hCaptcha und Datenschutz: US-Anbieter, kein Cookie-Banner – aber trotzdem Pflichten
hCaptcha schützt Formulare vor Spam und Bots – und das, ohne Cookies zu setzen, die eine Zustimmung brauchen. Klingt gut. Trotzdem bringt der Dienst Datenschutzpflichten mit, die du nicht ignorieren kannst: Der Anbieter sitzt in den USA, verarbeitet Daten deiner Website-Besucher und erwartet einen Vertrag. Was das für deine Website bedeutet, erfährst du hier.
Überblick
Was ist hCaptcha?
hCaptcha ist ein Sicherheitsdienst, der erkennt, ob jemand ein Mensch oder ein Bot ist – zum Beispiel beim Absenden eines Kontaktformulars. Der Dienst wird von Intuition Machines, Inc. aus den USA betrieben und ist als datenschutzfreundlichere Alternative zu Google reCAPTCHA bekannt. Viele WordPress-Plugins unterstützen hCaptcha direkt als Formularschutz.
| hCaptcha – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | hCaptcha setzt keine zustimmungspflichtigen Cookies. |
| Externe Verbindungen | 🔴 | Skript und Anfragen gehen direkt an hcaptcha.com-Server. |
| Datenschutzerklärung | 🔴 | Eintrag erforderlich – hCaptcha verarbeitet Besucherdaten. |
| Drittlandtransfer | 🔴 | Datenübertragung in die USA, Anbieter ist US-Unternehmen. |
| Auftragsverarbeitung | 🔴 | Vertrag mit Intuition Machines, Inc. erforderlich. |
| Benutzereingaben | 🟢 | hCaptcha verarbeitet keine Formulardaten. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Welche Daten erfasst hCaptcha von meinen Website-Besuchern?
Sobald ein Besucher eine Seite mit einem hCaptcha-Formular aufruft, baut sein Browser automatisch eine Verbindung zu den Servern von hCaptcha auf – noch bevor jemand das Formular ausfüllt oder abschickt. In diesem Moment fließen Daten: die IP-Adresse des Besuchers, Informationen über den Browser und das Gerät, die Dauer des Besuchs auf der Seite sowie Bewegungen der Maus. hCaptcha wertet diese Daten aus, um zu entscheiden, ob es sich um einen Menschen oder einen Bot handelt.
Der Anbieter Intuition Machines, Inc. verarbeitet diese Daten in seiner Eigenschaft als Dienstleister für dich – du bist rechtlich gesehen der Auftraggeber. Das bedeutet: Du bist dafür verantwortlich, dass diese Datenverarbeitung nach den Regeln läuft. hCaptcha speichert die Daten nach eigener Aussage nicht dauerhaft und gibt sie nicht weiter. Trotzdem landen die Daten auf Servern in den USA, weil der Anbieter dort sitzt.
Cookies
Setzt hCaptcha Cookies, die ich im Cookie-Banner blockieren muss?
hCaptcha setzt keine Cookies, die einer Zustimmung im Cookie-Banner bedürfen. Der Dienst arbeitet ohne Tracking- oder Marketing-Cookies. Falls technisch notwendige Cookies entstehen – etwa für den Ablauf der Sicherheitsprüfung selbst – fallen diese nicht unter die Zustimmungspflicht. Einen Cookie-Banner für hCaptcha brauchst du daher nicht einzurichten.
Externe Verbindungen
Baut hCaptcha Verbindungen zu externen Servern auf?
Ja. Sobald ein Besucher eine Seite mit hCaptcha aufruft, lädt sein Browser ein Skript von hcaptcha.com. Gleichzeitig entstehen Anfragen an newassets.hcaptcha.com, .w.hcaptcha.com und api.hcaptcha.com. Das passiert automatisch – ohne dass der Besucher etwas anklicken oder eingeben muss.
Diese Verbindung ist kein technisch notwendiger Bestandteil deiner Website selbst: Deine Seite lädt auch ohne hCaptcha, nur der Formularschutz fehlt dann. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt – oder du nutzt hCaptcha ausschließlich auf Unterseiten, die erst nach einer aktiven Aktion des Besuchers aufgerufen werden.
In jedem Fall muss hCaptcha in deiner Datenschutzerklärung stehen.
