Bedste GDPR-venlige CAPTCHA-alternativer (EU-guide)

Hvis du driver et websted i EU, fortjener din CAPTCHA et grundigt blik. Ofte er det Google reCAPTCHA. Det er stadig standardvalget til botbeskyttelse, og det indlæser Google-scripts på din side. Siden den 2. april 2026 optræder Google ifølge sin egen FAQ som databehandler for det (docs.cloud.google.com/recaptcha/docs/faq); om og hvordan du må bruge reCAPTCHA, er stadig et spørgsmål om juridisk vurdering, og i praksis drejer den vurdering sig ofte om samtykke.

Kort sagt: reCAPTCHA bør ikke komme ind på din side uden en vurdering. Det betyder noget for alle, hvis forretning hviler på formularer — SaaS-virksomheder, webshops, leadgenereringstragte og websteder i den offentlige sektor.

Hvorfor GDPR og CAPTCHA kolliderer

GDPR hviler på ét kerneprincip: indsaml så få data som muligt, og beskyt brugernes privatliv. Mange traditionelle CAPTCHA-systemer passer dårligt til det. De indlæser tredjepartsscripts, analyserer adfærd — musebevægelser, klik — og behandler ofte resultatet på servere uden for EU.

Deraf opstår flere spørgsmål, du skal vurdere: om der er et holdbart behandlingsgrundlag uden samtykke, om en overførsel uden for EU er sikret efter Schrems II-dommen, og om behandlingen er beskrevet gennemsigtigt. Det, mange virksomheder overser: et botbeskyttelsesværktøj hører til i fortegnelsen over behandlingsaktiviteter som enhver anden databehandler.

Hvilke regler der faktisk gælder

Tre dele af forordningen afgør, om din CAPTCHA er et problem — og de gælder i denne rækkefølge.

Artikel 6 — findes der et behandlingsgrundlag? At indlæse et fremmed script, der profilerer den besøgende, er en behandling. Legitim interesse kan bære et simpelt spamværn, men den bærer ikke længere, så snart værktøjet bygger adfærdsprofiler på tværs af websteder. Så skal du bruge samtykke, og det skal foreligge, inden scriptet indlæses — netop dét skal du holde øje med, når du bygger den ind.

Artikel 28 — hvem er databehandler? Din CAPTCHA-leverandør behandler personoplysninger på dine vegne. Du skal derfor have en databehandleraftale med ham, og værktøjet hører hjemme i din fortegnelse over behandlingsaktiviteter — ligesom din mailudbyder eller dit analyseværktøj.

Artikel 44 ff. — hvor havner data? Enhver overførsel uden for EU kræver en juridisk mekanisme, og efter Schrems II-dommen er mekanismen alene ikke nok: du skal desuden vurdere, om modtagerlandets overvågningslove udhuler den. En stor del af den vurdering bortfalder, når udbyderen selv har hjemsted i EU og opbevarer data dér.

Hvad gør en CAPTCHA GDPR-venlig?

Før du vælger et alternativ, er det værd at vide, hvad »GDPR-venlig« faktisk betyder. Fem krav afgør det:

• Så få personoplysninger som muligt, intet gemt i klartekst
• Datalagring i EU
• Ingen sporingscookies og ingen profiler på tværs af websteder
• Et retsgrundlag, der kan dokumenteres
• Fuldt gennemsigtig behandling

To yderligere skiller det blot overholdende fra det virkelig gode: et usynligt forløb, der ikke beder den besøgende om noget, og tilgængelighed efter WCAG.

Tjek dit eget websted på ti minutter

Til første gennemgang skal du ikke bruge en advokat, men netværksfanen.

• Åbn en formularside, og optag netværkstrafikken. Enhver anmodning til google.com/recaptcha, hcaptcha.com eller en lignende vært betyder, at en tredjepart ser dine besøgende.
• Se, hvornår den udløses. Indlæses den, før den besøgende har accepteret noget, er samtykket som grundlag allerede tabt.
• Led efter cookies og lagerposter. _GRECAPTCHA og slægtninge er den synlige del; poster i localStorage tæller også med.
• Læs din egen privatlivspolitik. Står værktøjet ikke der, bruges det uden at være oplyst.
• Kig i din fortegnelse over behandlingsaktiviteter. De fleste nævner analyse og mail — og glemmer botbeskyttelsen helt.

Alt, hvad du finder her, kan afhjælpes. Det, der ikke kan afhjælpes, er den del, ingen nogensinde ledte efter.

Alternativerne — og hvad de faktisk koster

Oplysningerne nedenfor stammer fra leverandørernes officielle sider, hentet den 4. oktober 2026. De ændrer sig; kilderne står ved hvert punkt.

FriendlyCaptcha er en privatlivsorienteret CAPTCHA fra Tyskland, der tjekker i baggrunden. Starter-planen koster 9 €/måned, Advanced 200 €/måned, og Enterprise er efter aftale. Den er gratis for ikke-kommercielle projekter (ét domæne, 1.000 anmodninger om måneden) og for open source-projekter (50 domæner, 50.000 anmodninger om måneden). Anmodningsgrænserne for de betalte planer kunne vi ikke bekræfte på den officielle prisside — spørg leverandøren om dem. Kilde: friendlycaptcha.com/free-captcha/.

