CAPTCHA und DSGVO: Einwilligung, US-Transfer und Barrierefreiheit

Wann fällt ein CAPTCHA unter § 25 TDDDG?

Ein CAPTCHA soll erkennen, ob ein Mensch oder ein Programm ein Formular abschickt. Dafür setzen die bekannten Dienste Cookies oder prüfen per JavaScript im Browser. Nach § 25 TDDDG, früher TTDSG, ist das Speichern oder Auslesen von Informationen auf dem Endgerät grundsätzlich nur mit Einwilligung zulässig. Sie richtet sich nach der DSGVO.

Eine Ausnahme gilt nach § 25 Abs. 2 Nr. 2 TDDDG, wenn der Zugriff unbedingt erforderlich ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Die Datenschutzkonferenz (DSK) versteht § 25 in ihrer Orientierungshilfe Digitale Dienste (Version 1.2, November 2024) technikneutral. Auch wer per JavaScript aktiv Eigenschaften des Geräts ausliest, greift danach auf das Endgerät zu. Ob personenbezogene Daten anfallen, spielt dafür keine Rolle.

Wann gilt ein CAPTCHA als „unbedingt erforderlich“?

CAPTCHAs nennt die Orientierungshilfe nicht ausdrücklich. Ihre Kriterien für Sicherheit und Betrugsprävention lassen sich aber anlegen:

• Sicherheit kann dazugehören. Nutzerorientierte Betrugsprävention kann zum Basisdienst zählen, etwa Schutz gegen wiederholt fehlgeschlagene Anmeldeversuche (Rz. 74, 83).
• Das Etikett genügt nicht. „Sicherheitscookie“ allein reicht nicht; für die Sicherheit nicht angeforderter Drittdienste gilt die Ausnahme nicht (Rz. 83).
• Jeder Zweck zählt. Ein Mehrzweck-Cookie ist nur einwilligungsfrei, wenn jeder Zweck die Ausnahme erfüllt (Rz. 86).
• Technisch, nicht wirtschaftlich. Was nur das Geschäftsmodell braucht, ist nicht unbedingt erforderlich (Rz. 78).
• Zeitpunkt. Ein Kontaktformular ist erst gewünscht, wenn jemand es ausfüllt; Zugriffe dürfen erst mit der Nutzung beginnen (Rz. 76, 95).
• Drittdienste. Ein Drittanbieter darf ausgelesene Informationen nur für die aufgerufene Website verwenden (Rz. 95).

Daneben gilt die DSGVO: Eingebundene Skripte Dritter legen dem Drittserver regelmäßig personenbezogene Daten offen, dafür braucht es eine Rechtsgrundlage (Rz. 101). Ein Auftragsverarbeiter verarbeitet Daten im Auftrag des Betreibers. Nutzt er sie auch für eigene Zwecke, trägt Art. 6 Abs. 1 lit. f DSGVO die Übermittlung an ihn laut DSK in der Regel nicht (Rz. 111, zum Tracking). Das gilt selbst, wenn nur die IP-Adresse übermittelt wird.

Einordnung: Auch „ohne Cookies“ heißt nicht automatisch „außerhalb von § 25 TDDDG“, denn JavaScript-Prüfungen können ein Zugriff auf das Endgerät sein.

Was haben Gericht und Behörden zu reCAPTCHA entschieden?

Das österreichische Bundesverwaltungsgericht (BVwG) wies am 13. September 2024 eine Beschwerde gegen einen Bescheid der Datenschutzbehörde ab (GZ W298 2274626-1/8E). Bei einer Registrierung als Parteimitglied hatte reCAPTCHA das Cookie _GRECAPTCHA gesetzt und IP-Adresse sowie Browserdaten an Google übermittelt. Das Gericht hielt reCAPTCHA für „technisch nicht notwendig“, sah kein überwiegendes berechtigtes Interesse und verlangte eine vorherige Einwilligung nach Art. 5 Abs. 3 der ePrivacy-Richtlinie.

Die französische Datenschutzbehörde CNIL sanktionierte am 16. März 2023 ein Unternehmen (SAN-2023-003). Weil reCAPTCHA Hardware- und Softwareinformationen an Google übermittle und nicht allein der Sicherung eines Authentifizierungsmechanismus diene, wären Information und Einwilligung nötig gewesen. Von insgesamt 125.000 Euro entfielen 25.000 Euro auf den Verstoß gegen Art. 82 des französischen Datenschutzgesetzes, also auf reCAPTCHA.

