Jede CAPTCHA-Prüfung erzeugt Daten.
Ist ein CAPTCHA DSGVO-konform?
Das hängt davon ab, welche Daten es erhebt, wo sie liegen und wie lange sie bleiben. Für ByeBot stehen alle drei Antworten auf dieser Seite.
Stand: August 2026
Jede CAPTCHA-Prüfung erzeugt Daten. Die Frage ist deshalb nie, ob ein CAPTCHA etwas verarbeitet, sondern was, wie lange und in welchem Land. Unten steht beides: die Antwort für ByeBot und die Rechtsprechung, die in Datenschutzprüfungen zu CAPTCHAs zitiert wird. Was daraus für Ihre eigene Einbindung folgt, entscheiden Sie und Ihre Rechtsberatung. Wir liefern die Tatsachen, nicht die Bewertung.
Welche Daten verarbeitet ByeBot?
Technische Prüfdaten. Sonst nichts.
Verarbeitet
Technische Prüfdaten
- IP-Adresse der Anfrage
- Geräte-Fingerprint
- Browser- und Plattformangaben
- Konsistenzprüfungen
- Tastatur-Timing, zusammengefasst
- Zeigerverlauf, interaktive Modi
Nicht verarbeitet
Kein Tracking
- Cookies für das CAPTCHA
- Seitenübergreifendes Tracking
- Werbeprofile
- KI-Training an Besucherdaten
- Weitergabe an Dritte
Kurzform der Aufstellung unten. Die vollständige Fassung steht in der Datenschutzerklärung.
Verarbeitet
- Die IP-Adresse der Anfrage
- Einen im Browser berechneten Geräte-Fingerprint, für Missbrauchsbegrenzung und aggregierte Besucherzählung
- Niedrig-entropische Angaben zu Browser und Plattform
- Die Ergebnisse von Browser-Konsistenzprüfungen
- Auf unterstützten Desktop-Browsern zusammengefasste Tastatur-Timing-Statistiken von Eingaben auf der geschützten Seite; Tasteninhalte und rohe Timing-Reihen verlassen den Browser nicht
- In den interaktiven Modi den Zeigerverlauf von Maus oder Finger, vorübergehend zur Prüfung der Eingabe
Nicht verarbeitet
- Cookies für das CAPTCHA
- Seitenübergreifendes Tracking
- Werbeprofile
- Training von KI-Modellen an Besucherdaten
- Weitergabe oder Verkauf an Dritte
Diese Aufstellung stammt aus unserer eigenen Datenschutzerklärung und aus der Vorlage, die wir Kunden für ihre Datenschutzerklärung geben. Sie ist die Grundlage, auf der Sie uns prüfen können.
Wo läuft die Prüfung?
In Deutschland. In jedem Tarif.
- Serverstandort
- Deutschland
- Vertrag
- Auftragsverarbeitung nach Art. 28 DSGVO, für jeden Tarif derselbe.
- Drittland
- Keine Übertragung. Es gibt keinen Tarif, in dem die Prüfung woanders läuft.
Deshalb fällt die USA-Frage bei uns kurz aus. Was der Datentransfer in die USA bedeutet, steht trotzdem auf einer eigenen Seite, weil die Frage in jeder zweiten Ausschreibung auftaucht.
Wie lange werden die Daten gespeichert?
30 Tage für Erkennungsereignisse.
Im Enterprise-Tarif bleibt die Statistik unbegrenzt gespeichert.
- Erkennung
- Bot-Erkennungsereignisse werden nach 30 Tagen gelöscht.
- Statistik
- 365 Tage im Pro-Tarif. Unbegrenzt im Enterprise-Tarif.
- Inhalt
- Ein Erkennungsereignis enthält keine IP-Adresse, keinen Geräte-Fingerprint, keine Tasteninhalte und keine Zeigerkoordinaten.
Ist Google reCAPTCHA DSGVO-konform?
Ein österreichisches Gericht sagt: nicht ohne Einwilligung.
- 13.09.2024
- Das Bundesverwaltungsgericht Österreich weist die Beschwerde einer Websitebetreiberin gegen einen Bescheid der Datenschutzbehörde ab. Aktenzeichen W298 2274626-1/8E.
- Begründung
- Der Senat prüft Art. 6 Abs. 1 lit. f DSGVO und verneint ein berechtigtes Interesse an reCAPTCHA.
- Reichweite
- Ein österreichisches Erkenntnis. Es bindet deutsche Gerichte nicht.
- 02.04.2026
- Google stellt reCAPTCHA vom eigenen Verantwortlichen auf Auftragsverarbeiter unter dem Cloud Data Processing Addendum um. Der Kunde wird alleiniger Verantwortlicher.
- Offen
- Googles eigene FAQ zu dieser Umstellung beschreibt die neue Rolle. Zum Ort der Verarbeitung steht dort nichts.
