hCaptcha und DSGVO: Welche Daten wofür genutzt werden
hCaptcha ist ein verbreiteter Captcha-Dienst, mit einem WordPress-Plugin, das laut Beschreibung mit mehr als 60 weiteren Plugins und Themes zusammenarbeitet, und mit einem kostenlosen Tarif. Datenschutzrechtlich sind drei Stellen in hCaptchas eigenen Unterlagen wichtig: Das Widget wertet Maus- und Tastaturdaten aus, sobald ein Besucher die Seite betritt, hCaptcha nutzt Antworten auf seine Aufgaben auch für eigene Zwecke, und die Angaben zum Ort der Verarbeitung sind nicht einheitlich. Eine Bewertung durch eine Aufsichtsbehörde gibt es nach unserem Stand nicht.
Wer hinter hCaptcha steht
hCaptcha ist ein Dienst der Intuition Machines, Inc., einer Gesellschaft aus Delaware mit Postanschrift in Miami. Eine Niederlassung in der EU haben wir auf den Seiten des Anbieters nicht gefunden. Gegenüber den Daten Ihrer Besucher beschreibt sich hCaptcha in seinem Mustertext als Auftragsverarbeiter, für andere Verarbeitungen als Verantwortlicher.
Welche Daten hCaptcha erhebt
Laut hCaptchas eigenem Mustertext für Datenschutzerklärungen startet die Analyse automatisch, sobald ein Besucher einen Bereich der Website mit hCaptcha betritt. Laut Mustertext und Privacy Policy erfasst hCaptcha unter anderem Mausbewegungen, Scrollposition, Tastatur- und Touch-Ereignisse, die IP-Adresse und die Verweildauer.
Nach DSK Rn. 24 ist das ein Zugriff auf das Endgerät. Und der Zeitpunkt spielt eine Rolle: Für die Ausnahme verlangt die DSK, dass der Zugriff erst beginnt, wenn der Besucher die Funktion tatsächlich nutzt (Rn. 95).
Die eigenen Zwecke von hCaptcha
In der Privacy Policy vom 07.10.2025 beschreibt hCaptcha, dass Antworten auf seine Aufgaben als „Labeled Data“ für Anwendungen des maschinellen Lernens genutzt werden und dass es einen Markt für solche Daten bereitstellt. hCaptcha betont, diese Daten seien keiner identifizierten Person zugeordnet. Die Nutzungsbedingungen erlauben außerdem, aggregierte und de-identifizierte Daten für beliebige geschäftliche Zwecke zu verwenden.
Hier setzen die Maßstäbe der Aufsichtsbehörden an. Die französische CNIL verlangt für ein Captcha eine Einwilligung, wenn es Daten auch für andere Zwecke als die Sicherheit der Website nutzt, und die DSK erwartet, dass Drittdienstleister ausgelesene Informationen grundsätzlich nur für die aufgerufene Website verwenden. Ob die Nutzung de-identifizierter Daten für eigene Zwecke darunter fällt, hat nach unserem Stand keine Behörde entschieden.
Cookies, Speicherdauer, Verarbeitungsort
| Thema | Laut hCaptcha |
|---|---|
| Cookies | Liste mit mehreren Cookies, darunter hmt_id (laut hCaptcha für Service-Statistiken und Barrierefreiheit) und hc_accessibility; nach hCaptchas Einschätzung „consent-exempt“, mit Hinweis, das sei keine Rechtsberatung |
| Speicherdauer | auf der GDPR-Seite „no long-term retention“; laut Privacy Policy bis zu ein Jahr nach Ablauf des Cookies, meist aggregiert, länger bei Missbrauchsverdacht |
| Verarbeitungsort | laut Privacy Policy werden Daten in die USA übermittelt und dort verarbeitet; laut GDPR-Seite Analysedaten standardmäßig in der EU und Metadaten in Europa sowie gegebenenfalls in den USA |
| Übermittlung in die USA | Intuition Machines ist unter dem EU-US Data Privacy Framework zertifiziert (Status „Active“ am 11.10.2026); Standardvertragsklauseln im DPA |
| feste Ortsgarantien, „Zero PII“ | nur im Enterprise-Tarif |
Die Privacy Policy sagt selbst, für Daten von Endnutzern gelte der Vertrag mit dem Betreiber. Lassen Sie sich vor dem Einsatz schriftlich bestätigen, wo Ihre Daten verarbeitet werden.
