Ratgeber · Recht
Ist Google reCAPTCHA DSGVO-konform?
Ein österreichisches Gericht hat 2024 entschieden, dass reCAPTCHA technisch nicht notwendig ist und deshalb eine vorherige Einwilligung braucht. Auf dieser Seite stehen die Entscheidung, die Fundstelle und die Urteile, die dazu falsch zitiert werden.
Stand: 1. August 2026
Zu reCAPTCHA kursieren mehr angebliche Urteile als echte. Diese Seite trennt beides. Links steht, was tatsächlich zu reCAPTCHA entschieden wurde, rechts, was in Foren und Anbieter-Blogs falsch zugeordnet wird. Wir beschreiben die Entscheidungen. Was daraus für Ihre eigene Website folgt, entscheiden Sie und Ihre Rechtsberatung.
Was wurde wann zu reCAPTCHA entschieden?
Eine einschlägige Gerichtsentscheidung, aus Österreich.
Der Rest der oft zitierten Zeitleiste betrifft Google Fonts, Google Analytics oder den Datentransfer allgemein.
- 16.07.2020EuGH, C-311/18 (Schrems II): der Privacy-Shield-Beschluss 2016/1250 ist ungültig.
- 20.01.2022LG München I entscheidet über Google Fonts. Eine Analogie, kein reCAPTCHA-Urteil.
- 10.07.2023Die EU-Kommission beschließt das EU-US Data Privacy Framework, (EU) 2023/1795.
- 13.09.2024BVwG Österreich, W298 2274626-1/8E: reCAPTCHA ist technisch nicht notwendig.
- 02.04.2026Google wird für reCAPTCHA Auftragsverarbeiter unter dem Cloud Data Processing Addendum.
Die beiden markierten Einträge betreffen reCAPTCHA unmittelbar. Die übrigen sind Kontext.
Was hat das BVwG am 13.09.2024 entschieden?
reCAPTCHA ist technisch nicht notwendig.
- Gericht
- Bundesverwaltungsgericht Österreich. Nicht das deutsche Bundesverwaltungsgericht, das BVerwG heißt.
- Aktenzeichen
- W298 2274626-1/8E, Erkenntnis vom 13.09.2024.
- Verfahren
- Zwei Websitebetreiber beschwerten sich gegen einen Bescheid der Datenschutzbehörde. Der Senat wies die Beschwerde ab.
- Begründung
- Geprüft wurde Art. 6 Abs. 1 lit. f DSGVO. Der Senat verneinte ein berechtigtes Interesse an reCAPTCHA.
- Reichweite
- Ein österreichisches Erkenntnis. Es bindet deutsche Gerichte nicht, legt aber dieselbe Verordnung aus.
Die Implementierung von reCAPTCHA ist für den Betrieb der Website technisch nicht notwendig, da es keinen Einfluss auf die Funktionalität der Website hat, weshalb ein berechtigtes Interesse zu verneinen ist und die Einwilligung der mitbeteiligten Partei einzuholen gewesen wäre.
BVwG, 13.09.2024, W298 2274626-1/8E
Was schreibt die bayerische Datenschutzaufsicht?
Sie verweist auf Alternativen und auf die Nachweispflicht.
Das Bayerische Landesamt für Datenschutzaufsicht beantwortet die Frage nach reCAPTCHA in seiner öffentlichen FAQ. Der Wortlaut steht unten, damit Sie ihn nicht in einer Zusammenfassung lesen müssen.
Website-Betreiber sollten unbedingt Alternativen prüfen. Wird dennoch Google reCAPTCHA eingebunden, muss sich der Verantwortliche im Klaren sein, dass er den rechtmäßigen Einsatz gem. Art. 5 Abs. 1, 2 DS-GVO nachweisen können muss.
BayLDA, FAQ zu Google reCAPTCHA
Das ist eine Position einer deutschen Aufsichtsbehörde, kein Urteil. Sie sagt, worauf die Behörde bei einer Prüfung schaut.
Welche Urteile werden fälschlich als reCAPTCHA-Urteile zitiert?
Drei, die regelmäßig auftauchen und keines betrifft reCAPTCHA.
Wir führen sie hier auf, damit Sie sie in einer fremden Argumentation wiedererkennen.
Einschlägig
Betrifft reCAPTCHA
- BVwG Österreich, 13.09.2024
- Aktenzeichen W298 2274626-1/8E
- BayLDA-FAQ zu Google reCAPTCHA
- Google-FAQ zur Umstellung 02.04.2026
Nicht einschlägig
Analogie oder Verwechslung
- LG München I, 20.01.2022: Google Fonts
- Angebliches LG Rostock: keine Fundstelle
Die rechte Spalte taugt bestenfalls als Analogie. Als Beleg für eine Aussage über reCAPTCHA taugt sie nicht.
- Google Fonts
- Das LG München I entschied am 20.01.2022 über die Übermittlung einer IP-Adresse beim Nachladen von Schriftarten. Dieselbe Denkfigur lässt sich auf andere eingebundene Dienste übertragen. Das Urteil selbst betrifft reCAPTCHA nicht.
- CNIL
- Die Sanktion SAN-2023-023 richtete sich gegen NS Cards France. Sie wird gelegentlich als reCAPTCHA-Bußgeld weitergereicht. Das ist eine Verwechslung.
- LG Rostock
- Die dort zitierte Entscheidung betraf die Gestaltung eines Cookie-Banners, nicht reCAPTCHA.
Ändert der Auftragsverarbeiter-Status vom 02.04.2026 etwas?
