Produkte

AI Adoption & Privacy

AI Workspace
Preise

Network Security Preise

Network DDoS Protection
Partner
Über Myra
Login
WAAP (Myra App) AI Workspace EU CAPTCHA Partnerportal
Deutsch English Français
Notfall Demo
Produkte
Application Security DDoS Protection Web Application Firewall CDN Bot Management CAPTCHA Network Security Network DDoS Protection (cloud) Network DDoS Protection (on-prem) Network DDoS Protection (hybrid)

AI Adoption & Privacy

AI Workspace
Preise

Application Security Preise

DDoS Protection, WAF, CDN, Bot Management EU CAPTCHA

Network Security Preise

Network DDoS Protection
Partner
Über Myra

Unternehmen

Über uns Karriere News & Insights Eventplan 2026 Presse

Warum Myra?

Referenzen & Case Studies Zertifizierungen Migration Integrationen DSGVO-Konformität Digitale Souveränität

Myra im Vergleich

Myra vs. Wettbewerber Cloudflare Alternative Akamai Alternative F5 Alternative
Login WAAP Login AI Workspace Login EU CAPTCHA Partnerportal English Français
Notfall Demo

Aktualisiert am 12.10.2026

reCAPTCHA und DSGVO nach Googles Rollenwechsel

Google reCAPTCHA ist nicht verboten. Ohne Einwilligung brauchen Sie aber eine gute Begründung. Der Grund ist weniger die DSGVO als § 25 TDDDG: reCAPTCHA setzt ein Cookie und liest Informationen aus dem Browser, und dafür brauchen Sie eine Einwilligung, solange der Zugriff nicht „unbedingt erforderlich“ ist. Die französische Datenschutzbehörde und ein österreichisches Gericht haben das für reCAPTCHA verneint, beide für die Zeit, in der Google die Daten noch als eigener Verantwortlicher verarbeitete. Seit dem 2. April 2026 arbeitet Google als Auftragsverarbeiter; das verbessert Ihre Lage, beantwortet die Cookie-Frage aber nicht.

Zwei Rechtsfragen auseinanderhalten

Bei reCAPTCHA stellen sich zwei Fragen, die oft vermischt werden.

Die erste betrifft das Endgerät. Nach § 25 Abs. 1 TDDDG ist jedes Speichern von Informationen im Browser und jedes Auslesen eine Sache der Einwilligung. Das gilt unabhängig davon, ob die Daten personenbezogen sind (DSK, Orientierungshilfe Digitale Dienste, Rn. 26), und es gilt auch, wenn ein Skript Eigenschaften des Geräts ausliest und an einen Server schickt (Rn. 24). Die Ausnahme in Abs. 2 Nr. 2 greift nur, wenn der Zugriff unbedingt erforderlich ist, damit Sie einen Dienst bereitstellen, den der Nutzer ausdrücklich wünscht.

Die zweite betrifft die Verarbeitung der Daten bei Google: Rechtsgrundlage nach Art. 6 DSGVO, Information der Nutzer, Übermittlung in die USA. Hier hat sich 2026 am meisten bewegt.

Wer nur die zweite Frage löst, etwa mit einem Vertrag mit Google, hat die erste noch nicht beantwortet.

