Der Formularinhalt geht nicht durch.
CAPTCHA im Gesundheitswesen.
Vor einem Terminformular steht dieselbe Frage wie überall, nur mit weniger Spielraum: Was sieht die Prüfung, und wo läuft sie.
Stand: August 2026
Was sieht eine CAPTCHA-Prüfung vor einem Terminformular?
Die Verbindung und den Browser. Nicht den Formularinhalt.
Der Inhalt der Formularfelder geht nicht durch die Prüfung. Geprüft wird, ob die Absendung von einem Menschen stammt. Eine Sache gehört trotzdem in die linke Spalte: auf unterstützten Desktop-Browsern beobachtet das Script die Tasteneingaben auf der geschützten Seite und übermittelt daraus zusammengefasste Timing-Statistiken. Tasteninhalte nicht.
Wird verarbeitet
Verbindung und Browser
- IP-Adresse der Anfrage
- Browser- und Plattformangaben
- Ergebnisse von Konsistenzprüfungen
- Lokal berechneter Gerätefingerabdruck
- Zusammengefasste Tastatur-Timings, ohne Tasteninhalte
- Zeigerverlauf in interaktiven Modi
Wird nicht verarbeitet
Inhalte
- Inhalt der Formularfelder
- CAPTCHA-Cookies
- Seitenübergreifendes Tracking
- Daten für KI-Training
Die linke Spalte ist vollständig und nicht die Auswahl, die sich am besten liest.
"Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt."
Art. 9 Absatz 1 DSGVO
Keine der Angaben in der linken Spalte fällt unter die dort genannten Kategorien. Welche Bewertung sich daraus für Ihre Verarbeitung ergibt, nehmen Sie und Ihre Datenschutzbeauftragte vor, nicht wir.
Wo werden die Daten verarbeitet?
In Deutschland, auf jeder Tarifstufe.
Es gibt keine Ausbaustufe, in der die Verarbeitung erst in Deutschland stattfindet, und keine Voreinstellung, die sie woanders hin schickt. Der Weg einer Anfrage endet bei einem Ergebnis, nicht bei einem Datensatz in Ihrem System.
- Browser des BesuchersDas Widget wird geladen, die Prüfung läuft im Browser ab.
- Prüfung in DeutschlandDeutschland. Kein Anbieter außerhalb der EU im Prüfweg.
- Ergebnis an Ihr SystemIhre Praxis- oder Klinikseite erhält bestanden oder nicht bestanden, keine Rohdaten.
- ErkennungsereignisOhne IP-Adresse, ohne Gerätefingerabdruck, ohne Tasteninhalte. Löschung nach 30 Tagen.
- StatistikBestanden und abgewiesen je Seite. 365 Tage im Tarif Pro, unbegrenzt bei Enterprise.
Die beiden unteren Zeilen betreffen die Aufbewahrung, nicht den Prüfweg.
- Auftragsverarbeiter
- Deutschland, namentlich unter byebot.de/datenschutz.
- Vertrag
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
- Cookies
- Die Prüfung setzt keine.
- Verwendung
- Kein Datenverkauf, kein KI-Training mit Besucherdaten, keine Werbung.
- Vertiefung
- DSGVO und CAPTCHAs im Detail
Was bleibt nach der Prüfung gespeichert?
Ein Ereignis ohne Personenbezug und eine Zahl in der Statistik.
Ein Erkennungsereignis hält fest, welche Merkmale angeschlagen haben, wie entschieden wurde und zu welcher Seite es gehört. Es enthält weder IP-Adresse noch Gerätefingerabdruck, weder Tasteninhalte noch Zeigerkoordinaten, und es wird nach 30 Tagen gelöscht.
Echte Aufnahme des laufenden Dashboards. Die Oberfläche ist die Software, die Zahlen darin sind Demo-Daten aus einem Testkonto.
- Erkennungsereignis
- Angeschlagene und durchgesetzte Merkmale, Bewertung und Entscheidung, Ergebnis der Prüfung, begrenzte Browser- und Plattformangaben, Zuordnung zur Seite, eine Ereigniskennung und der Zeitpunkt.
- Nicht enthalten
- IP-Adresse, Challenge-Kennung, Gerätefingerabdruck, Tasteninhalte, rohe Tastatur-Timings, Zeigerkoordinaten.
- Löschung
- Nach 30 Tagen.
- Statistik
- Bestanden und abgewiesen je Seite im Zeitverlauf. 365 Tage im Tarif Pro, unbegrenzt bei Enterprise. Mehr dazu ›
- Beobachtungsmodus
- Ein großer Teil der Merkmale beobachtet nur und blockiert nichts. Was das für die Aussagekraft bedeutet, steht auf der Seite zur Erkennung. Mehr dazu ›
Löschung und Aufbewahrung laufen unabhängig voneinander: Ein Erkennungsereignis von Tag 14 ist dreißig Tage später gelöscht, die Zahl, die derselbe Tag in der Statistik hinterlässt, bleibt im Tarif Pro 365 Tage stehen.
