Google reCAPTCHA und die DSGVO: Warum eine Einwilligung jetzt Pflicht ist

Google reCAPTCHA ist ein Dienst, der Webseiten vor automatisierten Bots schützt. Statt Nutzerinnen und Nutzer einfache Aufgaben lösen zu lassen, analysiert reCAPTCHA v3 deren Verhalten im Hintergrund. Dabei werden Daten wie Mausbewegungen, Tastaturanschläge und Browserinformationen gesammelt, um zu bestimmen, ob es sich um einen Menschen oder einen Bot handelt. 

Das Gericht entschied, dass die Verwendung von Google reCAPTCHA v3 ohne vorherige Einwilligung der Nutzerinnen und Nutzer gegen die Datenschutz-Grundverordnung (DSGVO) verstößt. Die Begründung: Die durch reCAPTCHA gesammelten Daten gelten als personenbezogen, und deren Verarbeitung ist ohne ausdrückliche Zustimmung unzulässig. 

Die DSGVO schreibt vor, dass die Verarbeitung personenbezogener Daten nur unter bestimmten Bedingungen erlaubt ist. Ein berechtigtes Interesse des Webseitenbetreibers reicht nicht aus, wenn die Datenverarbeitung nicht unbedingt erforderlich ist. Da es alternative Methoden zum Schutz vor Bots gibt, die weniger Daten sammeln, ist der Einsatz von reCAPTCHA ohne Einwilligung nicht gerechtfertigt. 

Bei der Nutzung von reCAPTCHA v3 wird ein Cookie namens "_GRECAPTCHA" auf dem Endgerät der Nutzerinnen und Nutzer gespeichert. Dieser Cookie sammelt verschiedene Informationen, um einen Risiko-Score zu erstellen, der die Wahrscheinlichkeit angibt, ob es sich um einen Bot handelt. Diese Datenübertragung erfolgt oft ohne Wissen der Betroffenen.

Webseitenbetreiber müssen sicherstellen, dass sie vor dem Einsatz von reCAPTCHA die ausdrückliche Einwilligung der Nutzerinnen und Nutzer einholen. Dies kann beispielsweise durch ein sogenanntes Consent-Management-Tool erfolgen, das Nutzerinnen und Nutzer über die Datenverarbeitung informiert und ihre Zustimmung einholt. Wird die Einwilligung verweigert, darf reCAPTCHA nicht geladen werden, und es müssen alternative Schutzmaßnahmen implementiert werden. 

Es gibt verschiedene Alternativen zu Google reCAPTCHA, die datenschutzfreundlicher sind:

• Honeypot-Techniken: Versteckte Felder, die nur von Bots ausgefüllt werden.
• Einfachere CAPTCHAs: Methoden, die weniger Daten sammeln und keine Cookies setzen.
• Manuelle Prüfungen: Beispielsweise durch die Bereitstellung einer E-Mail-Adresse anstelle eines Formulars.

Diese Methoden können helfen, den Datenschutz zu wahren und gleichzeitig die Sicherheit der Webseite zu gewährleisten. 

Das Urteil des österreichischen Bundesverwaltungsgerichts unterstreicht die Bedeutung des Datenschutzes im digitalen Raum. Webseitenbetreiber sollten ihre aktuellen Sicherheitsmaßnahmen überprüfen und sicherstellen, dass sie den Anforderungen der DSGVO entsprechen. Die Einholung einer ausdrücklichen Einwilligung vor dem Einsatz von Google reCAPTCHA ist dabei unerlässlich.

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz 

Quelle: BVwG Österreich