Ratgeber · Umsetzung
CAPTCHA DSGVO-konform einbinden: Schritt für Schritt.
Über die datenschutzrechtliche Seite einer Einbindung entscheiden nicht die zwei Zeilen HTML, sondern die Anbieterwahl davor und die Dokumentation danach. Diese Seite geht beide Enden durch.
Stand: 1. August 2026
Der technische Teil einer CAPTCHA-Einbindung ist in zehn Minuten erledigt. Der Rest ist Papier: ein Vertrag mit dem Anbieter, ein Eintrag in der Datenschutzerklärung, ein Test. Wir beschreiben, was die Normen verlangen und was ByeBot dazu liefert. Ob Ihre Einbindung damit in Ordnung ist, beurteilen Sie und Ihre Datenschutzbeauftragte.
Wie läuft eine Einbindung ab?
In fünf Schritten, von denen zwei kein Code sind.
Die markierten Schritte sind die, an denen es in der Praxis hakt.
- 01 Anbieter prüfenOrt der Verarbeitung, Vertragspartner, AVV, Cookies. Vor der ersten Zeile Code.
- 02 Widget einbindenEin Script-Tag und ein Container mit dem Sitekey an der Stelle, wo die Prüfung erscheint.
- 03 Serverseitig prüfenDer eigene Server fragt das Ergebnis ab, bevor er das Formular annimmt.
- 04 DokumentierenDienst, Zweck, Rechtsgrundlage und Aufbewahrung in der Datenschutzerklärung.
- 05 TestenOhne Prüfung abgelehnt, mit gültigem Ergebnis angenommen, keine unerwarteten Anfragen.
Schritt 01 und 04 lassen sich später nur mit Aufwand nachholen. Schritt 02 und 03 sind reine Technik.
Was entscheidet über die datenschutzrechtliche Seite?
Der Anbieter, nicht der Einbindungscode.
- Ort
- In welchem Land läuft die Prüfung? Und gilt das in jedem Tarif oder nur in einem bestimmten?
- Vertragspartner
- Ein Rechenzentrum in der EU und eine Vertragspartnerin außerhalb der EU sind zwei getrennte Fragen. Beide gehören beantwortet.
- AVV
- Art. 28 DSGVO regelt die Verarbeitung im Auftrag und verlangt dafür einen Vertrag mit festgelegtem Inhalt, darunter Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Einbindung weiterer Auftragsverarbeiter.
- Endgerät
- § 25 Abs. 1 TDDDG erfasst neben dem Speichern auch den Zugriff auf Informationen, die bereits auf dem Endgerät liegen. § 25 Abs. 2 nennt zwei Fälle, in denen keine Einwilligung erforderlich ist.
Wie ein Gericht das für reCAPTCHA beurteilt hat, steht in Ist Google reCAPTCHA DSGVO-konform? Die Einordnung für Ihren Fall nehmen wir bewusst nicht vor.
Was gilt für einen Transfer in die USA?
Es gibt eine Rechtsgrundlage, und sie hat eine Geschichte.
Wer ausschließlich in der EU verarbeitet, stellt sich die Frage nicht.
- 16.07.2020
- Der EuGH erklärt in C-311/18 (Schrems II) den Privacy-Shield-Beschluss 2016/1250 für ungültig. Standardvertragsklauseln bleiben gültig, ihre Wirksamkeit hängt aber vom Recht des Ziellandes ab.
- 10.07.2023
- Die EU-Kommission beschließt mit (EU) 2023/1795 die Angemessenheit des Schutzniveaus für Übermittlungen an zertifizierte US-Organisationen unter dem EU-US Data Privacy Framework.
- Bei ByeBot
- Die Frage entfällt: Die Prüfung läuft in Deutschland, in jedem Tarif, ohne Übertragung in ein Drittland.
Mehr dazu auf Datentransfer in die USA.
Was verlangt Art. 13 DSGVO an Information?
Wer, wozu, auf welcher Grundlage, wie lange.
- Verantwortlicher
- Wer die Daten verarbeitet, mit Kontaktdaten.
- Zweck
- Wozu verarbeitet wird. Bei einem CAPTCHA: die Abwehr automatisierter Anfragen.
- Rechtsgrundlage
- Auf welche Norm die Verarbeitung gestützt wird.
- Empfänger
- Wer die Daten außerdem erhält, etwa der Anbieter der Prüfung als Auftragsverarbeiter.
- Dauer
- Wie lange gespeichert wird oder nach welchen Kriterien sich die Dauer bemisst.
- Rechte
- Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Beschwerde bei einer Aufsichtsbehörde.
Für ByeBot liegt eine Vorlage bereit, die genau diese Punkte für die CAPTCHA-Prüfung ausformuliert. Welche Daten dort einzutragen sind, steht auf Ist ein CAPTCHA DSGVO-konform?
Welche Fehler passieren am häufigsten?
Vier, und drei davon fallen erst bei einer Prüfung auf.