Was Behörden und Gerichte gesagt haben

Wer Wann Aussage zu reCAPTCHA
CNIL (Frankreich), FAQ Cookies, Frage 17 Stand 29.04.2026 Ein Captcha, das nur der Sicherheit dient, braucht keine Einwilligung. Wer Daten auch für andere Zwecke nutzt, braucht eine; als Beispiel nennt die CNIL reCAPTCHA. Sie empfiehlt Lösungen, die ohne Einwilligung auskommen.
CNIL, Sanktion SAN-2023-023 29.12.2023 Ein Zahlungsdienstleister setzte reCAPTCHA ohne Einwilligung bei Registrierung und Login ein. Verantwortlich ist auch der Betreiber selbst (Rn. 70). Der Cookie-Teil des Bußgelds betrug 15.000 € und betraf auch Google Analytics.
BVwG Österreich, W298 2274626-1 13.09.2024 Die reCAPTCHA-Cookies auf einer Partei-Website seien „für den Betrieb einer Webseite nicht erforderlich“; ein berechtigtes Interesse wurde verneint, eine Einwilligung wäre nötig gewesen.
BayLDA, FAQ ohne Datum „Website-Betreiber sollten unbedingt Alternativen prüfen.“ Wer reCAPTCHA einsetzt, muss den rechtmäßigen Einsatz nachweisen können. Eine Rechtsgrundlage nennt das BayLDA nicht.
DSK, Orientierungshilfe Digitale Dienste November 2024 Erwähnt Captchas nicht. Sicherheitsmechanismen, die etwa ein Login vor Missbrauch schützen, können einwilligungsfrei sein, aber nur eng: erst bei Nutzung der Funktion und ohne Verwendung für andere Zwecke (Rn. 74, 83, 95).

Ein Urteil eines deutschen Gerichts zu reCAPTCHA ist uns nicht bekannt. Entscheidungen, die in diesem Zusammenhang oft genannt werden, betreffen Google Fonts (LG München I, 3 O 17493/20) oder einen Consent-Dienst (Hess. VGH, 10 B 2486/21). Die Fälle aus Frankreich und Österreich binden deutsche Behörden nicht. Die CNIL begründete mit der Eigennutzung der Daten durch Google, das BVwG knapper damit, dass reCAPTCHA für den Betrieb der Website technisch nicht notwendig sei.

Was sich am 2. April 2026 geändert hat

Google hat reCAPTCHA zum 2. April 2026 vom eigenen Verantwortlichen zum Auftragsverarbeiter umgestellt. Laut Googles Cloud-FAQ sind die Betreiber seitdem alleinige Verantwortliche, Google verarbeitet die Daten nach dem Cloud Data Processing Addendum. Die Links auf Googles Datenschutzerklärung und Nutzungsbedingungen verschwinden aus dem Badge. reCAPTCHA gehört inzwischen zur Produktfamilie „Google Cloud Fraud Defense“.

In den Service Specific Terms (Ziff. 45) steht dazu, Google verarbeite die Informationen nur, soweit es für den Dienst und seine Wirksamkeit gegen Bedrohungen nötig ist, und nicht für andere Zwecke wie personalisierte Werbung.

Damit trägt das Hauptargument der CNIL von 2023, Google nutze die Daten auch für eigene Analysen, nach Googles eigenen Bedingungen zumindest teilweise nicht mehr. Offen bleibt, ob Google Daten eines Kunden nutzt, um die Erkennung für alle Kunden zu verbessern; die Bedingungen sprechen nur davon, den Dienst „effective against evolving threats“ zu halten. Manches ändert der Wechsel für Sie als Betreiber aber nicht. Googles eigene Mitteilung zum Cookie ist knapp: „The reCAPTCHA cookie (_grecaptcha) remains and there is no impact to that cookie.“ Ob das Setzen von „_GRECAPTCHA“ unbedingt erforderlich ist, entscheidet § 25 TDDDG; der Vertrag mit Google regelt das nicht.

Schwieriger ist eine Empfehlung aus Googles Dokumentation zu reCAPTCHA v3. Dort soll die Prüfung nicht nur am Formular, sondern auch „in the background of pages for analytics“ laufen. Die DSK verlangt für die Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG etwas anderes, in Rn. 95 heißt es: „Der Speicher- und Auslesevorgang von Informationen auf dem Endgerät darf erst dann beginnen, wenn die konkrete Funktion des digitalen Dienstes von Nutzenden tatsächlich in Anspruch genommen wird.“ Wer v3 auf allen Seiten lädt, entfernt sich davon.

