Viele Webseiten setzen Captchas (z.B. Google reCAPTCHA, Cloudflare Turnstile) ein, um Formulare vor Spam und automatisierten Angriffen zu schützen. Datenschutzrechtlich handelt es sich dabei um eine eigenständige Verarbeitung personenbezogener Daten, die in der Regel eine Einwilligung nach DSGVO erfordert.

​Beim Aufruf einer Seite mit Captcha werden im Hintergrund Verbindungen zu den Servern des jeweiligen Anbieters aufgebaut. Dabei können insbesondere übermittelt werden:

• IP-Adresse und Zeitstempel,
• Browser- und Geräteinformationen (User-Agent, Bildschirmauflösung, Spracheinstellungen, Betriebssystem),
• Mausbewegungen und Tippverhalten zur Unterscheidung von Mensch und Bot,
• sowie ggf. bereits vorhandene Cookies des Anbieters, die mit Kontodaten verknüpft werden können.

Dies ermöglicht eine weitreichende Profilbildung und die Verknüpfung mit anderen Diensten desselben Konzerns.

​Viele Captcha-Dienste werden von Unternehmen mit Sitz in den USA bereitgestellt. Beim Laden des Captchas findet daher eine Übermittlung personenbezogener Daten in ein Drittland mit besonderen Schutzanforderungen statt, häufig verbunden mit Tracking- und Analysemechanismen, die über das für reine Spam-Abwehr Erforderliche hinausgehen. Aufsichtsbehörden stufen den Einsatz solcher Dienste daher regelmäßig als einwilligungsbedürftiges Tracking- bzw. Marketing-Tool ein und nicht als bloß „technisch notwendiges“ Seitenelement.

​Nach Art. 6 Abs. 1 DSGVO braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Ein berechtigtes Interesse an Spam-Abwehr allein reicht nicht aus, um Profilbildung, Tracking und Drittlandübermittlungen zu rechtfertigen. Fachbeiträge und Stellungnahmen kommen deshalb mehrheitlich zu dem Ergebnis, dass für den Einsatz von Diensten wie reCAPTCHA oder Turnstile in der Regel eine vorherige, informierte Einwilligung der Nutzenden erforderlich ist.

Praktikabel ist ein zweistufiges Vorgehen: Zunächst wird das Captcha blockiert und nur ein Platzhalter mit Hinweistext angezeigt. Erst nach Einwilligung in die Datenverarbeitung wird das Captcha nachgeladen und die Verbindung zum externen Anbieter aufgebaut, wie beim Kontaktformular auf der rechten Seite umgesetzt.

​