Wenn Sie eine Website in der EU betreiben, lohnt ein genauer Blick auf Ihr CAPTCHA. Häufig ist das Google reCAPTCHA. Es ist immer noch die Standardwahl für Bot-Schutz und lädt Google-Skripte in Ihre Seite. Seit dem 2. April 2026 tritt Google dabei laut eigener FAQ als Auftragsverarbeiter auf (docs.cloud.google.com/recaptcha/docs/faq); ob und wie Sie reCAPTCHA einsetzen dürfen, bleibt trotzdem eine Frage der rechtlichen Prüfung, und in der Praxis wird dabei oft über eine Einwilligung diskutiert.
Kurz gesagt: reCAPTCHA gehört nicht ungeprüft in Ihre Seite. Das betrifft alle, deren Formulare das Geschäft tragen — SaaS-Unternehmen, E-Commerce-Shops, Lead-Generierungs-Funnels und Websites der öffentlichen Hand.
Warum DSGVO und CAPTCHA kollidieren
Die DSGVO basiert auf einem Kernprinzip: Datenerhebung minimieren und Nutzerprivatsphäre schützen. Viele klassische CAPTCHA-Systeme stehen dazu in Spannung. Sie laden Skripte eines Drittanbieters, analysieren Verhalten wie Mausbewegungen und Klicks und verarbeiten das Ergebnis oft auf Servern außerhalb der EU.
Daraus ergeben sich mehrere Fragen, die Sie prüfen müssen: ob es ohne Einwilligung eine tragfähige Rechtsgrundlage gibt, ob ein Datentransfer außerhalb der EU nach dem Schrems-II-Urteil abgesichert ist und ob die Verarbeitung transparent beschrieben ist. Was viele Unternehmen übersehen: Ein Bot-Schutz-Werkzeug gehört wie jeder andere Auftragsverarbeiter in das Verarbeitungsverzeichnis.
Welche Regeln tatsächlich greifen
Drei Teile der Verordnung entscheiden, ob Ihr CAPTCHA ein Problem ist — und zwar in dieser Reihenfolge.
Art. 6 — gibt es eine Rechtsgrundlage? Ein fremdes Skript zu laden, das den Besucher profiliert, ist eine Verarbeitung. Das berechtigte Interesse trägt eine einfache Spam-Abwehr, aber es trägt nicht mehr, sobald das Werkzeug seitenübergreifende Verhaltensprofile bildet. Dann brauchen Sie eine Einwilligung, und diese muss vorliegen, bevor das Skript lädt — genau darauf sollten Sie beim Einbau achten.
Art. 28 — wer ist Auftragsverarbeiter? Ihr CAPTCHA-Anbieter verarbeitet personenbezogene Daten in Ihrem Auftrag. Sie brauchen also einen Auftragsverarbeitungsvertrag mit ihm, und das Werkzeug gehört in Ihr Verarbeitungsverzeichnis — als eigener Eintrag, wie Ihr Mailanbieter oder Ihre Statistik.
Art. 44 ff. — wohin fließen die Daten? Jede Übermittlung außerhalb der EU braucht einen Rechtsmechanismus, und seit Schrems II reicht der Mechanismus allein nicht: Sie müssen zusätzlich prüfen, ob die Überwachungsgesetze des Ziellands ihn aushöhlen. Ein großer Teil dieser Prüfung entfällt, wenn der Anbieter selbst in der EU sitzt und die Daten dort hält.
Was macht ein CAPTCHA DSGVO-konform?
Lädt das CAPTCHA ein fremdes Skript in Ihre Seite?
- JaEinwilligung nötig, bevor es lädt
- NeinDer Aufruf allein braucht keine Einwilligung
Speichert oder liest es Cookies oder Gerätekennungen?
- JaEinwilligung nötig
- NeinBerechtigtes Interesse kann tragen
Bevor Sie eine Alternative wählen, sollten Sie wissen, was „DSGVO-konform" tatsächlich bedeutet. Fünf Anforderungen entscheiden darüber:
- So wenig personenbezogene Daten wie möglich, nichts im Klartext gespeichert
- Datenhaltung in der EU
- Keine Tracking-Cookies und keine seitenübergreifenden Profile
- Eine Rechtsgrundlage, die sich dokumentieren lässt
- Vollständig transparente Verarbeitung
Zwei weitere trennen das bloß Konforme vom wirklich Guten: ein unsichtbarer Ablauf, der dem Besucher nichts abverlangt, und Barrierefreiheit nach WCAG.
