Beste GDPR-vriendelijke CAPTCHA-alternatieven (EU-gids)

Als u een website in de EU beheert, verdient uw CAPTCHA een nauwkeurige blik. Vaak is het Google reCAPTCHA. Het is nog altijd de standaardkeuze voor botbescherming, en het laadt Google-scripts in uw pagina. Sinds 2 april 2026 treedt Google daarbij volgens zijn eigen FAQ op als verwerker (docs.cloud.google.com/recaptcha/docs/faq); of en hoe u reCAPTCHA mag gebruiken, blijft een kwestie van juridische beoordeling, en in de praktijk draait die beoordeling vaak om toestemming.

Kortom: reCAPTCHA hoort niet onbeoordeeld in uw pagina. Dat is van belang voor iedereen wiens formulieren de omzet dragen — SaaS-bedrijven, webshops, leadgeneratietrechters en websites van de overheid.

Waarom GDPR en CAPTCHA botsen

De AVG rust op één kernprincipe: zo min mogelijk gegevens verzamelen en de privacy van gebruikers beschermen. Veel traditionele CAPTCHA-systemen verhouden zich daar slecht toe. Ze laden scripts van derden, analyseren gedrag — muisbewegingen, kliks — en verwerken het resultaat vaak op servers buiten de EU.

Daaruit ontstaan meerdere vragen die u moet beoordelen: of er zonder toestemming een deugdelijke grondslag is, of een doorgifte buiten de EU na het Schrems II-arrest is gewaarborgd, en of de verwerking transparant wordt beschreven. Wat veel bedrijven over het hoofd zien: een botbeschermingstool hoort net als elke andere verwerker in het verwerkingsregister.

Welke regels werkelijk gelden

Drie delen van de verordening bepalen of uw CAPTCHA een probleem is — en ze gelden in deze volgorde.

Artikel 6 — is er een grondslag? Een script van derden laden dat de bezoeker profileert, is een verwerking. Gerechtvaardigd belang kan een eenvoudige spamafweer dragen, maar draagt niet meer zodra het hulpmiddel gedragsprofielen over websites heen opbouwt. Dan hebt u toestemming nodig, en die moet er zijn voordat het script laadt — precies daarop moet u letten wanneer u het inbouwt.

Artikel 28 — wie is verwerker? Uw CAPTCHA-leverancier verwerkt persoonsgegevens in uw opdracht. U hebt dus een verwerkersovereenkomst met hem nodig, en het hulpmiddel hoort in uw verwerkingsregister — net als uw mailleverancier of uw statistiektool.

Artikel 44 e.v. — waar gaan de gegevens heen? Elke doorgifte buiten de EU vereist een juridisch mechanisme, en sinds het Schrems II-arrest volstaat het mechanisme alleen niet meer: u moet daarnaast beoordelen of de surveillancewetten van het bestemmingsland het uithollen. Een groot deel van die beoordeling vervalt wanneer de aanbieder zelf in de EU gevestigd is en de gegevens daar bewaart.

Wat maakt een CAPTCHA GDPR-vriendelijk?

Voordat u een alternatief kiest, is het goed te weten wat «AVG-vriendelijk» werkelijk betekent. Vijf eisen bepalen dat:

• Zo min mogelijk persoonsgegevens, niets in leesbare vorm opgeslagen
• Gegevensopslag in de EU
• Geen trackingcookies en geen siteoverstijgende profielen
• Een rechtsgrond die u kunt documenteren
• Volledig transparante verwerking

Twee andere scheiden het louter conforme van het werkelijk goede: een onzichtbare ervaring die niets van de bezoeker vraagt, en toegankelijkheid volgens WCAG.

Uw eigen site in tien minuten controleren

Voor een eerste ronde hebt u geen advocaat nodig, maar het netwerktabblad.

• Open een formulierpagina en neem het netwerkverkeer op. Elk verzoek aan google.com/recaptcha, hcaptcha.com of een vergelijkbare host betekent dat een derde uw bezoekers ziet.
• Kijk wanneer het afgaat. Laadt het voordat de bezoeker iets heeft geaccepteerd, dan is toestemming als grondslag al verloren.
• Zoek naar cookies en opslag. _GRECAPTCHA en verwanten zijn het zichtbare deel; ook items in localStorage tellen mee.
• Lees uw eigen privacyverklaring. Staat het hulpmiddel daar niet in, dan wordt het zonder vermelding gebruikt.
• Kijk in uw verwerkingsregister. De meeste noemen statistiek en e-mail — en vergeten de botbescherming volledig.

Alles wat u hier vindt, is te verhelpen. Wat niet te verhelpen is, is het deel waar nooit iemand naar heeft gezocht.

De alternatieven — en wat ze werkelijk kosten

De gegevens hieronder komen van de officiële pagina's van de aanbieders, geraadpleegd op 4 oktober 2026. Ze veranderen; de bronnen staan er telkens bij.

FriendlyCaptcha is een privacygerichte CAPTCHA uit Duitsland die op de achtergrond controleert. Het Starter-abonnement kost € 9/maand, Advanced € 200/maand, en Enterprise is op aanvraag. Het is gratis voor niet-commerciële projecten (één domein, 1.000 verzoeken per maand) en voor open-sourceprojecten (50 domeinen, 50.000 verzoeken per maand). De verzoeklimieten van de betaalde abonnementen konden wij op de officiële prijspagina niet verifiëren — vraag ze op bij de aanbieder. Bron: friendlycaptcha.com/free-captcha/.