Er ändert die Rolle im Vertrag.
- Vorher
- Google verarbeitete Endnutzerdaten aus reCAPTCHA in eigener Verantwortlichkeit. Auf dem Badge standen Googles Datenschutzerklärung und Nutzungsbedingungen.
- Ab 02.04.2026
- Google beschreibt sich als Auftragsverarbeiter unter dem Cloud Data Processing Addendum. Der Kunde wird alleiniger Verantwortlicher, die Verweise auf dem Badge entfallen.
- Googles Hinweis
- Die FAQ empfiehlt Kunden, ihre eigenen Datenschutzhinweise anzupassen und den Zweck Sicherheit, Betrugs- und Missbrauchsvermeidung aufzunehmen.
- Nicht beantwortet
- Zur Frage, in welchen Ländern verarbeitet wird, äußert sich die FAQ nicht. Der Punkt aus dem BVwG-Erkenntnis, die fehlende technische Notwendigkeit, wird davon ebenfalls nicht berührt.
Was macht ByeBot an dieser Stelle anders?
Die Prüfung verlässt Deutschland nicht.
- Ort
- Deutschland. In jedem Tarif derselbe Ort.
- Vertrag
- Auftragsverarbeitung nach Art. 28 DSGVO.
- Drittland
- Keine Übertragung. Es gibt keinen Tarif, in dem die Prüfung woanders läuft.
- Cookies
- Für das CAPTCHA setzt ByeBot keine. Kein seitenübergreifendes Tracking, kein Werbeprofil.
- Aufbewahrung
- Erkennungsereignisse 30 Tage. Statistik 365 Tage im Pro-Tarif, unbegrenzt im Enterprise-Tarif.
- Preis
- Unter 10.000 Prüfungen im Monat ist reCAPTCHA kostenlos, ByeBot beginnt bei 19 Euro.
Die letzte Zeile steht bewusst dort. Ein Wechsel weg von einem kostenlosen Dienst kostet Geld, und das gehört in dieselbe Tabelle wie alles andere. Was ByeBot im Browser prüft, steht auf Bot-Erkennung.
Fragen zu den Fundstellen.
Kurze Antworten zu den Entscheidungen, zu den Verwechslungen und zu dem, was ByeBot an dieser Stelle tut.
Bindet das österreichische Erkenntnis deutsche Gerichte?
Nein. Entschieden hat das Bundesverwaltungsgericht Österreich, nicht das deutsche Bundesverwaltungsgericht, das BVerwG heißt. Das Erkenntnis vom 13.09.2024 bindet deutsche Gerichte nicht, legt aber dieselbe Verordnung aus. Wir nennen Gericht, Datum und Aktenzeichen. Die Bewertung eines konkreten Einzelfalls gehört zu Ihrer Rechtsberatung oder Ihrer zuständigen Datenschutzaufsicht.
Ist das Google-Fonts-Urteil ein reCAPTCHA-Urteil?
Nein. Das LG München I entschied am 20.01.2022 über die Übermittlung einer IP-Adresse beim Nachladen von Schriftarten. Dieselbe Denkfigur lässt sich auf andere eingebundene Dienste übertragen, das Urteil selbst betrifft reCAPTCHA nicht. Auf dieser Seite steht es in der Spalte der Analogien, nicht in der einschlägigen.
Gab es ein CNIL-Bußgeld wegen reCAPTCHA?
Nicht wegen reCAPTCHA allein, aber reCAPTCHA war Gegenstand. Die Sanktion SAN-2023-023 richtete sich gegen NS Cards France und betraf mehrere Punkte. In den Randnummern 67 bis 74 stellt die CNIL fest, dass die Einbindung von Google reCAPTCHA ohne vorherige Einwilligung gegen Artikel 82 des französischen Datenschutzgesetzes verstößt, weil das Modul Daten zur Auswertung an Google übermittelt und nicht nur der Anmeldung dient. Eine oft zitierte Entscheidung des LG Rostock zu reCAPTCHA haben wir dagegen unter keinem Aktenzeichen gefunden.
Nennt Googles FAQ den Ort der Verarbeitung?
Nein. Zur Frage, in welchen Ländern verarbeitet wird, äußert sich die FAQ nicht. Sie beschreibt die neue Vertragsrolle ab dem 02.04.2026: Der Kunde wird alleiniger Verantwortlicher, Google verarbeitet unter dem Cloud Data Processing Addendum. Der Punkt aus dem BVwG-Erkenntnis, die fehlende technische Notwendigkeit, wird davon ebenfalls nicht berührt.
Setzt ByeBot für die Prüfung Cookies?
Für das CAPTCHA setzt ByeBot keine. Kein seitenübergreifendes Tracking, kein Werbeprofil. Erkennungsereignisse bleiben 30 Tage, die Statistik 365 Tage im Pro-Tarif und unbegrenzt im Enterprise-Tarif. Die Prüfung läuft in Deutschland, in jedem Tarif am selben Ort. Die Verarbeitung erfolgt im Auftrag nach Art. 28 DSGVO.
Was kostet ByeBot im Vergleich zu reCAPTCHA?
Unter 10.000 Prüfungen im Monat ist reCAPTCHA kostenlos, ByeBot beginnt bei 19 Euro. Ein Wechsel weg von einem kostenlosen Dienst kostet Geld, und das gehört in denselben Vergleich wie Ort, Vertrag und Aufbewahrung. Was ByeBot im Browser prüft, steht auf der Seite Bot-Erkennung.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.