Als u een website in de EU beheert, is de kans groot dat u de AVG al overtreedt — zonder het te weten. De reden heet Google reCAPTCHA. Het is nog altijd de standaardkeuze voor botbescherming, maar achter de schermen stuurt het gebruikersgegevens naar de VS, verzamelt het gedragsgegevens voor tracking, vraagt het in veel gevallen om toestemming en is het door meerdere Europese toezichthouders bekritiseerd.
Kortom: reCAPTCHA is standaard niet AVG-proof. Dat is een probleem voor iedereen wiens formulieren de omzet dragen — SaaS-bedrijven, webshops, leadgeneratietrechters en websites van de overheid.
Waarom GDPR en CAPTCHA botsen
De AVG rust op één kernprincipe: zo min mogelijk gegevens verzamelen en de privacy van gebruikers beschermen. Traditionele CAPTCHA-systemen doen precies het omgekeerde. Ze volgen gebruikers over websites heen, analyseren gedrag — muisbewegingen, kliks — en sturen het resultaat naar derde landen.
Daaruit ontstaan meerdere juridische risico's tegelijk: geen geldige grondslag zonder uitdrukkelijke toestemming, een doorgifte buiten de EU die stukloopt op het Schrems II-arrest, gebrek aan transparantie en mogelijke boetes. Wat veel bedrijven over het hoofd zien: een botbeschermingstool hoort net als elke andere verwerker in het verwerkingsregister.
Welke regels werkelijk gelden
Drie delen van de verordening bepalen of uw CAPTCHA een probleem is — en ze gelden in deze volgorde.
Artikel 6 — is er een grondslag? Een script van derden laden dat de bezoeker profileert, is een verwerking. Gerechtvaardigd belang kan een eenvoudige spamafweer dragen, maar draagt niet meer zodra het hulpmiddel gedragsprofielen over websites heen opbouwt. Dan hebt u toestemming nodig, en die moet er zijn voordat het script laadt — precies daar gaat het bij de meeste implementaties mis.
Artikel 28 — wie is verwerker? Uw CAPTCHA-leverancier verwerkt persoonsgegevens in uw opdracht. U hebt dus een verwerkersovereenkomst met hem nodig, en het hulpmiddel hoort in uw verwerkingsregister — net als uw mailleverancier of uw statistiektool.
Artikel 44 e.v. — waar gaan de gegevens heen? Elke doorgifte buiten de EU vereist een juridisch mechanisme, en sinds het Schrems II-arrest volstaat het mechanisme alleen niet meer: u moet daarnaast beoordelen of de surveillancewetten van het bestemmingsland het uithollen. Die beoordeling vervalt volledig als de gegevens de EU nooit verlaten.
Wat maakt een CAPTCHA GDPR-vriendelijk?
Laadt de CAPTCHA een script van derden in uw pagina?
- JaToestemming nodig vóór het laadt
- NeeDe aanvraag alleen heeft geen toestemming nodig
Slaat het cookies of apparaatkenmerken op of leest het die?
- JaToestemming nodig
- NeeGerechtvaardigd belang kan volstaan
Voordat u een alternatief kiest, is het goed te weten wat «AVG-vriendelijk» werkelijk betekent. Vijf eisen bepalen dat:
- Geen verzameling van persoonsgegevens
- Geen grensoverschrijdende datatransfer
- Geen tracking of fingerprinting
- Werkt zonder toestemmingsbanner
- Volledig transparante verwerking
Twee andere scheiden het louter conforme van het werkelijk goede: een onzichtbare ervaring die niets van de bezoeker vraagt, en toegankelijkheid volgens WCAG.
Uw eigen site in tien minuten controleren
Voor een eerste ronde hebt u geen advocaat nodig, maar het netwerktabblad.
- Open een formulierpagina en neem het netwerkverkeer op. Elk verzoek aan
google.com/recaptcha,hcaptcha.comof een vergelijkbare host betekent dat een derde uw bezoekers ziet. - Kijk wanneer het afgaat. Laadt het voordat de bezoeker iets heeft geaccepteerd, dan is toestemming als grondslag al verloren.
- Zoek naar cookies en opslag.
_GRECAPTCHAen verwanten zijn het zichtbare deel; ook items in local storage tellen mee. - Lees uw eigen privacyverklaring. Staat het hulpmiddel daar niet in, dan wordt het zonder vermelding gebruikt.
- Kijk in uw verwerkingsregister. De meeste noemen statistiek en e-mail — en vergeten de botbescherming volledig.
Alles wat u hier vindt, is te verhelpen. Wat niet te verhelpen is, is het deel waar nooit iemand naar heeft gezocht.
De alternatieven — en wat ze werkelijk kosten
De prijzen hieronder zijn op 3 september 2026 gecontroleerd op de pagina's van de aanbieders zelf. Ze veranderen; de bronnen staan er telkens bij.
FriendlyCaptcha is een privacygerichte CAPTCHA uit Duitsland. Het plaatst geen trackingcookies, vermeldt WCAG 2.2 AA en ISO 27001, en de architectuur is op de AVG gebouwd. De prijzen beginnen bij € 9/maand voor één domein en 1.000 verzoeken, € 39/maand voor vijf domeinen en 5.000 verzoeken, € 200/maand voor 50 domeinen en 50.000. Voor niet-commerciële sites bestaat een gratis plan tot 1.000 verzoeken. Eén detail telt voor Europese kopers: uitsluitend Europese datacenters verschijnen vanaf het niveau van € 200, daaronder niet. En de bezoeker lost nog steeds een puzzel op, wat bij elke conversieflow wrijving veroorzaakt.
