Captcha für Behörden und Kommunen: Recht und Beschaffung
Darf eine Behörde ein Captcha einsetzen wie jedes Unternehmen? Nicht ohne Weiteres. Auf berechtigtes Interesse kann sie sich nicht stützen, § 25 TDDDG gilt für ihre Website genauso, und das Formular muss barrierefrei bleiben, woran gerade Captchas oft scheitern. Wie streng die Aufsicht das sieht, zeigt ein Beispiel aus Bayern. Dort hat der Landesbeauftragte für den Datenschutz das Captcha einer Gemeinde bewertet, das per JavaScript Mausbewegungen, Tastaturanschläge oder Geräteeinstellungen auswertet, und verlangt dafür eine Einwilligung. Bevor Sie ein Produkt auswählen, sollten Sie also wissen, was dessen Skript im Browser tut.
Rechtsgrundlage ohne berechtigtes Interesse
Den bequemsten Weg versperrt die DSGVO selbst. Art. 6 Abs. 1 UAbs. 2 DSGVO schließt das berechtigte Interesse für Behörden aus, die Daten in Erfüllung ihrer Aufgaben verarbeiten. Übrig bleibt die Aufgabenerfüllung nach Art. 6 Abs. 1 lit. e DSGVO, und die trägt nur zusammen mit einer Grundlage im Bundes- oder Landesrecht, bei Bundesbehörden etwa § 3 BDSG, bei Kommunen dem jeweiligen Landesdatenschutzgesetz. Die DSK formuliert es so: lit. e könne „als ‚direkte‘ Rechtsgrundlage nicht herhalten“, der eigentliche Erlaubnistatbestand liege im nationalen Recht.
§ 25 TDDDG kommt noch hinzu, denn er regelt eine andere Frage, nämlich das Speichern und Auslesen von Informationen im Browser. Der BayLfD schreibt in seiner Orientierungshilfe, die Vorschrift richte sich gegen jedermann und sei insbesondere von öffentlichen Stellen als Betreiber von Webseiten anzuwenden.
Zwei Aufsichtstexte, zwei Akzente
Die bayerische Orientierungshilfe von 2021 enthält ein Beispiel, das genau passt. Die Gemeinde L. setzt gegen automatisierte Fake-Kommentare ein Captcha ein, das per JavaScript IP-Adressen, Mausbewegungen, Tastaturanschläge oder Einstellungen des Geräts analysiert. Die Bewertung des BayLfD fällt knapp aus. Nötig wären Einwilligungen nach § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO, denn eine technische Erforderlichkeit für den gewünschten Dienst sei hier nicht zu erkennen. Aufschlussreich ist, was dieselbe Orientierungshilfe ein paar Seiten vorher als notwendig durchgehen lässt: Cookies, die wiederholt fehlgeschlagene Anmeldeversuche erkennen.
Drei Jahre später klingt die Datenschutzkonferenz anders. In ihrer Orientierungshilfe von 2024 stehen Behördenportale ausdrücklich in der Liste der Basisdienste, und in Rn. 74 heißt es, Systeme zur nutzerorientierten Betrugsprävention und IT-Sicherheit könnten dem Basisdienst zugerechnet werden. Das Wort Captcha kommt dort nicht vor.
Was macht man als Behörde damit? Ein Captcha, das Verhalten oder Gerätemerkmale auswertet, lässt sich ohne Einwilligung schwer begründen, jedenfalls in Bayern. Holen Sie deshalb früh Ihre behördliche Datenschutzbeauftragte oder Ihren behördlichen Datenschutzbeauftragten dazu. Einfacher wird es datenschutzrechtlich mit Verfahren, die nichts aus dem Gerät lesen, zum Beispiel einem Honeypot oder einer Zeitprüfung auf dem Server. Die allgemeinen Kriterien erklärt der Beitrag Captcha und Einwilligung.
Barrierefreiheit ist Pflicht
Bei Bundesbehörden ergibt sich die Pflicht aus § 12a BGG, und die BITV 2.0 stellt in § 2a klar, dass Formulare und Authentifizierung zur Website gehören. Gerade für solche Angebote mit Nutzerinteraktion verlangt sie ein „höchstmögliches Maß an Barrierefreiheit“. Länder und Kommunen richten sich nach ihren Landesgesetzen. Wo Verwaltungsleistungen über den Portalverbund laufen, kommt § 7 Abs. 2 OZG hinzu, der Barrierefreiheit nach der BITV verlangt. Wie das beim Captcha aussehen kann, hat die Überwachungsstelle des Bundes (BFIT-Bund) in einem eigenen Leitfaden beschrieben. Ihr Rat lautet, auf klassische Bild- und Audio-Rätsel zu verzichten und Verfahren ohne Nutzerinteraktion zu wählen. Mehr dazu im Beitrag Barrierefreie Captchas.
IT-Sicherheit nach BSI-Grundschutz
Im IT-Grundschutz-Kompendium (Edition 2023) taucht das Wort Captcha kein einziges Mal auf. Für die Frage ist das BSI trotzdem wichtig. APP.3.1.A7 (Webanwendungen) verlangt vom IT-Betrieb, Webanwendungen vor unberechtigter automatisierter Nutzung zu schützen, und hängt einen Satz an, den viele überlesen: „Dabei MUSS jedoch berücksichtigt werden, wie sich die Schutzmechanismen auf die Nutzungsmöglichkeiten berechtigter Clients auswirken.“ In CON.10.A6, dem Gegenstück für die Entwicklung, steht fast dasselbe. Welches Mittel man wählt, sagt der Grundschutz nicht. Ein Captcha kann es sein, genauso gut ein Rate Limit auf dem Server oder ein vorgeschalteter Bot-Schutz.
