Ist Google reCAPTCHA im Jahr 2026 GDPR-konform?

Wenn Sie eine Website in Europa betreiben, ist das reCAPTCHA-Update von Google am 2. April 2026 von Bedeutung. Auf den ersten Blick klingt die Änderung beruhigend: Google sagt, dass reCAPTCHA-Kunden die alleinigen Datenverantwortlichen für die Kundendaten werden, während Google als Datenverarbeiter gemäß den Google Cloud-Bedingungen und dem Cloud-Datenverarbeitungszusatz fungiert. Google sagt auch, dass die Kunden ab diesem Datum die Verweise auf die Datenschutzbestimmungen und Nutzungsbedingungen von Google aus dem reCAPTCHA-Badge und von ihren Websites entfernen sollten.

Das bedeutet jedoch nicht, dass jedes reCAPTCHA-Setup automatisch über Nacht GDPR-konform wird. In der Praxis stellt sich für Website-Betreiber nicht die Frage, ob Google reCAPTCHA abstrakt “repariert” hat. Die eigentliche Frage ist, ob Ihr spezifischer Einsatz rechtlich und betrieblich vertretbar ist.

Diese Unterscheidung ist wichtig, da reCAPTCHA häufig risikoreiche Arbeitsabläufe wie Anmeldeseiten, Registrierungen, Passwortrücksetzungen, Kontaktformulare und Kaufabwicklungsschritte schützt. Google beschreibt reCAPTCHA als ein Werkzeug für Sicherheit, Betrugs- und Missbrauchsprävention, einschließlich Schutz vor Spam, gefälschter Kontoerstellung, Ausfüllen von Anmeldeinformationen und ähnlichen Formen des automatisierten Missbrauchs. Wenn Sie es also entfernen, ohne es durch einen geeigneten Ersatz zu ersetzen, erhöhen Sie möglicherweise die Anfälligkeit für automatisierte Angriffe. Wenn Sie sie hingegen beibehalten, ohne die Aspekte Datenschutz, Übertragung, Cookies und Governance zu prüfen, erhöhen Sie möglicherweise die rechtlichen und Compliance-Risiken.

---

---

Google reCAPTCHA GDPR-Konformität im Jahr 2026: die kurze Antwort

Die kurze Antwort ist einfach: reCAPTCHA ist unter der GDPR im Jahr 2026 einfacher zu strukturieren als zuvor, aber es ist immer noch nicht automatisch standardmäßig GDPR-konform.

Die entscheidende Nuance ist folgende: Website-Betreiber werden nicht zum ersten Mal im Jahr 2026 zu für die Verarbeitung Verantwortlichen. Nach Angaben von Google waren die Kunden schon bisher für die Verarbeitung ihrer Endnutzerdaten verantwortlich. Was sich ändert, ist, dass Google sich nicht mehr als zusätzlicher unabhängiger für die Verarbeitung Verantwortlicher für reCAPTCHA-Kundendaten positioniert. Stattdessen sagt Google, dass es diese Daten innerhalb des vertraglichen Rahmens der Google Cloud verarbeiten wird.

Dadurch wird die rechtliche Struktur verbessert. Die Verantwortung des Website-Betreibers bleibt jedoch bestehen. Die Betreiber müssen nach wie vor eine Rechtsgrundlage ermitteln, die Verarbeitung klar erläutern, internationale Übermittlungen prüfen, die Auswirkungen von Cookies oder der elektronischen Datenverarbeitung bewerten und sicherstellen, dass die Umsetzung in einem angemessenen Verhältnis zu dem behandelten Risiko steht.

---

Was genau ändert sich am 2. April 2026?

Die Gesetzesänderung ist eindeutig, aber viele Teams werden sie überlesen, wenn sie nicht aufpassen.