Cloudflare Turnstile is gratis, zonder gepubliceerd verzoekplafond — echt gratis, geen proefperiode. Het gratis plan beperkt functies in plaats van volume: tot 20 widgets, 10 hostnamen per widget, zeven dagen analyse, geen beschikbaarheidsgarantie en geen regels per endpoint. Het laat Google-tracking los en houdt de interactie minimaal. Het blijft een Amerikaans bedrijf, is niet in alle gevallen volledig onzichtbaar en zegt weinig over hoe zijn detectie werkt.
Google reCAPTCHA geeft u in het Essentials-niveau 10.000 beoordelingen per maand gratis. Daarboven rekent Standard een vast bedrag van $ 8 tot 100.000 beoordelingen, en daarboven gaat u naar Enterprise met $ 0,001 per beoordeling. De prijs is hier niet het probleem — het gegevenspad wel.
hCaptcha heeft een permanent gratis Basic-niveau. Pro kost $ 99/maand bij jaarbetaling of $ 139 per maand, bevat 100.000 evaluaties en rekent $ 0,99 per extra 1.000. De privacypositionering is beter dan die van Google, maar de bezoeker lost nog altijd beeldpuzzels op.
SilentShield is onzichtbare, privacyvriendelijke botbescherming: geen interactie, geen tracking, geen fingerprinting, geen verzameling van persoonsgegevens, geen toestemmingsbanner. Het gratis plan dekt 500 verzoeken per maand op één domein; Basic kost € 9/maand voor 5.000 verzoeken, Pro € 29/maand voor 25.000 verzoeken op vijf domeinen, en Enterprise is op maat met eigen Europese datacenters.
Snelle vergelijking
| Tool | Instapprijs | Inbegrepen | Interactie | Gegevensdoorgifte |
|---|---|---|---|---|
| reCAPTCHA | gratis | 10.000 beoordelingen | Puzzel | VS |
| hCaptcha | gratis / $ 99 per maand | 100.000 evaluaties (Pro) | Puzzel | gemengd |
| Turnstile | gratis | geen gepubliceerd plafond | meestal geen | VS |
| FriendlyCaptcha | € 9 per maand | 1.000 verzoeken | Puzzel | EU vanaf niveau € 200 |
| SilentShield | gratis / € 9 per maand | 500 / 5.000 verzoeken | geen | EU |
Lees de eerste kolom eerlijk: op prijs alleen wint Turnstile. Het is gratis, het heeft geen volumeplafond, en voor een kleine site zonder nalevingseis valt daar moeilijk tegenin te brengen.
Waar SilentShield de zwakkere keuze is
Elke vergelijking waarin de auteur op elke regel wint, verdient wantrouwen. Dit zijn de drie regels waarop wij dat niet doen.
Ons script is groter dan dat van Turnstile. De gedragsmodule van SilentShield weegt 43,6 KB gecomprimeerd, met lader ongeveer 47 KB. Op 4 september 2026 hebben wij in een browser gemeten wat elke aanbieder werkelijk levert: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile is daarmee de lichtste van de vier en wij staan tweede. Wij laden asynchroon na de opbouw en blokkeren niets waarop een bezoeker wacht — maar als op uw pagina om elke kilobyte wordt gevochten, is dat een echt argument tegen ons.
Wij zijn niet gratis op volume. Turnstile kost bij elk volume niets. Ons gratis plan eindigt bij 500 verzoeken per maand. Als prijs uw enige criterium is, zijn wij niet de keuze.
Wij zijn jonger. reCAPTCHA draait al ruim tien jaar en heeft aanvalspatronen gezien die wij niet hebben gezien. Dat is geen kleinigheid, en geen positionering verandert daar iets aan.
Wat u voor die € 9 krijgt, is een andere ruil: er laadt niets van een Amerikaanse aanbieder, er wordt geen cookie geplaatst, geen bezoeker hoeft iets te bewijzen, en de beoordeling blijft in de EU. Is dat u meer waard dan gratis, dan zijn wij de betere keuze. Is dat niet zo, neem dan Turnstile — dat is een verdedigbare beslissing, en dit artikel zal niet doen alsof dat niet zo is.
Compliance of conversie? U hoeft niet meer te kiezen
De meeste bedrijven zien dit als een juridische beslissing. Dat is het niet: het is een groeibeslissing. Traditionele CAPTCHA vernietigt conversieratio's, veroorzaakt wrijving en schaadt de mobiele ervaring, terwijl een AVG-vriendelijke en onzichtbare oplossing meer conversies, een betere ervaring en geen juridisch risico oplevert.
FriendlyCaptcha lost privacy op. Turnstile verbetert de ervaring een beetje. Geen van beide lost allebei volledig op. SilentShield wel: een privacy-first-architectuur, een verificatie die de bezoeker nooit ziet, en een product gebouwd voor moderne SaaS en Europese bedrijven.
Upgrade je botbescherming (zonder juridisch risico)
U hoeft niet te gokken met AVG-naleving, en u hoeft geen conversies op te offeren.
Bekijk hoe SilentShield werkt — vervang je CAPTCHA in minuten