Was Webseitenbetreiber nun tun müssen
Mit einem eher unscheinbaren Beitrag auf seinem „Google Cloud Security Community“ kündigte Google eine grundlegende Veränderung zu reCAPTCHA an. Diese hat für alle Unternehmen, die reCAPTCHA auf ihrer Webseite einbinden, datenschutzrechtliche Auswirkungen, die nicht ignoriert werden sollten. Was hat sich geändert und was müssen Webseitenbetreiber nun tun?
1. Was ist Google reCAPTCHA und was hat das mit Datenschutz zu tun?
Captchas allgemein sind Webseiten-Tools, die automatisierte Zugriffe auf Webseiten durch Bots und Co. erkennen und unter anderem Online-Formulare vor Spam-Angriffen schützen. Man begegnet den Captchas beim Ausfüllen von Online-Formularen, wenn Ampeln oder verzerrte Buchstaben auf Bilder erkannt werden müssen. Auch das Häkchen für die Bestätigung „Ich bin ein Mensch“ wird von Captchas abgefragt. Immer mehr laufen die Tools unsichtbar im Hintergrund und versuchen anhand der Analyse von Nutzerverhalten wie Mausbewegungen, gesetzten Cookies und IP-Adresse (also personenbezogenen Daten) festzustellen, ob man Mensch oder Maschine ist. Das am weitesten verbreitete Captcha-Tool ist Googles kostenloses reCAPTCHA.
Wie bei Google-Produkten häufig der Fall, gibt es auch bei reCAPTCHA viel Kritik bezüglich der (unzureichenden) Einhaltung des Datenschutzes. Denn es ist auch hier nicht klar, welche personenbezogenen Daten in welchem Umfang durch das Tool verarbeitet werden und ob Google die Daten noch zu anderen Zwecken verwendet. Auch eine Datenweiterleitung in die USA ist anzunehmen. Bisher handelte Google hierbei als datenschutzrechtlicher „Verantwortlicher“, sodass Webseitenbetreiber wenig rechtliche Handhabe hatten, hier für Datenschutz zu sorgen. Für Unternehmen und Organisationen, die reCAPTCHA auf ihrer Webseite einsetzen, führte dies zu rechtlichen Unsicherheiten.
2. Was hat sich geändert?
Ob aufgrund von zunehmendem regulatorischem Druck oder anderen Gründen – Google hat jedenfalls zum 2. April 2026 das Vertragswerk um reCAPTCHA herum geändert, sodass
- Google nun als weisungsgebundener Auftragsverarbeiter die Datenverarbeitungen von reCAPTCHA durchführt,
- Google diese Daten ausschließlich zum Schutz der Webseite verarbeiten darf und nicht mehr für eigene, andere Zwecke, und
- der Webseitenbetreiber im Sinne der DSGVO Verantwortlicher für alle Datenverarbeitungen von reCAPTCHA ist.
Denn nun ist auch reCAPTCHA als professioneller Google-Cloud-Service in den Nutzungsbedingungen von Googles Cloud-Services und dem dazugehörenden Auftragsverarbeitungsvertrag (das sogenannte Cloud Data Processing Addendum) enthalten. Damit werden datenschutzrechtliche Unsicherheiten bezüglich des Einsatzes von reCAPTCHA verringert, beispielsweise ob man für Googles eigenständige Datenverarbeitung mitverantwortlich ist.
Es bleiben jedoch Risiken, denn technisch hat sich am Tool wenig geändert und die Datenverarbeitungen und -flüsse durch Google sind für die Verantwortlichen weiterhin wenig nachvollziehbar.
3. Was ist nun zu tun?
Mit den veränderten Rollen und Verantwortungen kommen nun einige Pflichten und Aufgaben auf die Webseitenbetreiber zu:
- die Datenschutzerklärung muss angepasst werden:
- Google darf nicht mehr als Verantwortlicher beschrieben werden
- Zweck der Verarbeitung als Schutz der Webseite vor Angriffen, u.a. durch Bot-Erkennung sowie die Verhinderung von Spam und Missbrauch beschreiben,
- eigene manuelle Hinweise (z.B. Verlinkungen) auf die Datenschutzerklärung und Nutzungsbedingungen im Zusammenhang mit reCAPTCHA müssen gelöscht werden,
- die aktualisierten Verträge von Google (Nutzungsbedingungen und Auftragsverarbeitungsvertrag) müssen zwecks Dokumentation abgelegt werden,
- das Verzeichnis der Verarbeitungstätigkeiten (VVT) muss aktualisiert werden (Google als Auftragnehmer),
- das berechtigte Interesse zum Einsatz von reCAPTCHA, sofern als Rechtsgrundlage herangezogen, muss durch eine Interessensabwägung begründet und dokumentiert werden.
Als Datenschutzberater und Datenschutzbeaufragte unterstützen wir Sie gerne bei der Umsetzung dieser Aufgaben. Falls Sie Bedenken bezüglich des weiteren Einsatzes von reCAPTCHA haben, helfen wir Ihnen zudem bei der Auswahl einer datenschutzkonformen Alternative.
Autorin: Esther Sheldrick Weiß
Rechtssichere Datenschutzerklärung für Ihre Website
Für mehr Rechtssicherheit bei der laufenden Pflege Ihrer Datenschutzerklärung bieten wir Ihnen unser Compliance-Tool WhiteColibri an: es erstellt eine rechtssichere Datenschutzerklärung und aktualisiert diese dank künstlicher Intelligenz automatisch, wenn dies aufgrund von Veränderungen wie – etwa bei reCAPTCHA – erforderlich ist.