Benutzereingaben
Verarbeitet hCaptcha Daten, die Besucher in Formulare eingeben?
hCaptcha verarbeitet keine Formulardaten. Der Dienst analysiert ausschließlich Verhaltenssignale des Browsers beim Seitenaufruf – wie Mausbewegungen oder die Dauer auf der Seite. Was jemand in ein Kontaktformular einträgt, Name, E-Mail oder Nachricht, geht nicht an hCaptcha.
Drittlandtransfer
Werden Daten meiner Besucher in die USA übertragen?
hCaptcha überträgt Besucherdaten in die USA. Der Anbieter Intuition Machines, Inc. hat seinen Sitz in Delaware und betreibt seine Rechenzentren unter anderem dort.
hCaptcha hat sich dem EU-US-Datenschutzabkommen angeschlossen, das die EU-Kommission 2023 als ausreichend anerkannt hat – damit ist die Datenübertragung in die USA derzeit auf einer gültigen Rechtsgrundlage möglich. Dieses Abkommen könnte allerdings durch künftige Gerichtsentscheidungen wieder kippen, wie es bei früheren Abkommen bereits passiert ist.
In deiner Datenschutzerklärung musst du die Übertragung in die USA nennen und auf das Abkommen als Grundlage hinweisen.
Auftragsverarbeitung
Brauche ich einen Vertrag mit hCaptcha?
Intuition Machines, Inc. verarbeitet Daten deiner Website-Besucher in deinem Auftrag – dafür braucht es einen schriftlichen Vertrag, den sogenannten Auftragsverarbeitungsvertrag.
Der gute Teil: hCaptcha hat diesen Vertrag in seinen allgemeinen Nutzungsbedingungen integriert. Wenn du hCaptcha über die Standardbedingungen nutzt, gilt der Vertrag automatisch als abgeschlossen – du musst nichts separat unterschreiben oder anfordern. Die Bedingungen findest du unter hcaptcha.com/gdpr.
Datenschutzerklärung
Muss hCaptcha in meiner Datenschutzerklärung stehen?
hCaptcha muss in deiner Datenschutzerklärung stehen, weil der Dienst Daten deiner Website-Besucher verarbeitet und weitergibt. Folgende Angaben gehören in den Eintrag:
- Zweck: Schutz von Formularen vor automatisierten Bot-Eingaben
- Rechtsgrundlage: Berechtigtes Interesse des Website-Betreibers an einem sicheren Betrieb
- Empfänger: Intuition Machines, Inc., 1065 SW 8th St #704, Miami FL 33130, USA
- Drittlandtransfer: Übermittlung in die USA auf Basis des EU-US-Datenschutzabkommens (Data Privacy Framework)
- Speicherdauer: hCaptcha speichert keine personenbezogenen Daten dauerhaft
Wir nutzen hCaptcha für CAPTCHA & Bot-Schutz.
hCaptcha stellt beim Laden der Website eine Verbindung zu Servern von Intuition Machines, Inc. her, die nicht technisch notwendig ist und für die deine Einwilligung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Im Rahmen der Nutzung von hCaptcha werden Daten an Intuition Machines, Inc. übermittelt. Soweit Intuition Machines, Inc. diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu hCaptcha?
Hier siehst du, wo hCaptcha im DSGVO-Vergleich zu anderen CAPTCHA & Bot-Schutz steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder hCaptcha in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei hCaptcha in unseren DSGVO-Checks am häufigsten vor?
hCaptcha taucht bei 3 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen hCaptcha gefunden wurde.
DSGVO-Check
Wie erkenne ich, ob hCaptcha auf meiner Website aktiv ist?
hCaptcha lässt sich direkt über die Netzwerkanfragen deines Browsers erkennen. Öffne deine Website im Browser, drücke F12 (Entwicklertools), wechsle auf den Tab „Netzwerk“ und lade die Seite neu. Suche in der Liste nach Anfragen an diese Domains:
hcaptcha.comnewassets.hcaptcha.comapi.hcaptcha.com
Wenn du dort Einträge siehst, ist hCaptcha aktiv und schickt Daten an diese Server. Prüfe dann, ob deine Datenschutzerklärung einen Eintrag für hCaptcha enthält und ob dein Cookie-Banner diese Verbindungen korrekt behandelt.
Noch einfacher: Lass datenrein.de deine Website direkt scannen. Der Scan erkennt hCaptcha automatisch und zeigt dir, welche Datenschutzpflichten dadurch entstehen.
