Datenschutz für Endnutzer

Datenschutzbestimmungen für Endnutzer

Diese Datenschutzbestimmungen gelten für Endnutzer — Personen, die über die Webseiten unserer Kunden mit CaptchaCore interagieren (z.B. beim Absenden eines Kontaktformulars, bei der Registrierung oder beim Login).

Was ist CaptchaCore?

CaptchaCore ist eine datenschutzfreundliche Bot-Defense-Lösung, die Webseiten vor automatisierten Angriffen (Spam, Brute-Force, Bot-Flooding) schützt. Durch die Verwendung von Proof of Work verfolgt CaptchaCore einen datensparsamen Ansatz: ohne Bilderrätsel, ohne Cookies und ohne Tracking über Websites hinweg.

Wie funktioniert CaptchaCore?

Der Webseitenbetreiber integriert in bestimmten Bereichen seiner Webseite (z.B. bei einem Kontaktformular) einen Programmcode von CaptchaCore. Dieser führt dazu, dass Ihr Browser im Zusammenhang mit dem geschützten Bereich (z.B. beim Absenden eines Kontaktformulars) eine Verbindung zu den Servern von CaptchaCore aufbaut.

Ihr Browser erhält von CaptchaCore eine Rechenaufgabe (Proof of Work). Die Komplexität der Aufgabe hängt von verschiedenen Risikofaktoren ab. Ihr Browser löst die Rechenaufgabe automatisch im Hintergrund, wodurch gewisse Systemressourcen kurzzeitig in Anspruch genommen werden (~200ms).

Das Widget fasst die Lösung zusammen mit verdichteten Verhaltenskennzahlen, dem User-Agent und technischen Umgebungsmerkmalen in einem Token zusammen (Base64-kodiertes JSON). Für eine Vorprüfung sendet Ihr Browser dieses Token direkt an CaptchaCore. Beim Absenden des Formulars wird das Token an den Server des Webseitenbetreibers übermittelt, der es über eine Schnittstelle bei CaptchaCore abschließend prüfen lässt (Verify). Bei allen Anfragen an CaptchaCore ist technisch bedingt Ihre IP-Adresse sichtbar. CaptchaCore wertet diese Daten aus und ermittelt, wie wahrscheinlich es ist, dass es sich um einen menschlichen Nutzer oder einen Bot handelt.

Welche Daten werden verarbeitet?

• IP-Adresse: Die vollständige IP-Adresse wird für die Prüfung verarbeitet (Abgleich mit lokal gespeicherten Netz-Reputationslisten, lokale GeoIP-Auswertung, Begrenzung der Anfragen je Adresse). In der Datenbank wird sie nie im Klartext gespeichert, sondern nur gekürzt (IPv4: letztes Oktett auf 0, also /24; IPv6: letzte 80 Bit auf 0, also /48) und zusätzlich als Hash mit einem zufälligen Salt. Der Salt wechselt alle 6 Stunden und liegt nur im Cache, nicht in der Datenbank und nicht in Datensicherungen. Die Kürzung ist immer aktiv.
• User-Agent: Wird im Klartext ausgewertet. Gespeichert werden nur ein gesalzener Hash sowie die grobe Browser-, Betriebssystem- und Gerätefamilie (z. B. „Chrome“, „Windows“, „Desktop“).
• Herkunftsseite und Sitzungskennung: Werden nur als gesalzene Hashes gespeichert.
• Land und Netzbetreiber: Werden zur Prüfung lokal aus der IP-Adresse abgeleitet, derzeit aber nicht gespeichert.
• Proof-of-Work-Lösung: Einmalige kryptografische Challenge. Wird nach Prüfung sofort gelöscht (Single-Use).
• Verhaltenskennzahlen: Verdichtete Kennzahlen zu Mausbewegung (Entropie), Tipp-Verhalten (Rhythmus), Scroll-, Touch- und Fokus-Aktivität — nur Entropiewerte, Zähler und Zeiten. Sie werden lokal in Ihrem Browser berechnet; übertragen werden keine Rohdaten, keine Tastenwerte und keine Mauspfade.
• Umgebungsmerkmale: webdriver-Kennzeichen, Anzahl der Browser-Plugins und Sprachen (als Zahl, nicht als Liste), Bildschirmgröße, Vorhandensein von window.chrome, Anzahl der CPU-Kerne, Verfügbarkeit von localStorage und IndexedDB (es wird nur geprüft, nichts geschrieben), Hover-Fähigkeit, ob die Grafik per Software gerendert wird (nicht das GPU-Modell), Anzahl der WebGL-Erweiterungen, Renderzeit eines Canvas-Tests, Gleichmäßigkeit der Bildwiederholung, Namen erkannter Automatisierungs-Objekte sowie eine Plausibilitätsprüfung der Client Hints. Diese Merkmale dienen nur als Kennzahlen zur Erkennung automatisierter Umgebungen (z. B. Headless-Browser) und werden nicht gespeichert.

Welche Daten werden NICHT verarbeitet?