Ab dem 2. April 2026 wird reCAPTCHA laut Google unter die Google-Cloud-Bedingungen fallen und Google wird Kundendaten als Auftragsverarbeiter und nicht mehr als separater Verantwortlicher für diese Daten verarbeiten. Gleichzeitig sagt Google, dass Kunden Verweise auf Googles Datenschutzbestimmungen und Nutzungsbedingungen von der Plakette und von ihren eigenen Websites entfernen sollten, da diese Verweise die rechtlichen Rollen nicht mehr korrekt wiedergeben. Google weist außerdem darauf hin, dass die Umstellung von einem für die Verarbeitung Verantwortlichen auf einen Prozessor keine unmittelbaren Codeänderungen erfordert.

Die Änderung im Jahr 2026 ist jedoch auch mit praktischer Arbeit verbunden. In der Migrationsdokumentation von Google heißt es, dass reCAPTCHA Enterprise eine kostenlose Stufe von 10.000 monatlichen Bewertungen umfasst. Ab diesem Schwellenwert wird die Rechnungsstellung relevant. Wenn Kunden nach der automatischen Migration die kostenlosen monatlichen Bewertungen überschreiten und die Abrechnung nicht aktivieren, gibt reCAPTCHA bei neuen Anfragen einen Fehler zurück. Google dokumentiert auch das Fail-Open-Verhalten für einige SiteVerify-Anforderungspfade nach Überschreitung der Quote, bei denen Antworten success:true mit einer Punktzahl von 0,9 plus einer Fehlermeldung zurückgeben können.

Auch wenn die rechtlichen Änderungen keine unmittelbaren Änderungen des Frontend-Codes erzwingen, müssen sie dennoch von den Rechts-, Datenschutz- und Betriebsteams geprüft werden. Mit anderen Worten, es handelt sich nicht nur um eine rechtliche Aktualisierung. Es ist auch eine Frage der Migration, des Eigentums und der Governance.

---

Warum die Änderung 2026 für Unternehmen wichtig ist

Die wichtigste Änderung ist die Rechenschaftspflicht.

Vor 2026 betrachteten viele Teams reCAPTCHA teilweise als “Googles Compliance-Problem”. Jetzt wird dieses Argument viel schwächer. Google sagt ausdrücklich, dass die Kunden schon immer die für die Verarbeitung ihrer Endnutzerdaten Verantwortlichen waren und dass ab dem 2. April 2026 der Kunde der einzige für die Verarbeitung der Kundendaten Verantwortliche sein wird, während Google diese Daten im Rahmen der Cloud verarbeitet. Daher ist der Website-Betreiber nun deutlicher für die Einhaltung der Vorschriften verantwortlich: Rechtsgrundlage, Transparenz, Vertragsgestaltung, Bewertung der Übermittlung und Verhältnismäßigkeit liegen nun eindeutig bei dem für die Verarbeitung Verantwortlichen.

Es gibt auch einen Aspekt der Geschäftskontinuität. reCAPTCHA schützt häufig zentrale Umsatz- und Kontobewegungen wie Anmeldung, Checkout, Lead-Generierung und Passwortwiederherstellung. Wenn diese Abläufe von migrierten Schlüsseln, Projektbesitz, Kontingentgrenzen oder Abrechnungseinstellungen abhängen, werden Datenschutz und Betriebszeit miteinander verknüpft. In der Migrations- und Abrechnungsdokumentation von Google wird diese betriebliche Abhängigkeit deutlich gemacht.

---

Ist reCAPTCHA damit automatisch GDPR-konform?

Nicht automatisch. Der 2026-Prozessorwechsel löst ein wichtiges strukturelles Problem. Die Einhaltung der DSGVO hängt jedoch weiterhin davon ab, wie Sie reCAPTCHA auf Ihrer Website einsetzen, dokumentieren und rechtfertigen.

Ein für die Verarbeitung Verantwortlicher muss immer noch die Rechtsgrundlage bestimmen, die Verarbeitung in der Datenschutzerklärung erläutern, beurteilen, ob ein internationaler Übermittlungsmechanismus verwendet wird, und prüfen, ob lokale Cookie- oder ePrivacy-Vorschriften ausgelöst werden. Google empfiehlt seinen Kunden ausdrücklich, ihre für die Endnutzer bestimmten Datenschutzerklärungen zu überprüfen, damit sie den Zweck der von reCAPTCHA durchgeführten Verarbeitung genau beschreiben. Google bestätigt auch, dass das Cookie _grecaptcha nach dem Rollenwechsel bestehen bleibt.