Cloudflare Turnstile is gratis met onbeperkte verificaties — echt gratis, geen proefperiode, en uw site hoeft niet via Cloudflare te lopen. Het gratis plan beperkt functies in plaats van volume: tot 20 widgets, 10 hostnamen per widget, zeven dagen analyse. Het laadt geen Google-script en houdt de interactie minimaal: in de beheerde modus toont het een checkbox wanneer het risico ziet, zonder afbeeldingen of tekst om te ontcijferen. De onzichtbare modus vereist een vermelding met verwijzing naar het "Turnstile Privacy Addendum". Cloudflare blijft een Amerikaans bedrijf. Bron: developers.cloudflare.com/turnstile/plans/.

Google reCAPTCHA (inmiddels onderdeel van "Google Cloud Fraud Defense") geeft u in het Essentials-niveau 10.000 beoordelingen per maand gratis; u moet wel een betaalmethode toevoegen. In het Premium-niveau kosten 10.001 tot 100.000 beoordelingen een vast bedrag van $ 8, daarna $ 1 per 1.000; Enterprise ligt daarboven. Visuele uitdagingen zijn in alle niveaus beschikbaar. Sinds 2 april 2026 treedt Google volgens zijn eigen FAQ op als verwerker. De prijs is hier niet de vraag — het gegevenspad naar Google wel. Bron: docs.cloud.google.com/recaptcha/docs/compare-tiers en /faq.

hCaptcha heeft een gratis Basic-niveau. Pro kost $ 99/maand bij jaarbetaling of $ 139 per maand, en Enterprise is op aanvraag. De passieve modus zonder zichtbare taak is alleen beschikbaar in Pro en Enterprise; in het Basic-niveau blijft een zichtbare controle. Bron: hcaptcha.com/pricing.

SilentShield is privacyvriendelijke botbescherming die standaard onzichtbaar is, met gegevensopslag op onze servers in Duitsland: in het normale geval geen interactie (alleen een korte rekenopgave wanneer het resultaat onduidelijk is), geen cookies, geen siteoverstijgende tracking, geen profielen, en een optionele Zero-PII-modus die browser- en apparaatkenmerken volledig weglaat. Het gratis plan dekt 500 verzoeken per maand op één domein; Basic kost € 9/maand voor 5.000 verzoeken, Pro € 29/maand voor 25.000 verzoeken op vijf domeinen, en Enterprise is op maat.

Snelle vergelijking

Lees de eerste kolom eerlijk: op prijs alleen wint Turnstile. Het is gratis, het heeft geen volumeplafond, en voor een kleine site zonder nalevingseis valt daar moeilijk tegenin te brengen.

Waar SilentShield de zwakkere keuze is

Elke vergelijking waarin de auteur op elke regel wint, verdient wantrouwen. Dit zijn de drie regels waarop wij dat niet doen.

Ons script is groter dan dat van Turnstile. De gedragsmodule van SilentShield weegt 45,0 KB gecomprimeerd, met lader 48,9 KB (opnieuw gemeten op 23 september 2026). Op 4 september 2026 hebben wij in een browser gemeten wat elke aanbieder werkelijk levert: Turnstile 27,5 KB, reCAPTCHA 423 KB, hCaptcha 742 KB. Turnstile is daarmee de lichtste van de vier en wij staan tweede. Wij laden asynchroon na de opbouw en blokkeren niets waarop een bezoeker wacht — maar als op uw pagina om elke kilobyte wordt gevochten, is dat een echt argument tegen ons.

Wij zijn niet gratis op volume. Turnstile kost bij elk volume niets. Ons gratis plan eindigt bij 500 verzoeken per maand. Als prijs uw enige criterium is, zijn wij niet de keuze.

Wij zijn jonger. reCAPTCHA draait al ruim tien jaar en heeft aanvalspatronen gezien die wij niet hebben gezien. Dat is geen kleinigheid, en geen positionering verandert daar iets aan.

Wat u voor die € 9 krijgt, is een andere ruil: er laadt geen Google-script, er wordt geen cookie geplaatst, de bezoeker ziet standaard geen taak — alleen een korte rekenopgave wanneer het resultaat onduidelijk is — en met het EU-endpoint loopt de verificatie rechtstreeks op onze servers in Duitsland, zonder CDN. Is dat u meer waard dan gratis, dan zijn wij de betere keuze. Is dat niet zo, neem dan Turnstile — dat is een verdedigbare beslissing, en dit artikel zal niet doen alsof dat niet zo is.

Compliance of conversie? U hoeft niet meer te kiezen

De meeste bedrijven zien dit als een juridische beslissing. Dat is het niet: het is een groeibeslissing. Traditionele CAPTCHA kost conversies, veroorzaakt wrijving en schaadt de mobiele ervaring, terwijl een privacyvriendelijke, onzichtbare oplossing die wrijving uit het formulier haalt — al doet zij de juridische beoordeling niet voor u.

SilentShield mikt op beide: geen cookies, geen siteoverstijgende tracking, geen profielen; het IP-adres wordt alleen voor de controle gebruikt en niet in leesbare vorm opgeslagen — en een controle die standaard onzichtbaar blijft en alleen bij een onduidelijk resultaat een korte rekenopgave toont. Gebouwd voor moderne SaaS en Europese bedrijven.

Upgrade uw botbescherming — privacyvriendelijk

U hoeft niet te gokken met AVG-naleving, en u hoeft geen conversies op te offeren.

Bekijk hoe SilentShield werkt — en vervang uw CAPTCHA