund, warum ein einfacher Verweis auf "wir nutzen reCAPTCHA von Google" in vielen älteren Datenschutzerklärungen nicht mehr ausreicht.

Brauchst du weiterhin eine Einwilligung?

Das ist die Frage, die seit der Umstellung die meisten Betriebe beschäftigt, und sie lässt sich nicht pauschal beantworten. Grob lassen sich drei Konstellationen unterscheiden.

Am unkritischsten ist die Situation, wenn du einen Auftragsverarbeitungsvertrag mit Google abgeschlossen hast, reCAPTCHA erst nach einer ausdrücklichen Einwilligung über ein Cookie-Banner lädst und deine Datenschutzerklärung aktuell ist. Dieses Vorgehen gilt fachlich übereinstimmend als sicherste Variante.

Vertretbar, aber mit Restrisiko ist es, wenn du den Einsatz stattdessen auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützt, ohne separate Einwilligung. Diese Praxis wird in der Praxis häufig so umgesetzt und derzeit meist toleriert, ist aber rechtlich nicht abschließend geklärt. Ein österreichisches Verwaltungsgericht hatte bereits vor der Umstellung entschieden, dass ein berechtigtes Interesse nicht ausreicht, solange eine Website ohne reCAPTCHA-Pflicht funktionieren könnte, etwa über eine alternative Kontaktmöglichkeit per E-Mail.

Hohes Risiko besteht, wenn weder ein Auftragsverarbeitungsvertrag vorliegt noch eine klare Rechtsgrundlage dokumentiert ist und reCAPTCHA direkt ohne Einwilligung lädt. Das betrifft in der Praxis überraschend viele ältere Websites, bei denen das Kontaktformular vor Jahren einmal eingerichtet und seitdem nicht mehr angefasst wurde.

Die fünf Bereiche, die weiterhin geprüft werden müssen

Unabhängig davon, für welche Rechtsgrundlage du dich entscheidest, bleiben fünf Bereiche relevant, die nach der Umstellung nicht automatisch erledigt sind.

Deine Datenschutzerklärung muss die neue Rolle von Google als Auftragsverarbeiter widerspiegeln, veraltete Verweise auf die allgemeine Google-Datenschutzerklärung solltest du entfernen. Ein Auftragsverarbeitungsvertrag mit Google, basierend auf dem Google Cloud Data Processing Addendum, gehört dokumentiert, auch wenn er inzwischen automatisch für reCAPTCHA-Nutzer gilt.

Dein Cookie-Banner sollte reCAPTCHA korrekt blockieren, bis eine Einwilligung vorliegt, sofern du diesen Weg wählst. Ein Verzeichnis der Verarbeitungstätigkeiten sollte reCAPTCHA mit der aktuellen Rolle erfassen, sofern dein Betrieb ein solches Verzeichnis führt. Und schließlich lohnt eine ehrliche Prüfung, ob eine datenschutzfreundlichere Alternative für dein Formularaufkommen nicht ohnehin die einfachere Lösung wäre.

Was kostet reCAPTCHA eigentlich, und was sind die Alternativen?

Ein Nebenaspekt, der zuletzt ebenfalls häufiger gesucht wird: reCAPTCHA v2 und v3 bieten weiterhin ein monatliches Freikontingent an Prüfungen, für die meisten kleinen Betriebe mit überschaubarem Formularaufkommen bleibt der Dienst damit kostenlos. Erst oberhalb dieses Kontingents greift eine Abrechnung über die Google Cloud Plattform, was für kleine Websites in der Praxis selten relevant wird.

Wer unabhängig von der reinen Kostenfrage lieber auf eine europäische, cookiefreie Lösung wechseln möchte, hat mittlerweile mehrere Optionen. Friendly Captcha, ein Anbieter mit Sitz in München und Servern in der EU, verzichtet komplett auf Cookies und ist aktuell ab 9 Euro im Monat verfügbar, mit einem kostenlosen Kontingent für kleinere Websites. Cloudflare Turnstile ist für die meisten Websites kostenlos nutzbar und arbeitet ebenfalls unsichtbar im Hintergrund, allerdings mit Serverstandort in den USA. Die selbst gehostete, quelloffene Lösung ALTCHA ist komplett kostenlos, erfordert aber etwas mehr technisches Setup.

Ein einfacher Honeypot, also ein für Menschen unsichtbares Formularfeld, das nur Bots ausfüllen, ist die einfachste und kostenlose Variante. Was gegen meinen eigenen Vorteil als Entwickler spricht: Für ein kleines Kontaktformular mit überschaubarem Spam-Aufkommen reicht ein gut umgesetzter Honeypot oft völlig aus, ganz ohne externen Dienst und ganz ohne Cookie-Thematik.

Fazit

Die reCAPTCHA-Umstellung vom April 2026 hat die rechtliche Lage verbessert, aber nicht vollständig geklärt. Wer auf Nummer sicher gehen will, holt weiterhin eine ausdrückliche Einwilligung über das Cookie-Banner ein und prüft parallel, ob eine der mittlerweile praxistauglichen Alternativen nicht ohnehin die einfachere Lösung wäre.

Wenn du wissen willst wo deine Website beim Thema reCAPTCHA und Datenschutz steht, melde dich einfach für einen kostenlosen Website-Check.