Diese Unterscheidung ist wichtig. GDPR-Analyse und ePrivacy-Analyse tun nicht die gleiche Frage beantworten. Selbst wenn ein Unternehmen der Ansicht ist, dass berechtigte Interessen die Sicherheit oder die Verhinderung von Missbrauch gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO unterstützen können, ist damit nicht automatisch geklärt, ob Cookies oder ein ähnlicher Gerätezugriff nach den nationalen Datenschutzvorschriften für elektronische Kommunikation gesondert geprüft werden müssen. Darüber hinaus sollten die für die Verarbeitung Verantwortlichen prüfen, ob sie das gleiche Ziel mit weniger einschneidenden Mitteln erreichen können.

Ja, die Änderung von 2026 verbessert den vertraglichen Rahmen. Aber nein, sie ersetzt nicht die Rechenschaftspflicht des Betreibers.

---

Was bleibt noch in der Verantwortung des Website-Betreibers?

Auch nach dem 2. April 2026 bleibt der Website-Betreiber für die Einhaltung der Vorschriften rund um reCAPTCHA verantwortlich.

In der Praxis bedeutet das in der Regel fünf Kernaufgaben:

• Definieren und dokumentieren Sie die rechtmäßige Grundlage
• Aktualisierung des Datenschutzhinweises
• Sicherstellen, dass die Google Cloud-Vertragseinstellungen aktuell sind
• Bewertung internationaler Überweisungen
• Überprüfung, ob Cookie- oder ePrivacy-Regeln ausgelöst werden

Googles FAQ weist die Kunden auf ihre eigenen Datenschutzhinweise hin und bestätigt, dass die Cookie-Schicht auch nach dem Rollenwechsel bestehen bleibt.

Dieser Punkt ist für Organisationen, die sich auf berechtigte Interessen berufen, noch wichtiger. Die EDPB-Leitlinien 1/2024 über berechtigte Interessen besagen, dass drei kumulative Bedingungen erfüllt sein müssen: Der für die Verarbeitung Verantwortliche muss ein berechtigtes Interesse verfolgen, die Verarbeitung muss für diesen Zweck erforderlich sein, und die Rechte und Freiheiten der betroffenen Person dürfen dieses Interesse nicht überwiegen. Der Leitfaden besagt auch, dass die für die Verarbeitung Verantwortlichen prüfen sollten, ob mit weniger restriktiven Mitteln das gleiche Ergebnis ebenso wirksam erreicht werden kann.

Für den Bot-Schutz bedeutet das, dass “Sicherheit” allein oft zu vage ist. Die Betreiber sollten erklären, mit welcher konkreten Bedrohung sie konfrontiert sind, warum reCAPTCHA für diesen Arbeitsablauf notwendig ist, warum der Umfang der Implementierung verhältnismäßig ist und welche Schutzmaßnahmen sie anwenden.

---

Unterscheidet sich die Antwort für reCAPTCHA v2, v3 und Enterprise?

Ja, und diese Unterscheidung ist wichtig.

Google dokumentiert verschiedene Website-Konfigurationen, darunter Score-basierte Schlüssel, Checkbox-Schlüssel und richtlinienbasierte Challenge-Schlüssel. Score-basierte Schlüssel arbeiten im Hintergrund ohne sichtbare Herausforderung, während Checkbox- und Challenge-basierte Implementierungen expliziter sind. Google gibt außerdem an, dass Score- und Challenge-basierte Website-Schlüssel Interaktionsdaten zur Unterstützung der Risikoanalyse verwenden.

