Captcha ohne Cookies: Braucht es einen Eintrag im Cookie-Banner?
Aktualisiert am · 5 Min. Lesezeit
Jeder Eintrag im Cookie-Banner ist eine Frage mehr an Ihre Besucher. Wer ein Captcha einsetzt, fragt sich deshalb: Muss es in den Banner, oder läuft es ohne Einwilligung? Die Antwort hängt davon ab, wie das Captcha arbeitet.
Die Regel: § 25 TDDDG
Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, bis 2024 TTDSG) verlangt eine Einwilligung, wenn Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden — Cookies sind nur der bekannteste Fall, auch lokaler Speicher und das Auslesen von Geräteinformationen zählen dazu.
Ausgenommen ist, was unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann. Ein Kontaktformular, das ohne Spam-Schutz mit Bot-Nachrichten geflutet würde, ist ein gutes Argument dafür, dass der Schutz dazugehört.
Diese Information ist keine Rechtsberatung — die Bewertung im Einzelfall liegt bei Ihnen und Ihrem Datenschutzbeauftragten.
Worauf es beim Captcha ankommt
Ob sich die Ausnahme „unbedingt erforderlich“ begründen lässt, hängt stark vom Captcha selbst ab:
- Setzt es Cookies? Ein Captcha, das im Normalbetrieb keine Cookies setzt, hat hier von vornherein weniger Angriffsfläche.
- Wofür werden die Daten genutzt? Dienen sie ausschließlich dem Schutz Ihres Formulars, ist die Ausnahme am besten zu begründen.
- Läuft es nur dort, wo es gebraucht wird? Ein Captcha auf dem Formular ist leichter zu begründen als eines, das jeden Seitenaufruf beobachtet.
So hält es CaptchaCore
Das CaptchaCore-Widget setzt im Normalbetrieb keine Cookies und lädt nichts von Drittanbietern. Es läuft nur auf Seiten mit geschütztem Formular. Die Verhaltenssignale werden im Browser zu Kennzahlen verdichtet; IP-Adressen speichert der Dienst gekürzt und löscht sie nach einer einstellbaren Frist (Standard: 30 Tage).
Einzige Ausnahme ist der Under-Attack-Modus bei einem laufenden Angriff: Dann setzt der Dienst ein kurzlebiges technisches Sitzungs-Cookie, damit Besucher nicht bei jedem Seitenaufruf erneut geprüft werden.
In die Datenschutzerklärung gehört CaptchaCore trotzdem — einen fertigen Textbaustein finden Sie im Datenschutz-Center.
Häufige Fragen
Muss ein Captcha in den Cookie-Banner?
Nur wenn es eine Einwilligung braucht. Ein Captcha ohne Cookies, das Daten ausschließlich zur Bot-Abwehr nutzt und nur auf Formularseiten läuft, lässt sich in der Regel als unbedingt erforderlich begründen. Das ist keine Rechtsberatung.
Setzt CaptchaCore Cookies?
Im Normalbetrieb nein. Nur im Under-Attack-Modus während eines laufenden Angriffs setzt der Dienst ein kurzlebiges technisches Sitzungs-Cookie.
Muss ich CaptchaCore in der Datenschutzerklärung nennen?
Ja. Auch ohne Cookies werden personenbezogene Daten wie die IP-Adresse verarbeitet. Einen fertigen Textbaustein gibt es im Datenschutz-Center.