Google reCAPTCHA datenschutzkonform nutzen – Was gilt 2025?

Google reCAPTCHA datenschutzkonform einsetzen – Eine kritische Bestandsaufnahme

Google reCAPTCHA ist ein weit verbreitetes Sicherheitstool, das Websites vor automatisierten Bot-Angriffen schützen soll. Ob Massenanmeldungen, Spam-Kommentare oder automatisierte Formulareingaben: Der Dienst soll unerwünschte Bot-Aktivitäten erkennen und blockieren. Doch wie steht es um die datenschutzrechtliche Zulässigkeit? Diese Frage beschäftigt Website-Betreiber seit Jahren. Die jüngsten Änderungen seitens Google bringen zwar Bewegung in die Debatte, lösen die Kernprobleme aber nicht.

Was hat sich bei Google reCAPTCHA geändert?

Bisher agierte Google beim Einsatz von reCAPTCHA als eigenständig Verantwortlicher. Das bedeutete: Google konnte selbst entscheiden, welche Daten über den Dienst erhoben werden und wofür diese verwendet werden. Website-Betreiber hatten darauf keinen Einfluss und mussten die Datenweitergabe zusätzlich rechtfertigen.

Seit dem 2. April 2025 bietet Google reCAPTCHA nun als Auftragsverarbeiter an. Google verarbeitet die Daten künftig also nur noch im Auftrag und nach Weisung der Website-Betreiber. Die datenschutzrechtliche Verantwortung liegt damit vollständig bei Ihnen als Betreiber, nicht mehr bei Google.

Diese Änderung klingt zunächst nach einem Fortschritt. Sie gewinnen formal mehr Kontrolle, können Prüfrechte geltend machen und benötigen keine separate Rechtsgrundlage mehr für die Datenweitergabe an Google. Soweit die gute Nachricht. Die schlechte: Drei zentrale Problemfelder bleiben bestehen.

Drei datenschutzrechtliche Probleme bei Google reCAPTCHA

Problem 1: Cookie-Setzung ohne Einwilligung rechtlich fragwürdig

Sobald reCAPTCHA auf einer Website eingebunden wird, setzt der Dienst automatisch Cookies. Für diese Cookie-Setzung benötigen Sie als Website-Betreiber eine rechtliche Grundlage.

Als Rechtsgrundlage kommt § 25 Abs. 2 Nr. 2 TDDDG in Betracht. Dieser erlaubt die Cookie-Setzung, wenn sie unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. In der Praxis bedeutet dies: technische Erforderlichkeit.

Genau hier wird es kritisch. Das Österreichische Bundesverwaltungsgericht hat in einer Entscheidung vom 13. September 2024 festgestellt, dass reCAPTCHA für die Funktionsfähigkeit einer Website nicht notwendig ist. Es gebe alternative Methoden zur Bot-Abwehr, die ohne den Google-Dienst auskommen. Auch die französische Datenschutzbehörde CNIL hat den Einsatz von reCAPTCHA ohne Einwilligung im März 2023 mit einem Bußgeld belegt.

Die sicherste Variante wäre daher die Einbindung nach vorheriger Einwilligung gemäß § 25 Abs. 1 TDDDG. Das schafft jedoch ein praktisches Problem: Ein CAPTCHA soll Bots genau dann aufhalten, wenn sie ein Formular ausfüllen wollen, also noch bevor eine bewusste Interaktion stattfindet. Bots könnten zudem theoretisch alle Cookies ablehnen und so den Schutz umgehen. Der Dienst verliert damit seinen praktischen Nutzen.

Problem 2: Fehlende Transparenz über die Datenverarbeitung

Die vertraglichen Änderungen durch Google ändern nichts an einem weiteren Hauptkritikpunkt: der mangelnden Transparenz. In den verfügbaren Unterlagen von Google finden sich keine konkreten Informationen zu den tatsächlich durch reCAPTCHA verarbeiteten Daten. In den FAQ von Google wird lediglich auf Service Specific Terms sowie das Cloud DPA verwiesen. Beide Dokumente enthalten keine weitergehenden Informationen zur Datenverarbeitung im konkreten Fall der reCAPTCHA-Nutzung.

