Wenn Sie eine Website in der EU betreiben, verstoßen Sie mit hoher Wahrscheinlichkeit bereits gegen die DSGVO — ohne es zu wissen. Der Grund ist Google reCAPTCHA. Es ist immer noch die Standardwahl für Bot-Schutz, überträgt hinter den Kulissen aber Nutzerdaten in die USA, sammelt Verhaltensdaten für Tracking, erfordert in vielen Fällen eine Einwilligung und wurde von mehreren EU-Aufsichtsbehörden beanstandet.
Kurz gesagt: reCAPTCHA ist standardmäßig nicht DSGVO-konform. Das ist ein Problem für alle, deren Formulare das Geschäft tragen — SaaS-Unternehmen, E-Commerce-Shops, Lead-Generierungs-Funnels und Websites der öffentlichen Hand.
Warum DSGVO und CAPTCHA kollidieren
Die DSGVO basiert auf einem Kernprinzip: Datenerhebung minimieren und Nutzerprivatsphäre schützen. Traditionelle CAPTCHA-Systeme tun das Gegenteil. Sie tracken Nutzer über Websites hinweg, analysieren Verhalten wie Mausbewegungen und Klicks und senden das Ergebnis in Drittstaaten.
Daraus entstehen mehrere rechtliche Risiken auf einmal: keine gültige Rechtsgrundlage ohne ausdrückliche Einwilligung, ein Datentransfer außerhalb der EU, der am Schrems-II-Urteil scheitert, mangelnde Transparenz und mögliche Bußgelder. Was viele Unternehmen übersehen: Ein Bot-Schutz-Werkzeug gehört wie jeder andere Auftragsverarbeiter in das Verarbeitungsverzeichnis.
Welche Regeln tatsächlich greifen
Drei Teile der Verordnung entscheiden, ob Ihr CAPTCHA ein Problem ist — und zwar in dieser Reihenfolge.
Art. 6 — gibt es eine Rechtsgrundlage? Ein fremdes Skript zu laden, das den Besucher profiliert, ist eine Verarbeitung. Das berechtigte Interesse trägt eine einfache Spam-Abwehr, aber es trägt nicht mehr, sobald das Werkzeug seitenübergreifende Verhaltensprofile bildet. Dann brauchen Sie eine Einwilligung, und diese muss vorliegen, bevor das Skript lädt — genau daran scheitern die meisten Einbauten.
Art. 28 — wer ist Auftragsverarbeiter? Ihr CAPTCHA-Anbieter verarbeitet personenbezogene Daten in Ihrem Auftrag. Sie brauchen also einen Auftragsverarbeitungsvertrag mit ihm, und das Werkzeug gehört in Ihr Verarbeitungsverzeichnis — als eigener Eintrag, wie Ihr Mailanbieter oder Ihre Statistik.
Art. 44 ff. — wohin fließen die Daten? Jede Übermittlung außerhalb der EU braucht einen Rechtsmechanismus, und seit Schrems II reicht der Mechanismus allein nicht: Sie müssen zusätzlich prüfen, ob die Überwachungsgesetze des Ziellands ihn aushöhlen. Diese Prüfung entfällt vollständig, wenn die Daten die EU nie verlassen.
Was macht ein CAPTCHA DSGVO-konform?
Lädt das CAPTCHA ein fremdes Skript in Ihre Seite?
- JaEinwilligung nötig, bevor es lädt
- NeinDer Aufruf allein braucht keine Einwilligung
Speichert oder liest es Cookies oder Gerätekennungen?
- JaEinwilligung nötig
- NeinBerechtigtes Interesse kann tragen
Bevor Sie eine Alternative wählen, sollten Sie wissen, was „DSGVO-konform" tatsächlich bedeutet. Fünf Anforderungen entscheiden darüber:
- Keine Erhebung personenbezogener Daten
- Kein grenzüberschreitender Datentransfer
- Kein Tracking und kein Fingerprinting
- Funktioniert ohne Consent-Banner
- Vollständig transparente Verarbeitung
Zwei weitere trennen das bloß Konforme vom wirklich Guten: ein unsichtbarer Ablauf, der dem Besucher nichts abverlangt, und Barrierefreiheit nach WCAG.