Nach Googles Darstellung sind Sie jetzt alleiniger Verantwortlicher. Die Informationen nach Art. 13 DSGVO müssen deshalb vollständig in Ihrer eigenen Datenschutzerklärung stehen, worauf Google selbst hinweist: Betreiber sollten ihre Datenschutzhinweise auf den Zweck Sicherheit und Betrugsabwehr prüfen.

Eine Bewertung der neuen Lage durch eine Behörde oder ein Gericht ist uns nicht bekannt (Stand: Oktober 2026). Die CNIL-FAQ vom 29.04.2026 nennt reCAPTCHA weiter als Beispiel und geht auf den Rollenwechsel nicht ein.

Entscheidungshilfe für Ihre Website

Ihre Situation Einschätzung
reCAPTCHA v3 läuft auf allen Seiten, ohne Einwilligung hohes Risiko; erfüllt die DSK-Kriterien für die Ausnahme zu Zeitpunkt und Zweck kaum
reCAPTCHA lädt nur am Formular, ohne Einwilligung begründungsbedürftig; die CNIL verlangte 2023 für Registrierung und Login eine Einwilligung, das BVwG 2024 für eine Website; beide Sachverhalte liegen vor dem Rollenwechsel, eine deutsche Bewertung ist nicht bekannt
reCAPTCHA lädt erst nach Einwilligung im Cookie-Banner rechtlich die sicherere Variante; wer ablehnt, umgeht die Bot-Prüfung, das Formular braucht dann einen zweiten Schutz
Captcha-Dienst, der nur am Formular läuft, nur dem Schutz dient und keine Daten für eigene Zwecke nutzt kann nach DSK Rn. 74, 83 und CNIL-FAQ 17 ohne Einwilligung auskommen; prüfen Sie Zeitpunkt, Datenumfang und Vertrag im Einzelfall

Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Das EuG hat diesen Rahmen am 03.09.2025 bestätigt (T-553/23), womit es für die Übermittlung in die USA derzeit eine Grundlage gibt, und hilfsweise sieht Googles Cloud-DPA Standardvertragsklauseln vor. Endgültig ist das nicht: Gegen das Urteil wurde am 31.10.2025 Rechtsmittel beim EuGH eingelegt (C-703/25 P), nach unserem Stand ist es noch anhängig.

Wenn Sie reCAPTCHA behalten

Was Sie tun Warum
Skript nur auf Seiten mit Formular oder Login laden, bei v3 also gegen Googles Empfehlung DSK Rn. 95 zur Ausnahme nach § 25 Abs. 2 Nr. 2: Der Zugriff darf erst beginnen, wenn die Funktion genutzt wird
Bewusst zwischen Einwilligung und Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG entscheiden und die Begründung aufschreiben Das BayLDA verlangt, dass Sie den rechtmäßigen Einsatz nachweisen können
reCAPTCHA mit Zweck, Rechtsgrundlage, Empfänger und Drittlandbezug in die Datenschutzerklärung aufnehmen, alte Links auf Googles Datenschutzerklärung entfernen Nach Googles Darstellung sind Sie alleiniger Verantwortlicher (Art. 13 DSGVO)
Den Satz „This site is protected by reCAPTCHA.“ zeigen, falls Sie das Badge ausblenden Bedingung laut Google-FAQ
Prüfen, ob Ihr Schlüssel nach der Migration in ein Google-Cloud-Projekt läuft und wer dort welche Rechte hat reCAPTCHA gehört jetzt zu „Google Cloud Fraud Defense“

Wenn Sie umsteigen

Der technische Wechsel ist überschaubar, weil die meisten Captchas nach demselben Muster arbeiten: Skript im Browser, Token im Formular, Prüfung auf dem Server. Achten Sie bei der Wahl auf fünf Punkte. Wann startet die Prüfung, beim Seitenaufruf oder erst am Formular? Welche Daten liest das Skript aus dem Browser, und setzt es Cookies? Nutzt der Anbieter die Daten nur für Ihren Schutz, und steht das im Auftragsverarbeitungsvertrag? Wo sitzt der Anbieter? Und müssen Besucher Rätsel lösen? Bilderrätsel sind für viele Menschen eine Barriere, und bei der Anmeldung verlangt WCAG 2.2 (Kriterium 3.3.8) für kognitive Tests wie Rechenaufgaben oder abgetippte Zeichen eine Alternative.