Das ist aus datenschutzrechtlicher Sicht problematisch. Als Verantwortlicher müssen Sie Ihre Nutzenden transparent über die Datenverarbeitung informieren und den rechtmäßigen Einsatz im Zweifelsfall nachweisen können (Art. 5 Abs. 1, 2 DSGVO). Wenn Sie selbst nicht wissen, welche Daten Google konkret erhebt, ist beides kaum möglich.

Die Bayerische Aufsichtsbehörde rät aus diesem Grund explizit von der Nutzung des Google reCAPTCHA-Dienstes ab:

„Website-Betreiber sollten unbedingt Alternativen prüfen. Wird dennoch Google reCAPTCHA eingebunden, muss sich der Verantwortliche im Klaren sein, dass er den rechtmäßigen Einsatz gem. Art. 5 Abs. 1, 2 DS-GVO nachweisen können muss. Wer nicht darlegen kann, wie Google die Nutzerdaten verarbeitet, kann den Nutzer nicht transparent informieren und den rechtmäßigen Einsatz nicht nachweisen.”

Problem 3: Verfügbarkeit milderer Mittel

Durch Google reCAPTCHA werden personenbezogene Daten der Nutzenden verarbeitet, wie zum Beispiel IP-Adressen. Neben der Frage der Cookie-Setzung brauchen Sie also auch eine Rechtsgrundlage für die Verarbeitung dieser Daten.

Wer reCAPTCHA ohne Einwilligung nutzen möchte, muss sich auf das berechtigte Interesse gemäß Art. 6 Abs. 1 Buchst. f DSGVO stützen. Dafür muss die Datenverarbeitung erforderlich sein. Wenn es datenschutzfreundlichere Alternativen gibt, die denselben Zweck erfüllen, reicht das berechtigte Interesse nicht aus.

Die CNIL bemängelte vor allem die unklare Verwendung der durch reCAPTCHA erhobenen personenbezogenen Daten durch Google und kam zu dem Ergebnis, dass die Datenverarbeitung nicht über das berechtigte Interesse gerechtfertigt werden kann.

Durch die Änderung der datenschutzrechtlichen Rolle können diesem Argument nun bessere Gegenargumente entgegengehalten werden. Google darf formal als Auftragsverarbeiter nicht mehr selbst über die Verwendung der erhobenen Daten bestimmen, sondern diese ausschließlich zur Bot-Abwehr auf der jeweiligen Website nutzen. Allerdings dürfte es im Ergebnis weiterhin so sein, dass der Schutz der Website durch weniger eingriffsintensive Mittel erreicht werden kann und die Nutzung des Google reCAPTCHA-Dienstes für die Zweckerfüllung nicht erforderlich ist.

Handlungsempfehlungen für Website-Betreiber

Die vertragliche Änderung durch Google ist ein Schritt in die richtige Richtung. Website-Betreiber erhalten mehr Kontrolle und eine klarere rechtliche Einordnung. Wer reCAPTCHA weiter einsetzen möchte, hat damit bessere Argumente als zuvor.

Nutzen Sie den Anlass, um die Informationen zu Google reCAPTCHA in Ihrer Website-Datenschutzerklärung auf Aktualität und Transparenz zu überprüfen, insbesondere mit Blick auf die Darstellung der datenschutzrechtlichen Verantwortlichkeit von Google.

Klar ist jedoch: Die Kernprobleme bleiben bestehen. Die fehlende Transparenz über die tatsächlich verarbeiteten Daten und die Verfügbarkeit datenschutzfreundlicherer Alternativen machen es schwer, reCAPTCHA ohne Einwilligung einzusetzen.

Unsere Empfehlung

Prüfen Sie datenschutzfreundliche Alternativen zu Google reCAPTCHA und entscheiden Sie risikobasiert, welcher Dienst am besten für Ihre Zwecke passt. Bei dieser Abwägung unterstützen wir Sie gerne. Kontaktieren Sie uns für eine individuelle Beratung zu Ihrer Website-Sicherheit und DSGVO-Compliance.

Sie sind unsicher, ob Google reCAPTCHA bei Ihnen datenschutzkonform eingesetzt werden kann? Vereinbaren Sie jetzt ein kostenloses Erstgespräch mit unseren Datenschutz-Experten. Wir analysieren Ihre Situation und zeigen Ihnen rechtssichere Lösungen auf.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.