Prüffragen für Auswahl und Vergabe
Für Bundesstellen gilt § 12a Abs. 3 BGG unabhängig vom Auftragswert: Barrierefreiheit ist schon bei Planung, Ausschreibung und Beschaffung zu berücksichtigen. Bei Aufträgen oberhalb der EU-Schwellenwerte schreiben § 121 Abs. 2 GWB (außer in begründeten Fällen, vgl. § 31 Abs. 5 VgV) außerdem vor, dass die Leistungsbeschreibung Zugänglichkeitskriterien enthält. Die Fragen unten gehören deshalb schon in die Vergabeunterlagen.
| Thema | Frage an Anbieter |
|---|---|
| Endgerät | Welche Informationen liest das Skript im Browser aus, und setzt es Cookies oder Einträge im Web Storage? |
| Zeitpunkt | Startet die Prüfung beim Seitenaufruf oder erst bei Nutzung des Formulars? |
| Empfänger | Zu welchen Servern baut das Widget Verbindungen auf, und wo stehen sie? Gehen Daten an Dritte oder in Drittländer? |
| Vertrag | Gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, und nutzt der Anbieter Daten für eigene Zwecke? |
| Barrierefreiheit | Liegt eine Konformitätserklärung nach EN 301 549 beziehungsweise WCAG 2.2 AA vor, einschließlich Kriterium 3.3.8? Wurde mit Screenreader und Tastatur getestet? |
| Wirkung | Wie viele berechtigte Nutzer scheitern, und wie wird das gemessen (BSI APP.3.1.A7)? |
Zu den Nachbarländern nur so viel: In Österreich regelt das Web-Zugänglichkeits-Gesetz die Websites des Bundes, in der Schweiz gelten für Bundesstellen das Behindertengleichstellungsgesetz und der Standard eCH-0059.
Myra EU CAPTCHA im Behördenumfeld
Damit Sie unser eigenes Produkt an denselben Fragen messen können: Myra EU CAPTCHA wird von der Myra Security GmbH in München entwickelt und betrieben. Myra arbeitet als Auftragsverarbeiter nach Art. 28 DSGVO, ein AVV steht bereit. Cookies setzt das Widget nicht, es wertet aber beim Laden der Seite Browser-Merkmale und Verhaltenssignale wie Mausbewegungen aus. Damit entspricht es dem Typ von Captcha, für den der BayLfD eine Einwilligung verlangt. Eine Konformitätserklärung zur Barrierefreiheit gibt es derzeit nicht. Die Fragen aus der Tabelle beantworten wir Ihnen gern schriftlich, damit Ihre Datenschutzbeauftragten auf dieser Grundlage entscheiden können.
Häufige Fragen
Können sich Behörden für ein Captcha auf berechtigtes Interesse stützen?
Nein, soweit sie Daten in Erfüllung ihrer Aufgaben verarbeiten. Art. 6 Abs. 1 UAbs. 2 DSGVO schließt das berechtigte Interesse für Behörden aus. Infrage kommen die Aufgabenerfüllung nach Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit einer Rechtsgrundlage im Bundes- oder Landesrecht oder eine Einwilligung.
Gilt § 25 TDDDG auch für Behörden-Websites?
Ja. Der Bayerische Landesbeauftragte für den Datenschutz schreibt in seiner Orientierungshilfe von 2021, die Vorschrift richte sich gegen jedermann und sei insbesondere von öffentlichen Stellen als Betreiber von Webseiten anzuwenden. Die Aufsicht über Bundesbehörden liegt dabei beim BfDI.
Schreibt das BSI ein Captcha vor?
Nein. Im IT-Grundschutz-Kompendium 2023 kommt das Wort Captcha gar nicht vor. Was die Bausteine APP.3.1 und CON.10 fordern, ist Schutz vor automatisierter Nutzung, wobei zu berücksichtigen ist, wie er sich auf berechtigte Nutzer auswirkt. Das Mittel wählt die Behörde selbst.
Muss eine Kommune das Captcha ausschreiben?
Kommt auf den Auftragswert an. Erreicht er die EU-Schwellenwerte, gilt das Vergaberecht des GWB, und nach § 121 Abs. 2 GWB muss die Leistungsbeschreibung Zugänglichkeitskriterien berücksichtigen. Darunter richtet sich die Kommune nach Landesvergaberecht und Haushaltsrecht; die Einzelheiten haben wir hier nicht geprüft.
Quellen
- DSGVO Art. 6, EUR-Lex, abgerufen am 11.10.2026
- § 3 BDSG, gesetze-im-internet.de, abgerufen am 11.10.2026
- § 25 TDDDG, gesetze-im-internet.de, abgerufen am 11.10.2026
- BayLfD, Orientierungshilfe Bayerische öffentliche Stellen und Telemedien (2021), abgerufen am 11.10.2026
- DSK, Orientierungshilfe für Anbieter:innen von digitalen Diensten, Version 1.2 (November 2024), abgerufen am 11.10.2026
- BSI, IT-Grundschutz-Kompendium Edition 2023, abgerufen am 11.10.2026
- BGG § 12a, gesetze-im-internet.de, abgerufen am 11.10.2026
- BITV 2.0 § 2a, gesetze-im-internet.de, abgerufen am 11.10.2026
- Onlinezugangsgesetz (OZG), gesetze-im-internet.de, abgerufen am 11.10.2026
- § 121 GWB, gesetze-im-internet.de, abgerufen am 11.10.2026
- § 31 VgV, gesetze-im-internet.de, abgerufen am 11.10.2026
- BFIT-Bund, Leitfaden CAPTCHAs und digitale Barrierefreiheit (11.09.2025), abgerufen am 11.10.2026
- Österreich, Web-Zugänglichkeits-Gesetz (WZG), RIS, abgerufen am 11.10.2026