Myra EU CAPTCHA wird von der Myra Security GmbH in München entwickelt und betrieben. Besucher lösen kein Rätsel: Der Browser rechnet eine kryptografische Aufgabe, und das Widget wertet Browser-Merkmale aus. Auch das ist nach DSK Rn. 24 ein Zugriff im Sinne von § 25 TDDDG, obwohl das Widget keine Cookies setzt. Myra arbeitet als Auftragsverarbeiter nach Art. 28 DSGVO, ein AVV steht bereit. Ob der Einsatz ohne Einwilligung trägt, ist eine Einzelfallprüfung nach den Kriterien oben, wie bei jedem Anbieter. Anleitungen für WordPress, TYPO3 und andere Systeme finden Sie bei den Integrationen, mehr zum Schutz von Formularen im Beitrag Spam im Kontaktformular verhindern.

Häufige Fragen

Ist Google reCAPTCHA in Deutschland verboten?

Nein. Ein Gesetz, das reCAPTCHA verbietet, gibt es nicht, und uns ist weder eine solche Aussage einer deutschen Aufsichtsbehörde noch ein deutsches Urteil bekannt. Beanstandet wurde in Frankreich und Österreich der Einsatz ohne Einwilligung. Das BayLDA rät, „unbedingt Alternativen“ zu prüfen, und verlangt, dass Sie den rechtmäßigen Einsatz nachweisen können.

Ist reCAPTCHA seit dem Rollenwechsel im April 2026 DSGVO-konform?

Das lässt sich so pauschal nicht sagen. Google ist seit dem 2. April 2026 nach eigenen Angaben Auftragsverarbeiter und schließt Werbezwecke vertraglich aus. Das Cookie „_GRECAPTCHA“ bleibt aber, und § 25 TDDDG fragt nicht danach, wer Verantwortlicher ist. Eine Bewertung der neuen Lage durch eine Behörde oder ein Gericht ist uns nicht bekannt (Stand: Oktober 2026).

Muss reCAPTCHA in den Cookie-Banner?

Wenn Sie den Einsatz auf eine Einwilligung stützen, ja, und dann darf reCAPTCHA erst nach der Zustimmung laden. Die CNIL weist auf den Haken hin: Wer ablehnt, umgeht damit die Bot-Prüfung. Wenn Sie ohne Einwilligung arbeiten wollen, brauchen Sie eine dokumentierte Begründung, warum § 25 Abs. 2 Nr. 2 TDDDG greift.

Welchen Hinweis verlangt Google auf der Website?

Laut Google-FAQ dürfen Sie das reCAPTCHA-Badge ausblenden, wenn Sie den Satz „This site is protected by reCAPTCHA.“ sichtbar im Ablauf zeigen. Die früheren Links auf Googles Datenschutzerklärung entfallen seit April 2026. Die Informationen nach Art. 13 DSGVO gehören in Ihre eigene Datenschutzerklärung.

Hilft es, reCAPTCHA über recaptcha.net statt google.com zu laden?

Google bietet die Domain www.recaptcha.net für Betreiber an, die keine Verbindung zu www.google.com mit dessen weiteren Cookies wollen. Das Cookie „_GRECAPTCHA“ für die Risikoanalyse setzt reCAPTCHA trotzdem. An der Frage nach § 25 TDDDG ändert der Domainwechsel deshalb wenig.

Quellen

Dieser Beitrag gibt einen Überblick (Stand: Oktober 2026) und ersetzt keine Rechtsberatung im Einzelfall.