Checkliste für den Einsatz
Laden Sie hCaptcha nur auf Seiten mit Formular, damit die Analyse nicht schon beim Betreten anderer Seiten beginnt. Danach kommt die Rechtsgrundlage. hCaptcha nennt seine Cookies „consent-exempt“, doch ob Sie sich auf § 25 Abs. 2 Nr. 2 TDDDG stützen können oder eine Einwilligung einholen, klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten; die Einschätzung des Anbieters ersetzt das nicht. In die Datenschutzerklärung gehört Intuition Machines als Empfänger. Laut Privacy Policy gehen Daten in die USA, und hCaptcha nutzt sie auch für eigene Zwecke, also nennen Sie beides dort ebenfalls.
Müssen Sie Barrierefreiheit nachweisen, schauen Sie genauer hin. Menschen mit Behinderungen kommen bei hCaptcha über eine Registrierung durch oder über eine Text-Aufgabe, die der Betreiber erst freischalten muss. Auf Audio-Aufgaben verzichtet hCaptcha nach eigener Aussage bewusst; ein abzutippendes Audio-Captcha wäre nach WCAG 2.2 ohnehin keine zulässige Alternative bei der Anmeldung. Mehr dazu im Beitrag Barrierefreie Captchas.
Wenn Sie wechseln wollen
Fragen Sie jeden Anbieter, ob er Daten für eigene Zwecke nutzt, und lassen Sie sich die Antwort im AVV bestätigen. Beim Punkt, den diese Seite an hCaptcha zuerst nennt, unterscheidet sich Myra EU CAPTCHA im Standardmodus nicht: Auch unser Widget erhebt schon beim Laden der Seite Verhaltensmerkmale wie Mausbewegungen und Scrollen sowie Browser- und Gerätemerkmale. Es fällt damit ebenso unter § 25 TDDDG, auch wenn es keine Cookies setzt. Myra arbeitet als Auftragsverarbeiter mit AVV. Die Kriterien für diese Prüfung stehen im Beitrag Captcha und Einwilligung, ein Vergleich mit Turnstile im Beitrag Cloudflare Turnstile und DSGVO.
Häufige Fragen
Ist hCaptcha DSGVO-konform?
Pauschal lässt sich das nicht beantworten, und eine Bewertung durch eine Aufsichtsbehörde ist uns nicht bekannt (Stand 11.10.2026). Für Ihre Prüfung zählen vor allem drei Punkte: die Auswertung von Maus- und Tastaturdaten, die eigene Nutzung von Daten durch hCaptcha und die Übermittlung in die USA.
Braucht hCaptcha einen Eintrag im Cookie-Banner?
hCaptcha bezeichnet seine Cookies als einwilligungsfrei, mit dem Hinweis, das sei keine Rechtsberatung. Eines davon, hmt_id, dient laut hCaptcha Service-Statistiken. Ob Sie ohne Einwilligung arbeiten können, entscheidet § 25 TDDDG; die Selbsteinschätzung des Anbieters ersetzt diese Prüfung nicht.
Gibt es hCaptcha kostenlos?
Ja. Laut den Nutzungsbedingungen vom 17.11.2025 ist der kostenlose Tarif auf 10.000 Anfragen pro Monat begrenzt. Dort zeigt hCaptcha in der Regel eine Aufgabe; der passive Modus ohne Aufgabe ist den Bezahltarifen vorbehalten.
Wie barrierefrei ist hCaptcha?
hCaptcha schreibt, man halte sich nach eigener Einschätzung an WCAG 2.2 AA. Für Menschen mit Behinderungen gibt es einen Zugang über eine Registrierung mit einem verschlüsselten Cookie oder eine optionale Text-Aufgabe, die der Betreiber freischalten muss. Audio-Aufgaben bietet hCaptcha nach eigener Aussage bewusst nicht an.
Quellen
- hCaptcha, Privacy Policy (07.10.2025), abgerufen am 11.10.2026
- hCaptcha, GDPR, abgerufen am 11.10.2026
- hCaptcha, Terms of Service (17.11.2025), abgerufen am 11.10.2026
- hCaptcha, Pricing, abgerufen am 11.10.2026
- hCaptcha, Accessibility, abgerufen am 11.10.2026
- hCaptcha, Developer FAQ, abgerufen am 11.10.2026
- hCaptcha for WP, wordpress.org, abgerufen am 11.10.2026
- Data Privacy Framework, Teilnehmerliste, abgerufen am 11.10.2026
- § 25 TDDDG, gesetze-im-internet.de, abgerufen am 11.10.2026
- DSK, Orientierungshilfe für Anbieter:innen von digitalen Diensten, Version 1.2 (November 2024), abgerufen am 11.10.2026
- CNIL, Cookies et autres traceurs, FAQ (Frage 17, Stand 29.04.2026), abgerufen am 11.10.2026