Ihre eigene Seite in zehn Minuten prüfen
Für den ersten Durchgang brauchen Sie keinen Anwalt, sondern den Netzwerk-Tab.
- Formularseite öffnen und den Netzwerkverkehr aufzeichnen. Jede Anfrage an
google.com/recaptcha,hcaptcha.comoder einen ähnlichen Host bedeutet: Ein Dritter sieht Ihre Besucher. - Prüfen, wann sie feuert. Lädt sie, bevor der Besucher irgendetwas akzeptiert hat, ist die Einwilligung als Rechtsgrundlage schon verloren.
- Nach Cookies und Speichereinträgen suchen.
_GRECAPTCHAund Verwandte sind der sichtbare Teil; Einträge im Local Storage zählen ebenso. - Die eigene Datenschutzerklärung lesen. Steht das Werkzeug dort nicht, wird es ohne Offenlegung eingesetzt.
- Ins Verarbeitungsverzeichnis schauen. Die meisten führen Statistik und Mailversand — und vergessen den Bot-Schutz vollständig.
Alles, was Sie hier finden, lässt sich beheben. Nicht beheben lässt sich der Teil, nach dem nie jemand gesucht hat.
Die Alternativen — und was sie wirklich kosten
Die folgenden Preise wurden am 3. September 2026 auf den Seiten der Anbieter geprüft. Sie ändern sich; die Quellen stehen jeweils dabei.
FriendlyCaptcha ist ein datenschutzorientiertes CAPTCHA aus Deutschland. Es setzt keine Tracking-Cookies, weist WCAG 2.2 AA und ISO 27001 aus, und die Architektur ist auf die DSGVO ausgelegt. Die Preise beginnen bei 9 €/Monat für eine Domain und 1.000 Anfragen, 39 €/Monat für fünf Domains und 5.000 Anfragen, 200 €/Monat für 50 Domains und 50.000. Für nichtkommerzielle Seiten gibt es bis 1.000 Anfragen einen kostenlosen Tarif. Ein Detail ist für EU-Käufer entscheidend: dedizierte, ausschließlich europäische Rechenzentren gibt es ab der 200-€-Stufe, darunter nicht. Und der Besucher löst weiterhin ein Puzzle, was bei jedem Conversion-Flow Reibung erzeugt.
Cloudflare Turnstile ist kostenlos, ohne veröffentlichte Mengenbegrenzung — wirklich kostenlos, kein Testzeitraum. Der kostenlose Tarif begrenzt Funktionen statt Volumen: bis zu 20 Widgets, 10 Hostnamen je Widget, sieben Tage Auswertung, keine Zusicherung zur Verfügbarkeit, keine Regeln je Endpunkt. Es verzichtet auf Google-Tracking und hält die Interaktion gering. Es bleibt ein US-amerikanisches Unternehmen, ist nicht in jedem Fall vollständig unsichtbar und sagt wenig darüber, wie seine Erkennung arbeitet.
Google reCAPTCHA gibt Ihnen in der Essentials-Stufe 10.000 Bewertungen im Monat kostenlos. Darüber kostet Standard pauschal 8 $ bis 100.000 Bewertungen, und jenseits davon wechseln Sie in Enterprise mit 0,001 $ je Bewertung. Der Preis ist hier nicht das Problem — der Datenweg ist es.
hCaptcha hat einen dauerhaft kostenlosen Basic-Tarif. Pro kostet 99 $/Monat bei jährlicher Zahlung oder 139 $ monatlich, enthält 100.000 Auswertungen und berechnet 0,99 $ je weitere 1.000. Die Datenschutz-Positionierung ist besser als die von Google, aber der Besucher löst weiterhin Bilderrätsel.
SilentShield ist unsichtbarer, datenschutzfreundlicher Bot-Schutz: keine Nutzerinteraktion, kein Tracking, kein Fingerprinting, keine Erhebung personenbezogener Daten, kein Consent-Banner. Der kostenlose Tarif deckt 500 Anfragen im Monat auf einer Domain; Basic kostet 9 €/Monat für 5.000 Anfragen, Pro 29 €/Monat für 25.000 Anfragen auf fünf Domains, Enterprise ist individuell und bringt dedizierte EU-Rechenzentren mit.