Ihre eigene Seite in zehn Minuten prüfen
Für den ersten Durchgang brauchen Sie keinen Anwalt, sondern den Netzwerk-Tab.
- Formularseite öffnen und den Netzwerkverkehr aufzeichnen. Jede Anfrage an
google.com/recaptcha,hcaptcha.comoder einen ähnlichen Host bedeutet: Ein Dritter sieht Ihre Besucher. - Prüfen, wann sie feuert. Lädt sie, bevor der Besucher irgendetwas akzeptiert hat, ist die Einwilligung als Rechtsgrundlage schon verloren.
- Nach Cookies und Speichereinträgen suchen.
_GRECAPTCHAund Verwandte sind der sichtbare Teil; Einträge imlocalStoragezählen ebenso. - Die eigene Datenschutzerklärung lesen. Steht das Werkzeug dort nicht, wird es ohne Offenlegung eingesetzt.
- Ins Verarbeitungsverzeichnis schauen. Die meisten führen Statistik und Mailversand — und vergessen den Bot-Schutz vollständig.
Alles, was Sie hier finden, lässt sich beheben. Nicht beheben lässt sich der Teil, nach dem nie jemand gesucht hat.
Die Alternativen — und was sie wirklich kosten
Die folgenden Angaben stammen von den offiziellen Seiten der Anbieter, abgerufen am 4. Oktober 2026. Sie ändern sich; die Quellen stehen jeweils dabei.
FriendlyCaptcha ist ein datenschutzorientiertes CAPTCHA aus Deutschland, das im Hintergrund prüft. Der Starter-Tarif kostet 9 €/Monat, Advanced 200 €/Monat, Enterprise gibt es auf Anfrage. Kostenlos ist es für nicht-kommerzielle Projekte (eine Domain, 1.000 Anfragen im Monat) und für Open-Source-Projekte (50 Domains, 50.000 Anfragen im Monat). Die Anfragegrenzen der Bezahltarife konnten wir auf der offiziellen Preisseite nicht nachprüfen — fragen Sie sie beim Anbieter an. Quelle: friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile ist kostenlos, mit unbegrenzten Prüfungen — wirklich kostenlos, kein Testzeitraum, und ohne dass Ihre Seite über Cloudflare laufen muss. Der kostenlose Tarif begrenzt Funktionen statt Volumen: bis zu 20 Widgets, 10 Hostnamen je Widget, sieben Tage Auswertung. Es lädt kein Google-Skript und hält die Interaktion gering: Im Modus Managed zeigt es bei Risiko eine Checkbox, Bilder oder Texte zum Entziffern gibt es nicht. Der Invisible-Modus verlangt einen Hinweis auf das „Turnstile Privacy Addendum“. Cloudflare bleibt ein US-amerikanisches Unternehmen. Quelle: developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA (inzwischen Teil von „Google Cloud Fraud Defense“) gibt Ihnen in der Essentials-Stufe 10.000 Bewertungen im Monat kostenlos; ein Zahlungsmittel müssen Sie hinterlegen. In der Premium-Stufe kosten 10.001 bis 100.000 Bewertungen pauschal 8 $, darüber 1 $ je 1.000; dazu kommt Enterprise. Bildaufgaben gibt es in allen Stufen. Seit dem 2. April 2026 tritt Google laut eigener FAQ als Auftragsverarbeiter auf. Der Preis ist hier nicht die Frage — der Datenweg zu Google ist es. Quelle: docs.cloud.google.com/recaptcha/docs/compare-tiers und /faq.
hCaptcha hat einen kostenlosen Basic-Tarif. Pro kostet 99 $/Monat bei jährlicher Zahlung oder 139 $ monatlich, Enterprise gibt es auf Anfrage. Den passiven Modus ohne sichtbare Aufgabe gibt es nur in Pro und Enterprise; im Basic-Tarif bleibt eine sichtbare Prüfung. Quelle: hcaptcha.com/pricing.
SilentShield ist standardmäßig unsichtbarer, datenschutzfreundlicher Bot-Schutz mit Datenhaltung auf unseren Servern in Deutschland: im Normalfall keine Nutzerinteraktion (nur bei unklarem Ergebnis eine kurze Rechenaufgabe), keine Cookies, kein Tracking über Websites hinweg, keine Profile und ein zuschaltbarer Zero-PII-Modus, der Browser- und Gerätemerkmale ganz weglässt. Der kostenlose Tarif deckt 500 Anfragen im Monat auf einer Domain; Basic kostet 9 €/Monat für 5.000 Anfragen, Pro 29 €/Monat für 25.000 Anfragen auf fünf Domains, Enterprise ist individuell.
