Captcha und Einwilligung: Was § 25 TDDDG verlangt
Ein Captcha braucht keine Einwilligung, wenn sein Zugriff auf das Endgerät unbedingt erforderlich ist, um den Dienst bereitzustellen, den der Besucher gerade nutzen will. Bei einem Captcha, das nur Ihr Formular oder Ihren Login schützt, erst bei dessen Nutzung startet und keine Daten für andere Zwecke verwendet, lässt sich das gut begründen. Bei einem Dienst, der auf allen Seiten läuft oder Daten auch für sich selbst nutzt, kaum. Eine deutsche Behörde hat das für kein bestimmtes Produkt bestätigt, also bleibt es Ihre dokumentierte Abwägung.
Was im Gesetz steht
§ 25 Abs. 1 TDDDG erlaubt das Speichern von Informationen in der Endeinrichtung und den Zugriff darauf nur mit Einwilligung des Endnutzers. Abs. 2 Nr. 2 macht eine Ausnahme, wenn der Zugriff „unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann“.
Oft zu hören: Ohne Cookies sei man draußen. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden (DSK) zählt aber auch Local und Session Storage als Speicherung (Rn. 21) und das Auslesen von Geräteeigenschaften per JavaScript, etwa für einen Fingerprint, als Zugriff (Rn. 24). Das zweite lautet, ohne personenbezogene Daten gelte die Vorschrift nicht. Die DSK sieht das anders: § 25 gilt unabhängig vom Personenbezug (Rn. 26).
Die Kriterien der Aufsichtsbehörden
Die DSK erwähnt Captchas in ihrer Orientierungshilfe nicht. Sie beschreibt aber Maßstäbe, die auf Captchas passen.
Sicherheit kann zum gewünschten Dienst gehören. Systeme zur Betrugsprävention und IT-Sicherheit dienen nach Rn. 74 gleichermaßen Nutzern und Betreiber und können dem Basisdienst zugerechnet werden. Kontaktformulare und Log-in-Bereiche nennt die DSK als Zusatzdienste, die der Nutzer wünscht, sobald er sie in Anspruch nimmt (Rn. 76).
Sicherheitsmechanismen sind nur eng ausgenommen. Als unbedingt erforderlich gelten nach Rn. 83 Sicherheitscookies, die etwa fehlgeschlagene Anmeldeversuche erkennen, und ähnliche Mechanismen zum Schutz des Logins. Eine pauschale Einordnung als Sicherheitsfunktion reicht nicht.
Zeitpunkt und Zweck zählen. Der Zugriff darf nach Rn. 95 erst beginnen, wenn die Funktion tatsächlich genutzt wird, und Drittdienstleister dürfen die ausgelesenen Informationen grundsätzlich nur für die aufgerufene Website verwenden. Dient ein Zugriff mehreren Zwecken, muss die Ausnahme für jeden einzelnen greifen (Rn. 86).
Die französische CNIL sagt es für Captchas ausdrücklich: Dient die Lösung nur der Sicherheit der Website oder einer Anmeldung, ist keine Einwilligung nötig. Verfolgt sie auch andere Zwecke, schon. Die CNIL rät zu Lösungen, die ohne Einwilligung auskommen, weil sonst ein Klick auf „Ablehnen“ den Schutz aushebelt.
Fragen an Ihren Captcha-Anbieter
| Kriterium | Frage an den Anbieter | Gute Antwort |
|---|---|---|
| Zeitpunkt (Rn. 95) | Startet die Prüfung beim Seitenaufruf oder erst am Formular? Lässt sich das einstellen? | Start bei Nutzung des Formulars, oder zumindest Laden nur auf Seiten mit Formular |
| Zweck (Rn. 86, 95) | Nutzen Sie die Daten nur für unseren Schutz? Steht das im AVV? | ausschließlich für die Prüfung auf unserer Website, vertraglich festgehalten |
| Speicherung (Rn. 21) | Setzt das Widget Cookies oder schreibt es in Local oder Session Storage? | keine dauerhafte Speicherung; vorübergehende Zugriffe offen benannt |
| Auslesen (Rn. 24) | Welche Geräte- und Browser-Merkmale liest das Skript aus? | konkrete Liste, begrenzt auf das für die Bot-Erkennung Nötige |
| Verbindungen | Zu welchen Servern baut das Widget Verbindungen auf? | nur Server des Anbieters, Standorte benannt |
| Aufbewahrung | Wie lange speichern Sie IP-Adresse und Prüfdaten? | kurze, bezifferte Fristen |
Lassen Sie sich die Antworten schriftlich geben. Für die Verarbeitung personenbezogener Daten, etwa der IP-Adresse beim Anbieter, brauchen Sie unabhängig von § 25 eine Rechtsgrundlage nach Art. 6 DSGVO und einen Eintrag in der Datenschutzerklärung.