Schnellvergleich
| Tool | Einstiegspreis | Enthalten | Interaktion | Datentransfer |
|---|---|---|---|---|
| reCAPTCHA | kostenlos | 10.000 Bewertungen | Rätsel | USA |
| hCaptcha | kostenlos / 99 $ pro Monat | 100.000 Auswertungen (Pro) | Rätsel | gemischt |
| Turnstile | kostenlos | keine veröffentlichte Grenze | meist keine | USA |
| FriendlyCaptcha | 9 € pro Monat | 1.000 Anfragen | Rätsel | EU ab 200-€-Stufe |
| SilentShield | kostenlos / 9 € pro Monat | 500 / 5.000 Anfragen | keine | EU |
Lesen Sie die erste Spalte ehrlich: Beim Preis allein gewinnt Turnstile. Es ist kostenlos, es hat keine Mengengrenze, und für eine kleine Seite ohne Compliance-Anforderung ist dagegen schwer zu argumentieren.
Wo SilentShield die schwächere Wahl ist
Jeder Vergleich, in dem der Autor auf jeder Zeile gewinnt, verdient Misstrauen. Hier sind die drei Zeilen, auf denen wir es nicht tun.
Unser Skript ist größer als das von Turnstile. Das Verhaltensmodul von SilentShield wiegt 43,6 KB gzipped, mit Ladeprogramm rund 47 KB. Am 4. September 2026 haben wir im Browser gemessen, was jeder Anbieter tatsächlich ausliefert: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile ist damit das leichteste der vier, wir liegen auf Platz zwei. Wir laden asynchron nach dem Seitenaufbau, blockieren also nichts, worauf ein Besucher wartet — aber wenn auf Ihrer Seite um jedes Kilobyte gerungen wird, ist das ein echtes Argument gegen uns.
Wir sind im Volumen nicht kostenlos. Turnstile kostet bei jeder Menge nichts. Unser kostenloser Tarif endet bei 500 Anfragen im Monat. Wenn der Preis Ihr einziges Kriterium ist, sind wir nicht die Wahl.
Wir sind jünger. reCAPTCHA läuft seit über einem Jahrzehnt und hat Angriffsmuster gesehen, die wir nicht gesehen haben. Das ist keine Kleinigkeit, und keine Positionierung ändert daran etwas.
Was Sie für die 9 € bekommen, ist ein anderer Handel: Es lädt nichts von einem US-Anbieter, es wird kein Cookie gesetzt, kein Besucher muss irgendetwas beweisen, und die Bewertung bleibt in der EU. Ist Ihnen das mehr wert als kostenlos, sind wir die bessere Wahl. Ist es das nicht, nehmen Sie Turnstile — das ist eine vertretbare Entscheidung, und dieser Artikel wird nicht so tun, als wäre sie es nicht.
Compliance oder Conversion? Sie müssen nicht mehr wählen
Die meisten Unternehmen halten das für eine juristische Entscheidung. Ist es nicht — es ist eine Wachstumsentscheidung. Traditionelles CAPTCHA zerstört Conversion-Raten, erzeugt Reibung und schadet der Mobile-UX, während eine DSGVO-konforme und unsichtbare Lösung höhere Conversions, bessere UX und kein rechtliches Risiko liefert.
FriendlyCaptcha löst den Datenschutz. Turnstile verbessert die UX ein wenig. Keines von beiden löst beides vollständig. SilentShield schon: eine Privacy-first-Architektur, eine Prüfung, die der Besucher nie sieht, und ein Produkt für modernes SaaS und EU-Unternehmen.
Bot-Schutz upgraden (ohne rechtliches Risiko)
Sie müssen nicht mit der DSGVO-Konformität spielen, und Sie müssen keine Conversions opfern.
Sehen Sie, wie SilentShield funktioniert — ersetzen Sie Ihr CAPTCHA in Minuten