Schnellvergleich
| Tool | Einstiegspreis | Enthalten | Interaktion | Datentransfer |
|---|---|---|---|---|
| reCAPTCHA | kostenlos | 10.000 Bewertungen | Bildaufgabe möglich | |
| hCaptcha | kostenlos / 99 $ pro Monat (jährlich) | nicht geprüft | Rätsel; passiv nur Pro/Enterprise | nicht geprüft |
| Turnstile | kostenlos | unbegrenzte Prüfungen | meist keine; Checkbox bei Risiko | Cloudflare (US-Unternehmen) |
| FriendlyCaptcha | 9 € pro Monat | nicht geprüft | Prüfung im Hintergrund | nicht geprüft |
| SilentShield | kostenlos / 9 € pro Monat | 500 / 5.000 Anfragen | standardmäßig keine; Rechenaufgabe bei unklarem Ergebnis | Server in Deutschland; mit EU-Endpunkt ohne CDN |
Lesen Sie die erste Spalte ehrlich: Beim Preis allein gewinnt Turnstile. Es ist kostenlos, es hat keine Mengengrenze, und für eine kleine Seite ohne Compliance-Anforderung ist dagegen schwer zu argumentieren.
Wo SilentShield die schwächere Wahl ist
Jeder Vergleich, in dem der Autor auf jeder Zeile gewinnt, verdient Misstrauen. Hier sind die drei Zeilen, auf denen wir es nicht tun.
Unser Skript ist größer als das von Turnstile. Das Verhaltensmodul von SilentShield wiegt 45,0 KB komprimiert, mit Ladeprogramm 48,9 KB (nachgemessen am 23. September 2026). Am 4. September 2026 haben wir im Browser gemessen, was jeder Anbieter tatsächlich ausliefert: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile ist damit das leichteste der vier, wir liegen auf Platz zwei. Wir laden asynchron nach dem Seitenaufbau, blockieren also nichts, worauf ein Besucher wartet — aber wenn auf Ihrer Seite um jedes Kilobyte gerungen wird, ist das ein echtes Argument gegen uns.
Wir sind im Volumen nicht kostenlos. Turnstile kostet bei jeder Menge nichts. Unser kostenloser Tarif endet bei 500 Anfragen im Monat. Wenn der Preis Ihr einziges Kriterium ist, sind wir nicht die Wahl.
Wir sind jünger. reCAPTCHA läuft seit über einem Jahrzehnt und hat Angriffsmuster gesehen, die wir nicht gesehen haben. Das ist keine Kleinigkeit, und keine Positionierung ändert daran etwas.
Was Sie für die 9 € bekommen, ist ein anderer Handel: Es lädt kein Google-Skript, es wird kein Cookie gesetzt, der Besucher sieht standardmäßig keine Aufgabe — nur bei unklarem Ergebnis eine kurze Rechenaufgabe —, und mit dem EU-Endpunkt läuft die Prüfung direkt auf unseren Servern in Deutschland, ohne CDN. Ist Ihnen das mehr wert als kostenlos, sind wir die bessere Wahl. Ist es das nicht, nehmen Sie Turnstile — das ist eine vertretbare Entscheidung, und dieser Artikel wird nicht so tun, als wäre sie es nicht.
Compliance oder Conversion? Sie müssen nicht mehr wählen
Die meisten Unternehmen halten das für eine juristische Entscheidung. Ist es nicht — es ist eine Wachstumsentscheidung. Traditionelles CAPTCHA kostet Conversions, erzeugt Reibung und schadet der Mobile-UX, während eine datenschutzfreundliche, unsichtbare Lösung diese Reibung aus dem Formular nimmt — die rechtliche Prüfung nimmt sie Ihnen aber nicht ab.
SilentShield setzt auf beides: keine Cookies, kein Tracking über Websites hinweg, keine Profile; die IP-Adresse nur zur Prüfung, nicht im Klartext gespeichert — und eine Prüfung, die standardmäßig unsichtbar bleibt und nur bei unklarem Ergebnis eine kurze Rechenaufgabe zeigt. Gebaut für modernes SaaS und EU-Unternehmen.
Bot-Schutz upgraden — datenschutzfreundlich
Sie müssen nicht mit der DSGVO-Konformität spielen, und Sie müssen keine Conversions opfern.
Sehen Sie, wie SilentShield funktioniert — und ersetzen Sie Ihr CAPTCHA