Was wir für diese Branche nicht behaupten.
Vier Sätze, die hier nicht stehen.
Im Gesundheitswesen wird genauer gelesen als anderswo. Deshalb nennen wir die Lücken selbst, statt zu warten, bis jemand danach fragt.
- Keine Zertifizierung
- Keine ISO 27001, keine SOC-2-Prüfung, kein externes Sicherheitsaudit, das wir vorlegen könnten.
- Kein Branchenvertrag
- Es gibt keinen gesonderten Vertrag für Praxen, Kliniken oder Kassen. Es gilt derselbe Auftragsverarbeitungsvertrag wie für alle anderen.
- Keine Zugangskontrolle
- Eine CAPTCHA-Prüfung sortiert Anfragen vor einem Formular. Sie ersetzt keine Anmeldung, keine Rollenverwaltung und keine Absicherung Ihres Praxissystems.
- Keine Erkennungsquote
- Wir nennen keine Zahl dazu, wie viele automatisierte Anfragen erkannt werden.
Was bleibt, ist eine kurze Liste nachprüfbarer Angaben: Verarbeitung in Deutschland, Vertrag nach Art. 28 DSGVO, keine Cookies, keine Übermittlung in ein Drittland, Löschung der Erkennungsereignisse nach 30 Tagen. Alles Weitere gehört in Ihre eigene Bewertung.
Fragen zum Einsatz im Gesundheitswesen.
Kurze Antworten dazu, was übermittelt wird, was im Vertrag steht und wo die Prüfung aufhört.
Werden Tastatureingaben mitgelesen?
Auf unterstützten Desktop-Browsern beobachtet das Script die Tasteneingaben auf der geschützten Seite und bildet daraus zusammengefasste Timing-Statistiken. Nur diese Kennzahlen gehen an die Prüfung. Tasteninhalte und rohe Timing-Reihen werden nicht übermittelt, und ein Erkennungsereignis enthält weder Tasteninhalte noch rohe Tastatur-Timings noch Zeigerkoordinaten.
Was steht in Artikel 9 Absatz 1 DSGVO?
Er untersagt die Verarbeitung besonderer Kategorien personenbezogener Daten, darunter genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder der sexuellen Orientierung. Keine der Angaben, die eine CAPTCHA-Prüfung verarbeitet, fällt unter die dort genannten Kategorien. Welche Bewertung sich daraus für Ihre Verarbeitung ergibt, nehmen Sie und Ihre Datenschutzbeauftragte vor, nicht wir.
Setzt die Prüfung Cookies?
Nein. Die Prüfung setzt keine CAPTCHA-Cookies. Es gibt kein seitenübergreifendes Tracking, keinen Datenverkauf, kein KI-Training mit Besucherdaten und keine Werbung. Eine Übermittlung in ein Drittland findet nicht statt, es ist kein Anbieter außerhalb der EU im Prüfweg. Die Auftragsverarbeiter in Deutschland stehen namentlich unter byebot.de/datenschutz.
Gibt es einen gesonderten Vertrag für Praxen und Kliniken?
Nein. Es gibt keinen gesonderten Vertrag für Praxen, Kliniken oder Kassen. Es gilt derselbe Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wie für alle anderen. Nachweise legen wir ebenfalls keine vor: keine ISO 27001, keine SOC-2-Prüfung, kein externes Sicherheitsaudit. Die Verarbeitung findet in Deutschland statt, auf jeder Tarifstufe.
Ersetzt eine CAPTCHA-Prüfung die Anmeldung am Praxissystem?
Nein. Eine CAPTCHA-Prüfung sortiert Anfragen vor einem Formular. Sie ersetzt keine Anmeldung, keine Rollenverwaltung und keine Absicherung Ihres Praxissystems. Ihre Praxis- oder Klinikseite erhält von der Prüfung bestanden oder nicht bestanden, keine Rohdaten. Der Inhalt des Formulars geht nicht durch die Prüfung.
Wie viele automatisierte Anfragen erkennt ByeBot?
Dazu nennen wir keine Zahl. Ein großer Teil der Merkmale beobachtet nur und blockiert nichts. Was das für die Aussagekraft bedeutet, steht auf der Seite zur Erkennung. Nachprüfbar bleibt eine kurze Liste: Verarbeitung in Deutschland, Vertrag nach Art. 28 DSGVO, keine Cookies, keine Übermittlung in ein Drittland, Löschung der Erkennungsereignisse nach 30 Tagen.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.