Cloudflare Turnstile er gratis med ubegrænsede verificeringer — reelt gratis, ikke en prøveperiode, og dit websted behøver ikke at køre gennem Cloudflare. Den gratis plan begrænser funktioner frem for mængde: op til 20 widgets, 10 værtsnavne pr. widget, syv dages analyse. Den indlæser intet Google-script og holder interaktionen på et minimum: i Managed-tilstand viser den et afkrydsningsfelt, når den ser en risiko, uden billeder eller tekst at tyde. Invisible-tilstanden kræver en meddelelse med henvisning til »Turnstile Privacy Addendum«. Cloudflare forbliver et amerikansk selskab. Kilde: developers.cloudflare.com/turnstile/plans/.

Google reCAPTCHA (nu en del af »Google Cloud Fraud Defense«) giver dig 10.000 vurderinger om måneden gratis i Essentials-niveauet; du skal tilføje en betalingsmetode. I Premium-niveauet koster 10.001 til 100.000 vurderinger fast 8 $, derefter 1 $ pr. 1.000; Enterprise ligger derover. Visuelle udfordringer findes i alle niveauer. Siden den 2. april 2026 optræder Google ifølge sin egen FAQ som databehandler. Prisen er ikke spørgsmålet — datavejen til Google er. Kilde: docs.cloud.google.com/recaptcha/docs/compare-tiers og /faq.

hCaptcha har et gratis Basic-niveau. Pro koster 99 $/måned ved årlig betaling eller 139 $ månedligt, og Enterprise er efter aftale. Passiv tilstand uden synlig opgave findes kun i Pro og Enterprise; i Basic-niveauet er der fortsat et synligt tjek. Kilde: hcaptcha.com/pricing.

SilentShield er privatlivsvenlig botbeskyttelse, der er usynlig som standard, med datalagring på vores servere i Tyskland: ingen interaktion i normaltilfældet (kun en kort regneopgave, når resultatet er uklart), ingen cookies, ingen sporing på tværs af websteder, ingen profiler og en valgfri Zero-PII-tilstand, der helt udelader browser- og enhedskendetegn. Den gratis plan dækker 500 anmodninger om måneden på ét domæne; Basic koster 9 €/måned for 5.000 anmodninger, Pro 29 €/måned for 25.000 anmodninger på fem domæner, og Enterprise er individuel.

Hurtig sammenligning

Læs den første kolonne ærligt: på pris alene vinder Turnstile. Den er gratis, den har intet mængdeloft, og for et lille websted uden compliancekrav er det svært at argumentere imod.

Hvor SilentShield er det svagere valg

Enhver sammenligning, hvor forfatteren vinder på hver linje, fortjener mistro. Her er de tre linjer, hvor vi ikke gør det.

Vores script er større end Turnstiles. SilentShields adfærdsmodul vejer 45,0 KB komprimeret, 48,9 KB med indlæseren (målt igen den 23. september 2026). Den 4. september 2026 målte vi i en browser, hvad hver udbyder faktisk leverer: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile er dermed den letteste af de fire, og vi er nummer to. Vi indlæses asynkront efter opbygningen og blokerer intet, en besøgende venter på — men kæmpes der på Deres side om hver kilobyte, er det et reelt argument imod os.

Vi er ikke gratis ved mængde. Turnstile koster intet ved enhver mængde. Vores gratis plan slutter ved 500 anmodninger om måneden. Er prisen dit eneste kriterium, er vi ikke valget.

Vi er yngre. reCAPTCHA har kørt i over ti år og har set angrebsmønstre, vi ikke har set. Det er ikke en bagatel, og ingen positionering ændrer det.

Det, du får for de 9 €, er en anden handel: intet Google-script indlæses, der sættes ingen cookie, den besøgende ser som standard ingen opgave — kun en kort regneopgave, når resultatet er uklart — og med EU-endepunktet kører verificeringen direkte på vores servere i Tyskland, uden CDN. Er det mere værd for dig end gratis, er vi det bedre valg. Er det ikke, så tag Turnstile — det er en forsvarlig beslutning, og denne artikel vil ikke lade som om andet.

Compliance eller konvertering? Du behøver ikke længere at vælge

De fleste virksomheder ser dette som en juridisk beslutning. Det er det ikke: det er en vækstbeslutning. Traditionel CAPTCHA koster konverteringer, tilfører friktion og skader mobiloplevelsen, mens en privatlivsvenlig, usynlig løsning fjerner den friktion fra formularen — den foretager dog ikke den juridiske vurdering for dig.

SilentShield sigter mod begge dele: ingen cookies, ingen sporing på tværs af websteder, ingen profiler; IP-adressen bruges kun til tjekket og gemmes ikke i klartekst — og et tjek, der forbliver usynligt som standard og kun viser en kort regneopgave, når resultatet er uklart. Bygget til moderne SaaS og europæiske virksomheder.

Opgradér din botbeskyttelse — privatlivsvenligt

Du behøver ikke at spille hasard med GDPR-overholdelsen, og du behøver ikke at ofre konverteringer.

Se hvordan SilentShield fungerer — og udskift din CAPTCHA