Laut den FAQ zu Cookies der CNIL (Stand 29. April 2026) braucht ein CAPTCHA keine Einwilligung, wenn es allein der Sicherung dient. Bei weiteren Zwecken schon; als Beispiel für eigene Zwecke des Anbieters nennt sie reCAPTCHA. Für einwilligungspflichtige Lösungen empfiehlt sie Alternativen oder ergänzende Schutzmaßnahmen.

Einordnung: Die Entscheidungen binden deutsche Behörden und Gerichte nicht. Sie beruhen aber auf Art. 5 Abs. 3 der ePrivacy-Richtlinie, den in Frankreich Art. 82 und hierzulande § 25 TDDDG umsetzen. Eine veröffentlichte deutsche Gerichtsentscheidung zu reCAPTCHA fand die Recherche nicht. Wer ein CAPTCHA nur nach Einwilligung lädt, dem fehlt bei Ablehnung dieser Schutz.

Was ändert Googles Rollenwechsel bei reCAPTCHA?

Laut Googles Community-Blog ist Google für reCAPTCHA seit 2. April 2026 Auftragsverarbeiter statt Verantwortlicher; verantwortlich sind die Website-Betreiber. Die FAQ formuliert abweichend, Kunden seien schon immer Verantwortliche gewesen. Für Version 3 empfiehlt Google die Einbindung auch im Hintergrund von Seiten.

Einordnung: Die Umstellung klärt die Rollen nach der DSGVO, nicht aber, ob das Cookie _GRECAPTCHA und ausgelesene Geräteinformationen unter die Ausnahme des § 25 TDDDG fallen. Offen ist auch, ob die CNIL-FAQ den Wechsel schon berücksichtigt. Ein reCAPTCHA auf allen Seiten steht zudem in Spannung zum DSK-Kriterium, dass Zugriffe erst mit Nutzung des Formulars beginnen.

Was gilt beim Datentransfer in die USA?

Für den Transfer in die USA verweist die DSK auf den Angemessenheitsbeschluss vom 10. Juli 2023, das EU-US Data Privacy Framework (DPF). Mit einem solchen Beschluss bescheinigt die EU-Kommission einem Drittland ein vergleichbares Datenschutzniveau; eine Rechtsgrundlage nach Art. 6 DSGVO braucht es trotzdem. Das DPF gilt laut DSK aber nur für US-Organisationen, die sich beim US-Handelsministerium zertifiziert haben und aktuell auf dessen DPF-Liste stehen (dataprivacyframework.gov).

Für andere Empfänger braucht es etwa Standardvertragsklauseln. Google, Cloudflare und hCaptcha nennen das DPF selbst; ihren Eintrag auf der DPF-Liste prüft dieser Beitrag nicht.

Das Gericht der EU wies die Klage gegen den Beschluss am 3. September 2025 ab (T-553/23, Pressemitteilung). Die Kommission muss den Rahmen weiter überwachen und kann ihn aussetzen, ändern oder aufheben. Gegen das Urteil konnte ein Rechtsmittel zum Gerichtshof eingelegt werden; ob ein Verfahren läuft, ließ sich nicht prüfen.

Wie unterscheiden sich die Anbieter?

Die Tabelle gibt Selbstauskünfte der Anbieter wieder (Stand 9. November 2026); unabhängig geprüft sind sie nicht.

Anbieter	Verfahren	Daten	Rolle, Transfer, Einwilligung	Barrierefreiheit
reCAPTCHA (Google)	Risikowert	Cookie _GRECAPTCHA, für die Risikoanalyse „notwendig“	Auftragsverarbeiter seit 2. April 2026; Zusage, Daten nur für Betrieb und Schutzfunktionen des Dienstes zu verarbeiten	keine Angabe gefunden
hCaptcha (Intuition Machines)	Geräte- und Verhaltenssignale	IP-Adresse, Browser- und Gerätetyp, Mausbewegungen, Scrollposition, Tastatur- und Touch-Ereignisse	Speicherung in den USA; DPF, Standardvertragsklauseln	WCAG 2.2 AA laut eigenen und externen Prüfungen; Zugang per Registrierung
Turnstile (Cloudflare)	nicht interaktive JavaScript-Prüfungen, bei Bedarf Kästchen	IP-Adresse, TLS-Fingerprint, User-Agent, Sitekey, Herkunft	Auftragsverarbeiter; Verantwortlicher für die Verbesserung der Erkennung	„WCAG 2.2 AA compliant“
Friendly Captcha	kryptografisches Rätsel auf dem Gerät	ohne Cookies, IP-Adresse per Einweg-Hash laut Anbieter anonymisiert, EU-Endpunkt	hält keine Einwilligung für nötig (berechtigtes Interesse; § 25 TDDDG dort nicht erwähnt)	Abzeichen „WCAG 2.2 AA“

Was verlangt die Barrierefreiheit?

