hCaptcha & DSGVO: die reCAPTCHA-Alternative datenschutzbewusst einsetzen
hCaptcha ist eine verbreitete Alternative zu Google reCAPTCHA und stammt vom US-Unternehmen Intuition Machines. Der Dienst positioniert sich mit Privacy-Fokus und bietet einen konfigurierbaren Datenschutz-Modus. Technisch bleibt es eine externe Einbindung: Beim Laden werden Daten wie die IP-Adresse an den Anbieter übertragen.
Das Risiko
- Auch datensparsame Captchas laden extern und übertragen technische Daten wie die IP-Adresse.
- Intuition Machines ist ein US-Anbieter — je nach Konfiguration kann eine Übertragung in ein Drittland stattfinden.
- Wie datensparsam hCaptcha tatsächlich arbeitet, hängt von der gewählten Konfiguration ab — genannt werden sollte der Dienst in der Datenschutzerklärung in jedem Fall.
Wie konfora das erkennt
konfora erkennt hCaptcha an seinen Lade-Requests und ordnet es der Kategorie Bot-Schutz / Captcha zu. Erkannt werden:
- hcaptcha.com
- newassets.hcaptcha.com
Was im Report steht
- Ein Befund „hCaptcha“ mit standardmäßiger Severity Hinweis.
- Belege: die kontaktierten Hosts, Beispiel-Request-URLs, die Anzahl passender Requests und das Vendor-Land (US).
- Ein Soll-Ist-Hinweis, falls hCaptcha technisch erkannt, aber in der Datenschutzerklärung nicht genannt ist.
Typische Maßnahmen
- Binde hCaptcha nur auf den Seiten ein, auf denen es gebraucht wird — etwa an Formularen.
- Nenne hCaptcha und den Anbieter Intuition Machines in deiner Datenschutzerklärung.
- Prüfe den konfigurierten Datenschutz-Modus und kläre AVV und Datenflüsse mit DSB oder Kanzlei.
Grenzen der automatischen Prüfung
Der Check macht technische Hinweise sichtbar und hilft beim Priorisieren. Er ist kein Rechtsgutachten, keine Vollständigkeitsgarantie und ersetzt keine fachkundige Prüfung durch eine Datenschutzbeauftragte oder eine Kanzlei.
- konfora erkennt das Laden von hCaptcha, nicht die konkrete Konfiguration (z. B. Privacy-Modus oder Schwierigkeitsgrad).
- Ob eine Einwilligung nötig ist, bleibt eine rechtliche Einzelfallfrage.
konfora prüft als einen von 16 Bereichen automatisiert, welche Dienste deine Seite lädt, und macht solche Funde im Report sichtbar — als technische Bestandsaufnahme mit konkreter Aufgabenliste, nicht als Rechtsgutachten.
Den schnellen, kostenlosen ersten Eindruck bekommst du im Schnellcheck. Der Report als PDF liegt bei 14,99 € (Einmalkauf, kein Abo); den Zugang bekommst du per Magic-Link an deine E-Mail.
Dieser Beitrag liefert technische Hinweise und mögliche Risiken, keine Rechtsberatung. Für eine verbindliche Einschätzung deiner konkreten Situation wendest du dich an deine Datenschutzbeauftragte oder einen Fachanwalt.