Dieser technische Unterschied ist für die GDPR-Analyse von Bedeutung. Google sagt, dass Score-basierte Schlüssel am besten funktionieren, wenn sie einen Kontext über Interaktionen auf der Website haben, und empfiehlt, sie auf Formularen, Aktionen und im Hintergrund aller Webseiten zu platzieren. Je breiter der Einsatz ist, desto stärker stellen sich die Fragen nach Notwendigkeit, Verhältnismäßigkeit und Datenminimierung. Dies ist keine rechtliche Schlussfolgerung, die Google direkt äußert, sondern vielmehr die praktische Schlussfolgerung aus der Einhaltung der Vorschriften, wenn Googles Richtlinien zur Instrumentierung durch die Brille der Notwendigkeit, Verhältnismäßigkeit und Datenminimierung betrachtet werden.

Die Antwort auf die Einhaltung der Vorschriften ist also nicht für jede reCAPTCHA-Einrichtung identisch. Sie hängt von der Version, dem Umfang, dem Zweck und dem Implementierungsmuster ab.

---

Welche rechtlichen und operativen Risiken bestehen noch?

Auch nach der Änderung im Jahr 2026 bleiben drei Risikobereiche besonders relevant:

• Risiko auf gesetzlicher Grundlage: In einigen Fällen kann ein berechtigtes Interesse vorliegen, allerdings nur, wenn die Bewertung ordnungsgemäß dokumentiert ist und der Einsatz wirklich notwendig und verhältnismäßig ist.
• Risiko des internationalen Transfers: Das Bild des Transfers ist stabiler als unmittelbar nach Schrems II, aber die Akteure brauchen weiterhin eine dokumentierte und kohärente Position.
• Risiko der operationellen Abhängigkeit: Migrationsprobleme, erschöpfte Kontingente, Eigentumslücken oder eine falsche Abrechnungskonfiguration können sich direkt auf die Produktionsströme auswirken.

Kurz gesagt, die Verlagerung des Prozessors beseitigt ein wichtiges strukturelles Problem. Sie beseitigt nicht den Rest der Konformitäts- und Betriebsdatei.

---

Was ist mit internationalen Datenübertragungen?

Das Bild des internationalen Transfers im Jahr 2026 ist stabiler als unmittelbar nach Schrems II. Es ist aber immer noch relevant.

Der Bericht der Europäischen Kommission Leitlinien für die Datenübermittlung zwischen der EU und den USA erklärt, dass auf der Grundlage des am 10. Juli 2023 angenommenen Angemessenheitsbeschlusses personenbezogene Daten aus der EU an US-Unternehmen fließen können, die am Data Privacy Framework teilnehmen. Google erklärt außerdem, dass Google LLC die Einhaltung der Datenschutzgrundsätze zertifiziert hat.

Das verbessert die Transferposition erheblich. Die Notwendigkeit von Transparenz, Rechenschaftspflicht und implementierungsspezifischer Überprüfung wird dadurch jedoch nicht aufgehoben. Die für die Verarbeitung Verantwortlichen müssen nach wie vor die von ihnen verwendeten Verfahren dokumentieren und in ihrer Compliance-Akte schlüssig erläutern.

---

Was Website-Betreiber jetzt tun sollten

Beginnen Sie mit einer Bestandsaufnahme. Dann gehen Sie Schritt für Schritt vor:

