reCAPTCHA wird Auftragsdatenverarbeiter

reCAPTCHA ist ein kostenfreier Dienst der Google LLC, der dazu dient, online Menschen von sogenannten Bots zu unterscheiden. Dadurch können Webseiten vor Spam und Missbrauch geschützt und die IT-Sicherheit gefördert werden. Mithilfe von Risikoanalyseverfahren werden durch das Programm Bewertungen abgegeben, ob es sich bei den Handlungen auf einer Webseite um menschlichen Traffic oder automatisierte Zugriffe handelt. Dies erfolgt abhängig vom jeweiligen Modell mit oder ohne Interaktion mit den Nutzenden. Den meisten Internetnutzer:innen dürfte das erforderliche Anklicken der Checkbox „I’m not a robot“ oder das Auswählen aller Bildchen, auf denen zum Beispiel Fahrräder zu sehen sind, hinlänglich bekannt sein. Entweder zusätzlich zu diesen Mechanismen oder aber anstelle dieser werden im Hintergrund häufig weitere Daten für die Bewertung analysiert. Für die Analyse werden verschiedene Informationen über das Verhalten der Nutzenden, wie zum Beispiel Mausbewegungen, Klickverhalten, Zeit auf der Seite, aber auch technische Informationen, wie IP-Adressen, Zugriffsort und -zeitpunkt, automatisiert erhoben und ausgewertet.

Google sah sich bislang als Verantwortlicher im Sinne der DSGVO und daher als befugt, die Zwecke der Verarbeitung selbst zu bestimmen. Die Webseitenbetreiber hatten keine Möglichkeit die Verarbeitung durch Google zu kontrollieren oder zu beschränken. Bisher verarbeitete Google die im Rahmen von reCAPTCHA erhobenen Daten über die Internetnutzer:innen daher nicht nur, um festzustellen, ob es sich um eine reale Person oder um einen Bot handelt, sondern auch für eigene Zwecke. Für welche Zwecke genau Google welche Daten verwendete, ist nicht öffentlich bekannt. Konkret könnten die Daten für Profiling eingesetzt werden, indem die im Rahmen von reCAPTCHA erhobenen Daten in vorhandene Nutzendenprofile integriert werden. Solche Profile ermöglichen ein umfassendes Tracking und zielgenaues Ausspielen von Werbeinhalten.

Verantwortlicher ist jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Er übernimmt die rechtliche Verantwortung für die Zulässigkeit der Datenverarbeitung, insbesondere hinsichtlich der Einhaltung einschlägiger Rechtsgrundlagen, Transparenzanforderungen sowie der Wahrung der Rechte betroffener Personen.

Ab dem 2. April 2026 soll reCAPTCHA nun als Auftragsverarbeiter im Sinne des Art. 28 DSGVO statt als Verantwortlicher agieren. Zu diesem Zweck werden die Google Cloud Platform Service Specific Terms über die Nutzung von reCAPTCHA aktualisiert. Als Auftragsverarbeiter darf Google die Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen verarbeiten. Verantwortlicher im Sinne der DSGVO werden somit die Webseitenbetreiber der Seiten auf denen reCAPTCHA genutzt wird. In technischer Hinsicht ist die Funktionsweise des Dienstes nicht beeinträchtigt und wird ohne Betriebsunterbrechungen fortgesetzt.

Ein Auftragsverarbeiter ist nach der DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Er darf personenbezogene Daten nicht zu eigenen Zwecken verarbeiten, sondern ausschließlich im Auftrag und auf dokumentierte Weisung des Verantwortlichen. Das Auftragsverhältnis ist zwingend durch einen Auftragsverarbeitungsvertrag (abgek. AVV; engl. Data Processing Addendum/DPA) zu regeln, welcher insbesondere Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Der Auftragsdatenverarbeiter muss gleichwohl eigenständig beispielsweise die Einhaltung geeigneter technischer und organisatorischer Maßnahmen zum Schutz der Daten sicherstellen und den Verantwortlichen bei der Umsetzung von Betroffenenrechten unterstützen.

Mit dem Rollenwechsel von reCAPTCHA ergeben sich einige Änderungen für Webseitenbetreiber:

• Die Rechtsbeziehung hinsichtlich der Datenverarbeitung besteht zukünftig nicht mehr zwischen den Webseitenbesucher:innen und Google, sondern zwischen dem Webseitenbetreiber und den Nutzenden. Infolgedessen muss für die Einbindung von reCAPTCHA ein Auftragsverarbeitungsvertrag mit Google abgeschlossen werden. Google stellt ein Cloud Data Processing Addendum zur Verfügung, welches die bisherigen vertraglichen Rahmenbedingungen für den Einsatz von reCAPTCHA ablöst. Manuelle Verweise auf die Nutzungsbedingungen sowie die Datenschutzbestimmungen von Google sollten durch die Webseitenbetreiber entfernt werden. Der Vertrag zur Auftragsverarbeitung sowie insbesondere die darin enthaltenen Bestimmungen bezüglich der Datenübermittlung in Drittländer sind eingehend zu prüfen.

• Zudem ist es erforderlich, die eigenen Datenschutzerklärungen entsprechend anzupassen und transparente Informationen über die Nutzung von reCAPTCHA bereitzustellen.

• Die technische Einbindung von reCAPTCHA muss sich an der gewählten Rechtsgrundlage orientieren. Webseitenbetreiber sollten daher sorgfältig prüfen, ob eine Einwilligung erforderlich ist oder ob ausnahmsweise eine andere Rechtsgrundlage in Betracht kommt. Je nach Ergebnis ist sicherzustellen, dass der Dienst entweder erst nach Einwilligung geladen wird bzw. ihr Consent-Management entsprechend konfiguriert ist oder er anderweitig entsprechend datenschutzkonform eingebunden ist. Eine pauschale oder ungeprüfte Einbindung birgt erhebliche rechtliche Risiken.

Wenn Sie den Einsatz von reCAPTCHA datenschutzrechtlich neu bewerten möchten oder Unsicherheiten bei der Umsetzung bestehen, stehen wir Ihnen gerne zur Seite. Wir unterstützen Sie bei der rechtlichen Einordnung, prüfen den Auftragsverarbeitungsvertrag und helfen Ihnen, Ihre Prozesse und Implementierung DSGVO-konform auszurichten. Auf Wunsch beraten wir Sie gerne auch zu möglichen Alternativen und entwickeln gemeinsam mit Ihnen eine passende Lösung für Ihre Website.