Die Implementierung von reCAPTCHA ist für den Betrieb der Website technisch nicht notwendig, da es keinen Einfluss auf die Funktionalität der Website hat, weshalb ein berechtigtes Interesse zu verneinen ist und die Einwilligung der mitbeteiligten Partei einzuholen gewesen wäre.
BVwG, 13.09.2024, W298 2274626-1/8E
Was ByeBot nicht kann.
Kein Zertifikat, kein Audit, keine zugesicherte Verfügbarkeit.
- Zertifikate
- Wir halten keine. Weder ISO 27001 noch SOC 2. Wer eine Zertifikatsnummer für die Ausschreibung sucht, bekommt sie hier nicht.
- Barrierefreiheit
- WCAG 2.1 AA ist unser Ziel, kein geprüftes Ergebnis. Es gibt kein externes Audit und kein VPAT.
- Verfügbarkeit
- Wir sagen keine Verfügbarkeitsquote zu. § 6 unserer AGB schließt einen unterbrechungsfreien Betrieb aus.
- Preis
- Unter 10.000 Prüfungen im Monat ist reCAPTCHA kostenlos, ByeBot beginnt bei 19 Euro.
Diese vier Punkte stehen hier, weil sie in jedem ernsthaften Vergleich ohnehin auftauchen. Lieber Sie lesen sie von uns als von jemand anderem.
Fragen zur Datenverarbeitung.
Kurze Antworten mit Datum und Aktenzeichen. Was daraus für eine konkrete Einbindung folgt, ordnen wir nicht ein.
Nutzt ByeBot Besucherdaten für Werbung oder KI-Training?
Nein. ByeBot verwendet die Prüfergebnisse weder für Werbung noch für seitenübergreifendes Tracking. Werbeprofile, das Training von KI-Modellen an Besucherdaten sowie die Weitergabe oder der Verkauf an Dritte gehören nicht zur Verarbeitung. Tasteninhalte und rohe Timing-Reihen verlassen den Browser nicht. Für das CAPTCHA legt ByeBot kein Cookie auf dem Gerät ab.
Was enthält ein Bot-Erkennungsereignis?
Ein Erkennungsereignis enthält keine IP-Adresse, keinen Geräte-Fingerprint, keine Tasteninhalte und keine Zeigerkoordinaten. Bot-Erkennungsereignisse werden nach 30 Tagen gelöscht. Die Statistik ist davon getrennt: 365 Tage im Pro-Tarif, unbegrenzt im Enterprise-Tarif. Diese Angaben stammen aus unserer eigenen Datenschutzerklärung und aus der Vorlage, die wir Kunden für ihre Datenschutzerklärung geben.
Was passiert mit dem Zeigerverlauf in den interaktiven Modi?
In den interaktiven Modi verarbeitet ByeBot den Zeigerverlauf von Maus oder Finger, vorübergehend zur Prüfung der Eingabe. Zeigerkoordinaten stehen nicht in einem Erkennungsereignis. Die Ereignisse selbst werden nach 30 Tagen gelöscht. Tasteninhalte und rohe Timing-Reihen verlassen den Browser nicht, und die Prüfergebnisse gehen weder in Werbung noch in seitenübergreifendes Tracking.
Wie lässt sich die Aufstellung der verarbeiteten Daten nachprüfen?
Sie stammt aus unserer eigenen Datenschutzerklärung und aus der Vorlage, die wir Kunden für ihre Datenschutzerklärung geben. Sie ist die Grundlage, auf der Sie uns prüfen können. Die vollständige Fassung steht in der Datenschutzerklärung unter byebot.de/datenschutz, dort stehen auch die Auftragsverarbeiter namentlich.
Was hat sich bei reCAPTCHA am 02.04.2026 geändert?
Google stellt reCAPTCHA an diesem Tag vom eigenen Verantwortlichen auf Auftragsverarbeiter unter dem Cloud Data Processing Addendum um. Der Kunde wird alleiniger Verantwortlicher. Googles eigene FAQ zu dieser Umstellung beschreibt die neue Rolle. Zum Ort der Verarbeitung steht dort nichts, abgerufen am 31.07.2026.
Bindet das österreichische Erkenntnis deutsche Gerichte?
Nein. Das Bundesverwaltungsgericht Österreich wies am 13.09.2024 unter dem Aktenzeichen W298 2274626-1/8E die Beschwerde einer Websitebetreiberin gegen einen Bescheid der Datenschutzbehörde ab. Der Senat prüfte Art. 6 Abs. 1 lit. f DSGVO und verneinte ein berechtigtes Interesse an reCAPTCHA. Es ist ein österreichisches Erkenntnis. Was daraus für eine konkrete Einbindung folgt, ordnen wir nicht ein.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.