Laut einer Note des W3C von 2021, die kein Standard ist, hindern CAPTCHAs Menschen mit Behinderungen oft daran, einen Vorgang abzuschließen. Ein zusätzliches Audio-CAPTCHA schafft keinen gleichwertigen Zugang. Bei reCAPTCHA v2 fiel laut Note die Tastaturbedienung aus; dann erschien ein herkömmliches, nicht barrierefreies CAPTCHA.

Die Note bevorzugt nicht interaktive Verfahren wie Proof-of-Work, bei dem das Gerät eine Rechenaufgabe löst; das kann ältere Hardware verlangsamen. Reicht ein Honeypot, also ein für Menschen verborgenes Formularfeld, soll man ihn nutzen.

WCAG 2.2 ist eine Empfehlung des W3C, kein Gesetz. Kriterium 1.1.1 verlangt für CAPTCHAs eine Textalternative sowie Varianten für andere Sinne. Kriterium 3.3.8 (Stufe AA) schließt bei der Authentifizierung kognitive Funktionstests aus, auch per CAPTCHA, außer es gibt eine Alternative oder Hilfe. Ein solcher Test ist etwa das Abschreiben eines Wortes, daher gilt ein Audiotest mit Abschreiben nicht als Alternative.

Objekterkennung wie „alle Bilder mit Autos“ ist auf Stufe AA ausgenommen, auf AAA nicht. 3.3.8 betrifft nur die Anmeldung bei einem bestehenden Konto, nicht die Kontoerstellung.

Das Barrierefreiheitsstärkungsgesetz (BFSG) gilt seit 28. Juni 2025, unter anderem für digitale Dienste, die im Hinblick auf einen Verbrauchervertrag erbracht werden. Nach § 19 BFSGV müssen Authentifizierungs- und Sicherheitsfunktionen wahrnehmbar, bedienbar, verständlich und robust sein; CAPTCHAs nennt die Verordnung nicht. Kleinstunternehmen mit Dienstleistungen sind ausgenommen (weniger als zehn Beschäftigte, höchstens 2 Mio. Euro Umsatz oder Bilanzsumme; § 3 Abs. 3, Definition § 2 Nr. 17 BFSG). Bußgelder: bis 10.000 Euro, bei bestimmten Verstößen bis 100.000 Euro (§ 37 BFSG).

Einordnung: Für Newsletter- und Registrierungsformulare ist 3.3.8 nicht einschlägig, allgemeine Kriterien wie 1.1.1 schon. Ob das BFSG ein Anmeldeformular erfasst, hängt am Verbrauchervertrag und ist eine Frage des Einzelfalls.

Wie gut halten CAPTCHAs Bots noch auf?

In einer Studie von Searles u. a. (USENIX Security 2023) lösten 1.400 bezahlte Teilnehmende 14.000 CAPTCHAs. Veröffentlichte Angriffe erreichten 85 bis 100 Prozent Genauigkeit, die Menschen der Studie 50 bis 85 Prozent. Bots können Menschen danach bei Tempo und Genauigkeit übertreffen. Zudem lagern Bots das Lösen oft an CAPTCHA-Farmen aus, in denen Menschen dafür bezahlt werden.

Laut Juniper Research halten klassische CAPTCHAs KI-Bots nicht mehr zuverlässig davon ab, Einmalcodes anzufordern. Was das bei SMS-Versand kosten kann, zeigt der Beitrag zum SMS-Pumping.

Einordnung: Ein CAPTCHA prüft bestenfalls, ob ein Mensch die Aufgabe gelöst hat. Ob die anmeldende Person Zugriff auf die eingetragene E-Mail-Adresse oder Telefonnummer hat, prüft es nicht; das leistet eine Verifizierung wie das Double-Opt-in. Wie sich Bots bei der Anmeldung stoppen lassen, zeigt der Leitfaden „Bots bei der Anmeldung: CAPTCHA, Honeypot oder Verifizierung?“ von Sendity.