Hält
Vollständig eingebunden
- Serverseitige Prüfung vor der Annahme
- API-Schlüssel nur auf dem Server
- Eintrag in der Datenschutzerklärung
- AVV mit dem Anbieter geschlossen
Fällt durch
Häufige Fehler
- Nur im Browser geprüft
- API-Schlüssel im Frontend
- Kein Eintrag zur CAPTCHA-Prüfung
- Kein AVV, kein Nachweis
Der erste Punkt rechts ist der einzige, den ein Angreifer sofort bemerkt. Die übrigen drei bemerkt erst eine Prüfung.
- Nur im Browser
- Ohne die Prüfung auf dem eigenen Server ist das Widget Dekoration. Ein Bot spricht das Formular direkt an und sieht es nie.
- Schlüssel sichtbar
- Der API-Schlüssel gehört in eine Umgebungsvariable auf dem Server. Im ausgelieferten Frontend ist er für jeden lesbar.
- Kein Eintrag
- Auch eine datensparsame Prüfung verarbeitet Daten, etwa die IP-Adresse der Anfrage. Art. 13 DSGVO knüpft die Informationspflicht an die Erhebung, nicht an die Menge.
- Kein AVV
- Ohne Vertrag nach Art. 28 DSGVO fehlt die schriftliche Grundlage für die Verarbeitung im Auftrag.
Wie sieht das mit ByeBot aus?
Zwei Zeilen im Formular, ein Aufruf vom Server.
- Einbindung
- Ein Script-Tag von challenge.byebot.de und ein Container mit Ihrem Sitekey im Formular.
- Prüfung
- Ihr Server sendet das Feld byebot-token zusammen mit Ihrem API-Schlüssel an den Validierungsendpunkt und nimmt das Formular erst danach an.
- Ort
- Deutschland. In jedem Tarif derselbe Ort.
- Vertrag
- Auftragsverarbeitung nach Art. 28 DSGVO.
- Dokumentation
- Anleitungen für über zehn Frameworks stehen in der ByeBot-Dokumentation, dazu eine Vorlage für die Datenschutzerklärung.
Der technische Ablauf mit Codebeispielen steht in CAPTCHA einbinden: Anleitung für Entwickler.
Fragen zur Einbindung.
Kurze Antworten mit Norm, Datum und Aktenzeichen. Die Einordnung für Ihren Fall nehmen wir bewusst nicht vor.
Welche Zugriffe erfasst § 25 TDDDG?
§ 25 Abs. 1 TDDDG erfasst neben dem Speichern auch den Zugriff auf Informationen, die bereits auf dem Endgerät liegen. § 25 Abs. 2 nennt zwei Fälle, in denen keine Einwilligung erforderlich ist. ByeBot setzt keine CAPTCHA-Cookies und betreibt kein seitenübergreifendes Tracking. Die Einordnung für Ihren Fall nehmen wir bewusst nicht vor.
Was ist ein Vertrag zur Auftragsverarbeitung?
Art. 28 DSGVO regelt die Verarbeitung im Auftrag und verlangt dafür einen Vertrag mit festgelegtem Inhalt, darunter Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Einbindung weiterer Auftragsverarbeiter. Bei ByeBot läuft die Verarbeitung im Auftrag nach Art. 28 DSGVO. Die weiteren Auftragsverarbeiter sind namentlich unter byebot.de/datenschutz genannt.
Was passiert, wenn eine Prüfung nur im Browser stattfindet?
Ohne die Prüfung auf dem eigenen Server ist das Widget Dekoration. Ein Bot spricht das Formular direkt an und sieht es nie. Bei ByeBot sendet der eigene Server das Feld byebot-token zusammen mit dem API-Schlüssel an den Validierungsendpunkt und nimmt das Formular erst danach an.
Wohin gehört der API-Schlüssel?
Der API-Schlüssel gehört in eine Umgebungsvariable auf dem Server. Im ausgelieferten Frontend ist er für jeden lesbar. Dort steht nur der Sitekey, im Container neben dem Script-Tag von challenge.byebot.de. Ein sichtbarer Schlüssel ist einer der Fehler, die im Browser korrekt aussehen und erst bei einer Prüfung auffallen.
Welche Daten fallen bei einer datensparsamen Prüfung an?
Auch eine datensparsame Prüfung verarbeitet Daten, etwa die IP-Adresse der Anfrage. Art. 13 DSGVO knüpft die Informationspflicht an die Erhebung, nicht an die Menge. Bei ByeBot läuft die Prüfung in Deutschland, in jedem Tarif, ohne Übertragung in ein Drittland. Erkennungsereignisse werden 30 Tage aufbewahrt.
Was hat der EuGH am 16.07.2020 entschieden?
Der EuGH erklärte in C-311/18 (Schrems II) den Privacy-Shield-Beschluss 2016/1250 für ungültig. Standardvertragsklauseln bleiben gültig, ihre Wirksamkeit hängt aber vom Recht des Ziellandes ab. Am 10.07.2023 beschloss die EU-Kommission mit (EU) 2023/1795 die Angemessenheit des Schutzniveaus für Übermittlungen an zertifizierte US-Organisationen unter dem EU-US Data Privacy Framework.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.