• Keine HTTP-Cookies — auch nicht im Under-Attack-Mode
• Keine Zeitzone, kein Audio-Fingerprint (AudioContext), kein GPU-Modell, keine Plattformangabe, keine Arbeitsspeichergröße
• Kein geräteübergreifendes Wiedererkennungs-Fingerprinting
• Keine Formulardaten (Name, E-Mail, Nachricht, Passwort etc.)
• Keine Mauspfade, Tastenwerte oder Scroll-Positionen als Rohdaten
• Kein Tracking über Seiten oder Domains hinweg
• Keine Datenspeicherung im Browser (kein localStorage, kein sessionStorage, keine IndexedDB); Anfragen des Widgets an CaptchaCore werden ohne Cookies und Anmeldedaten gesendet
• Keine Weitergabe an Dritte zu eigenen Zwecken. Einziger Unterauftragsverarbeiter für Besucherdaten ist Bunny.net (BunnyWay d.o.o., Slowenien) für die Auslieferung der Widget-Datei; die Verifikation selbst läuft ausschließlich auf unseren Servern in Deutschland, ohne Übermittlung in Drittländer
• Keine Nutzung der Daten für Marketing, Profiling oder Werbezwecke

Grundlegende Datenschutzprinzipien

• Alle Daten werden ausschließlich zur Erkennung und Behandlung von potenziellen Bots und Risiken verwendet. Zweck der Verarbeitung ist die Sicherstellung der Sicherheit und Funktionsfähigkeit von Webseiten.
• CaptchaCore nutzt die Daten nicht zur Identifikation einer natürlichen Person oder zu Marketing-Zwecken.
• IP-Adressen werden nie vollständig gespeichert: nur gekürzt und als Hash mit einem Salt, der alle 6 Stunden wechselt. User-Agents werden nur als gesalzener Hash und als grobe Browser-, Betriebssystem- und Gerätefamilie gespeichert.
• CaptchaCore nutzt keine HTTP-Cookies und speichert keine Daten im Browser.

Speicherdauer

CaptchaCore verwendet getrennte Speichersysteme mit unterschiedlichen Aufbewahrungsfristen:

• Verifikations-Logs: Gekürzte IP, IP-Hash, User-Agent-Hash sowie die Hashes von Herkunftsseite und Sitzung werden nach 30 Tagen geleert. Die übrigen Angaben ohne Personenbezug (Ergebnis, Risikowert, Gerätetyp, Browser, Betriebssystem, Formulartyp) bleiben für die Statistik des Webseitenbetreibers je nach gebuchtem Paket 7 bis 365 Tage erhalten und werden dann gelöscht. Diese Fristen gelten plattformweit; Webseitenbetreiber stellen sie nicht selbst ein.
• Sicherheitslogs (IP nur als Hash, Risikowert, Entscheidung): 7 Tage.
• Gelernte Angriffsmuster (gekürzte IP-Adressen, die wiederholt blockiert wurden, sowie auffällige Browser-Kennungen): spätestens 30 Tage nach der letzten Auffälligkeit.
• Von Hand bestätigte Einträge der Prüfwarteschlange (gekürzte IP-Adressen): 90 Tage.
• Datenbanksicherungen: 14 Tage, lokal auf unseren Servern, nur für den Betrieb zugänglich.
• Webserver-Protokolle: enthalten nur die gekürzte IP-Adresse und werden nach 14 Tagen gelöscht.
• Angriffskampagnen (zusammengefasste Merkmale einer Angriffswelle: Netzbetreiber/ASN, Länder, Browser-Typen, Anzahl der Anfragen — ohne IP-Adressen): 90 Tage.
• IP-Reputationsdaten (externe Listen): maximal 2 Tage, tägliche Aktualisierung.

Die Löschung erfolgt automatisch und unwiderruflich durch tägliche Retention-Prozesse.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage des berechtigten Interesses des Webseitenbetreibers an der Abwehr von Bot-Angriffen und Spam (Art. 6 Abs. 1 lit. f DSGVO). CaptchaCore setzt im Normalbetrieb keine Cookies und führt kein Tracking durch. Ob für die Website insgesamt eine Einwilligung erforderlich ist, beurteilt der Webseitenbetreiber; eine rechtliche Einschätzung geben wir nicht ab.

Verantwortlichkeiten

• Datenverantwortlicher: Der Webseitenbetreiber (Service-Nutzer), der CaptchaCore in seine Webseite integriert hat. Dieser ist für die Einhaltung der Datenschutzpflichten für seine Webseite verantwortlich.
• Auftragsverarbeiter: SpeedIT Solutions UG (haftungsbeschränkt), Asphalweg 26, 30916 Isernhagen, Deutschland
• Datenschutzbeauftragter: heyData GmbH, Schützenstraße 5, 10117 Berlin, datenschutz@heydata.eu

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Da CaptchaCore IP-Adressen nur gekürzt und als Hash mit wechselndem Salt speichert, können wir gespeicherte Einträge in der Regel keiner Person zuordnen. Anfragen richten Sie am besten an den Betreiber der Website, auf der Sie das Formular genutzt haben.

Beschwerden können an die zuständige Datenschutz-Aufsichtsbehörde gerichtet werden. Für CaptchaCore ist dies die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

Kontakt

E-Mail: datenschutz@captchacore.eu
Gültig ab: April 2026