reCAPTCHA rutscht fast immer durch, weil es als Sicherheitsmassnahme wahrgenommen wird und nicht als Datenverarbeitung. Es ist damit der Gegenpol zu Google Fonts: dort erstaunt, dass eine Schrift Daten überträgt, hier, dass ein Schutzmechanismus es tut. Auf 10% der 206 von mir gescannten Schweizer KMU-Websites lief es, fast nie stand es in der Erklärung.
Wie reCAPTCHA funktioniert
Die moderne Version zeigt in der Regel kein Bilderrätsel mehr. Stattdessen beobachtet sie, wie sich jemand auf deiner Seite verhält: Mausbewegungen, Tippverhalten, Scrollmuster, dazu IP-Adresse, Browserdaten und bereits vorhandene Google-Cookies. Daraus errechnet Google eine Wahrscheinlichkeit, ob es sich um einen Menschen handelt.
Das funktioniert gut, und es ist eine Verhaltensanalyse. Der Schutz vor Spam wird dadurch erkauft, dass Google Daten über deine Besucher erhält, auch über solche, die nie ein Formular abschicken, denn reCAPTCHA lädt oft auf der ganzen Seite.
Was das revDSG verlangt
Das revidierte Schweizer Datenschutzgesetz stellt die Informationspflicht ins Zentrum: Du musst nachvollziehbar sagen, welche Personendaten du bearbeitest, zu welchem Zweck und wer sie sonst noch zu sehen bekommt. Geht ein Dienst ins Ausland, kommt die Auslandbekanntgabe dazu, du musst also auch das Zielland nennen.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework wieder als Land mit angemessenem Datenschutzniveau, allerdings nur für US-Unternehmen, die sich unter diesem Rahmen zertifiziert haben. Für zertifizierte Dienste braucht es keine zusätzlichen Garantien mehr, für nicht zertifizierte weiterhin schon. Die Pflicht, transparent zu informieren, bleibt in beiden Fällen bestehen. Genau die wird am häufigsten übersehen.
Was in deine Erklärung gehört
- Google reCAPTCHA namentlich, mit Anbieter
- Der Zweck: Unterscheidung zwischen Mensch und automatisiertem Zugriff, Schutz vor Missbrauch
- Die Datenkategorien: IP-Adresse, Browser- und Geräteinformationen, Verhaltensdaten
- Die Auslandbekanntgabe in die USA
Alternativen, falls du es loswerden willst
Es gibt Spam-Schutz, der ohne Übermittlung an Google auskommt: hCaptcha mit entsprechender Konfiguration, Friendly Captcha aus dem deutschsprachigen Raum, oder schlicht ein Honeypot-Feld, das für Menschen unsichtbar ist und von Bots ausgefüllt wird. Für ein Kontaktformular mit überschaubarem Spam-Aufkommen reicht Letzteres oft völlig.
Das ist kein Muss. Aber es ist der gleiche Gedanke wie bei Google Fonts: Der einfachste Weg, einen Dienst korrekt zu deklarieren, ist manchmal, ihn nicht mehr zu brauchen.