Muster für Ihren Vermerk
Wer ohne Einwilligung arbeitet, sollte die Begründung festhalten. Der Aufbau kann so aussehen:
Captcha auf [Formular, URL]. Anbieter: [Name], Auftragsverarbeiter laut AVV vom [Datum]. Das Skript lädt [nur auf dieser Seite / auf allen Seiten] und startet [beim Seitenaufruf / bei Nutzung des Formulars]. Es liest laut Anbieter folgende Merkmale aus: [Liste]. Es speichert [nichts / Folgendes] im Browser. Es verbindet sich mit folgenden Servern: [Liste mit Standort]. Die Daten nutzt der Anbieter laut AVV nur für die Prüfung auf unserer Website. Ohne Prüfung erreichten uns [Zahl] Spam-Nachrichten pro Woche, Honeypot und Zeitprüfung allein reichten nicht. Wir stützen den Zugriff deshalb auf § 25 Abs. 2 Nr. 2 TDDDG (DSK OH Digitale Dienste Rn. 74, 83, 95). Überprüfung: [Datum].
Für Behörden kommt hinzu: Für die Verarbeitung der Daten können sie sich nicht auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen, und der Bayerische Landesbeauftragte für den Datenschutz hält ein Captcha, das Mausbewegungen, Tastaturanschläge oder Geräteeinstellungen auswertet, auf der Website einer Gemeinde für einwilligungspflichtig. Mehr dazu im Beitrag Captcha für Behörden und Kommunen.
Ein solcher Vermerk ersetzt keine Prüfung durch Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten, macht die Entscheidung aber nachvollziehbar. Das BayLDA schreibt in seiner FAQ zu reCAPTCHA, dass Sie den rechtmäßigen Einsatz nachweisen können müssen.
Was die bekannten Fälle zeigen
Die beiden Entscheidungen, die uns bekannt sind, betreffen Google reCAPTCHA und die Zeit vor April 2026, als Google die Daten noch als eigener Verantwortlicher verarbeitete. Die CNIL sanktionierte 2023 einen Zahlungsdienstleister, weil reCAPTCHA Daten auch für Analysen von Google erhob. Das österreichische Bundesverwaltungsgericht hielt 2024 die reCAPTCHA-Cookies auf einer Partei-Website für technisch nicht notwendig. Wie Googles neue Rolle die Bewertung ändert, steht im Ratgeber reCAPTCHA und DSGVO.
Für Myra EU CAPTCHA gelten dieselben Fragen, und gemessen an der Tabelle oben sind nicht alle unsere Antworten „gut“. Das Widget setzt keine Cookies, schreibt aber kurz einen Testwert in den Web Storage und erhebt schon beim Laden der Seite Browser- und Gerätemerkmale, auch Verhaltensmerkmale wie Mausbewegungen und Scrollen. Unsere Plugins für WordPress und TYPO3 laden das Skript derzeit auf allen Seiten. Das ist ein Zugriff im Sinne von Rn. 24, und eine Begründung nach Rn. 95 muss das berücksichtigen. Myra arbeitet als Auftragsverarbeiter mit AVV.
Häufige Fragen
Reicht es, wenn ein Captcha keine Cookies setzt?
Nein. § 25 TDDDG erfasst jedes Speichern und jedes Auslesen von Informationen im Endgerät. Die DSK zählt ausdrücklich auch Local und Session Storage dazu (Orientierungshilfe Digitale Dienste, Rn. 21) und das Auslesen von Geräteeigenschaften per JavaScript (Rn. 24). Ein Captcha ohne Cookies kann also trotzdem unter § 25 fallen.
Spielt es eine Rolle, ob das Captcha personenbezogene Daten verarbeitet?
Für § 25 TDDDG nicht. Die DSK schreibt, die Vorschrift begründe ein Einwilligungserfordernis unabhängig von einem Personenbezug der Informationen (Rn. 26). Ob personenbezogene Daten verarbeitet werden, ist die zweite, getrennte Frage nach der DSGVO.
Kann ich ein Captcha auf eine Einwilligung stützen?
Rechtlich ja, praktisch mit einem Haken. Die französische Datenschutzbehörde CNIL weist darauf hin, dass ein einfaches Ablehnen dann den Schutz umgeht. Wer diesen Weg geht, braucht für Besucher ohne Einwilligung einen zweiten Schutz, etwa Honeypot und Zeitprüfung.
Hat eine deutsche Behörde schon über ein bestimmtes Captcha entschieden?
Uns ist keine Entscheidung einer deutschen Aufsichtsbehörde und kein deutsches Urteil zu einem bestimmten Captcha-Produkt bekannt (Stand Oktober 2026). Die DSK-Orientierungshilfe erwähnt Captchas nicht. Entscheidungen gibt es aus Frankreich und Österreich, jeweils zu Google reCAPTCHA.
Quellen
- § 25 TDDDG, gesetze-im-internet.de, abgerufen am 11.10.2026
- DSK, Orientierungshilfe für Anbieter:innen von digitalen Diensten, Version 1.2 (November 2024), abgerufen am 11.10.2026
- CNIL, Cookies et autres traceurs, FAQ (Frage 17, Stand 29.04.2026), abgerufen am 11.10.2026
- CNIL, Délibération SAN-2023-023 vom 29.12.2023, Légifrance, abgerufen am 11.10.2026
- BVwG Österreich, Erkenntnis vom 13.09.2024, W298 2274626-1, RIS, abgerufen am 11.10.2026
- BayLfD, Orientierungshilfe Bayerische öffentliche Stellen und Telemedien (2021), abgerufen am 11.10.2026
- BayLDA, FAQ: Darf Google reCAPTCHA auf der Website eingebunden werden?, abgerufen am 11.10.2026