1. Identifizieren Sie jeden reCAPTCHA-Touchpoint
   Überprüfen Sie Anmeldeseiten, Registrierungsabläufe, Passwortrücksetzungen, Kontaktformulare, Lead-Formulare, Checkout, Kontowiederherstellung und jede Hintergrundbereitstellung.
2. Überprüfung des Implementierungsumfangs
   Prüfen Sie, ob reCAPTCHA auf risikoreiche Aktionen beschränkt ist oder auf der gesamten Website eingesetzt wird. Dies ist wichtig, da die auf der Punktzahl basierende Anleitung von Google den Einsatz über Formulare, Aktionen und Hintergrundaktivitäten auf der Seite unterstützt. Je breiter der Einsatz ist, desto sorgfältiger müssen Sie die Notwendigkeit und Verhältnismäßigkeit begründen.
3. Aktualisierung der Datenschutzdokumentation
   Entfernen Sie Verweise auf die Datenschutzbestimmungen und Nutzungsbedingungen von Google aus dem Badge und ggf. von den Websites der Kunden. Stellen Sie dann sicher, dass Ihr eigener Datenschutzhinweis den Zweck der Verarbeitung, die Rechtsgrundlage, die jeweiligen Empfänger oder Auftragsverarbeiter und die Übermittlungsposition erläutert.
4. Überprüfen Sie den Vertrag und die Übertragungseinstellungen
   Bestätigen Sie, dass der Dienst unter die entsprechenden Google-Cloud-Bedingungen und das Datenschutzgesetz fällt. Wenn Sie sich auf das Data Privacy Framework beziehen, überprüfen Sie, ob der entsprechende Teilnehmerstatus aktiv bleibt.
5. Migrations-, Quoten- und Abrechnungsbereitschaft prüfen
   Bestätigen Sie den Migrationsstatus, die Inhaberschaft an den Schlüsseln, die Projekteinrichtung, die Kontingentierung und die Abrechnungsbereitschaft. Selbst wenn kein neuer Code erforderlich ist, kann eine mangelhafte Cloud-Einrichtung zu Ausfallzeiten, einem verminderten Bot-Schutz oder unerwarteten Anfrageausfällen führen. In der Dokumentation von Google wird ausdrücklich darauf hingewiesen, dass die Nutzung von mehr als 10.000 monatlichen Bewertungen von der Projektkonfiguration und dem Abrechnungsstatus abhängt.

---

Sollten Unternehmen Alternativen in Betracht ziehen?

Für viele Organisationen könnte reCAPTCHA auch im Jahr 2026 noch eine praktikable Option sein. Die rechtliche Struktur ist besser als zuvor, und das Bild der Übertragung ist überschaubarer als in der unsicheren Post-Schrems-II-Zeit.

Die strategische Frage hat sich jedoch geändert. Es geht nicht mehr nur darum, ob reCAPTCHA Bots stoppen kann. Stattdessen müssen Unternehmen entscheiden, ob das gesamte Paket, wie die Analyse der Rechtsgrundlage, Transparenz-Updates, Cookie-Überprüfung, Transfer-Überprüfung, Migrationsaufsicht, Abrechnungs-Governance und Implementierungsumfang, in einem angemessenen Verhältnis zum Risiko steht und den Aufwand wert ist.

Aus diesem Grund vergleichen viele datenschutzsensible europäische Organisationen nicht nur die Erkennungsqualität, sondern auch die Datenminimierung, das Hosting-Modell, die rechtliche Komplexität und die betriebliche Kontrolle. Wenn Ihr Ziel ein starker Bot-Schutz mit weniger Aufwand für die Einhaltung von Vorschriften ist, kann es sinnvoll sein, zu prüfen, ob eine der erste europäische CAPTCHA-Anbieter für den Datenschutz wie captcha.eu besser zu Ihrem Governance-Modell passt.

---

Fazit

Google reCAPTCHA ist im Jahr 2026 in einer besseren rechtlichen Position als zuvor. Allerdings ist es immer noch nicht automatisch und standardmäßig GDPR-konform.

Die Änderung vom 2. April 2026 beseitigt ein wichtiges strukturelles Problem, indem Google im Rahmen der Google Cloud die Rolle eines Verarbeiters für reCAPTCHA-Kundendaten übernimmt. Dennoch liegt die Rechtfertigungslast weiterhin beim Website-Betreiber. Das bedeutet, dass die Rechtsgrundlage, die Offenlegung des Datenschutzes, die Analyse der Übermittlung, die Überprüfung von Cookies, die Bereitschaft zur Migration und die Kontrolle der Rechnungsstellung weiterhin ordnungsgemäß gehandhabt werden müssen.

Die strategische Frage für Organisationen lautet daher nicht mehr nur, ob reCAPTCHA Bots stoppen kann. Die wichtigere Frage ist, ob das gesamte rechtliche und operative Paket verhältnismäßig und vertretbar ist und sich der Aufwand lohnt.

---

FAQ – Häufig gestellte Fragen