Google reCAPTCHA und DSGVO:Was schon das Einbinden an Google sendet

Was reCAPTCHA beim Seitenaufruf tut

Wir haben reCAPTCHA v3 in unserem Prüfstand nachgestellt: frisches Chromium 153 (headless), eine Testseite ohne Banner, Mausbewegung, Scroll und ein Klick in den ersten Sekunden, zwölf Sekunden Wartezeit, jede Konfiguration dreimal gemessen. Als Befund gilt nur, was in allen drei Läufen gleich auftrat. Eingebunden wurde das Skript so, wie es die Hersteller-Dokumentation zeigt: api.js?render=SCHLÜSSEL im Kopf der Seite, mit einem echten v3-Testschlüssel (für die Domain localhost registriert, ohne Seitenverkehr). Die Einwilligung ist simuliert, einen echten Cookie-Banner gab es nicht.

Die Anfragen gehen an drei Google-Hosts: www.google.com (Skript, Rahmen, Worker, POSTs), www.gstatic.com (Skript, Stylesheet, Bilder) und fonts.gstatic.com (Schrift). Jede dieser Verbindungen überträgt die IP-Adresse des Browsers, auch ohne execute. Das Token, das execute liefert, war rund 2,3 KB groß. Ob die Testseite unter pruefstand.localhost oder unter localhost lief, machte keinen Unterschied; Google akzeptierte beide.

Drei Beobachtungen aus dem Prüfstand

• Cookie und Datenaufrufe entstehen erst mit execute. Googles Entwicklerseite beschreibt den Cookie _GRECAPTCHA als notwendig und sagt, er werde gesetzt, wenn reCAPTCHA ausgeführt wird ("when executed"). Das deckt sich mit unserer v3-Messung: Ohne execute lag kein Cookie im Browser und es ging kein POST hinaus. Mit execute stand _GRECAPTCHA auf www.google.com mit 180 Tagen Laufzeit. Der frühere Befund "Cookie ohne execute" stammt vom v2-Testschlüssel und gilt für v3 nicht.
• Rahmen, Worker und Badge kommen schon beim Laden. Auch ohne execute holt der Browser den Rahmen /recaptcha/api2/anchor, einen Worker und eine Roboto-Schrift von fonts.gstatic.com und zeigt das Badge. Wer seine Schriften längst lokal eingebunden hat, findet diese Verbindung deshalb trotzdem im Protokoll, und der Scanner führt sie unter Google Fonts.
• Speichereinträge schon ohne execute. Im Standardlauf lagen 4 Schlüssel (rc::a und rc::c) in den Speichern der Frames, mit execute 10, darunter _grecaptcha. Wir lesen nie die Werte, nur die Schlüssel; was in den Einträgen steht, wissen wir deshalb nicht.

Wie häufig und wie oft vor der Einwilligung

Die Korpuszahlen stammen aus unseren Scans von 2.188.885 Websites, deren letzter erfolgreicher Scan ab dem 1. Oktober 2026 liegt. Der Bestand besteht zu rund neun Zehnteln aus deutschen Seiten, gemessen wurde jeweils die Startseite. Seiten mit erkanntem Cookie-Banner (1.049.885) und ohne erkanntes Banner (1.139.000) rechnen wir getrennt.

Das Banner hält reCAPTCHA meist nicht zurück

Auf Seiten mit Banner, auf denen wir das Tool überhaupt sehen, taucht es bei 86,2 % schon vor dem Klick auf. Nur bei etwa jeder siebten dieser Seiten erscheint es erst im Delta nach der Einwilligung. Bei Google Analytics 4, Matomo, Clarity und Hotjar liegt dieser Anteil in derselben Messung zwischen 33 und 60 %. Warum reCAPTCHA seltener hinter die Einwilligung gesetzt wird, haben wir nicht untersucht; naheliegend ist, dass es als technische Hilfe gilt, das ist eine Vermutung.

Seiten mit erkanntem Banner setzen reCAPTCHA häufiger ein (4,36 % gegen 2,00 %). Warum, haben wir nicht untersucht. Ohne erkanntes Banner kann nichts "nach der Einwilligung" laden; die 2,00 % sind Seiten, die das Tool ohne jede Abfrage laden. "Ohne erkanntes Banner" heißt, dass der Scanner keinen Consent-Manager findet. Ein selbst gebautes Banner kann dazugehören.

Warum wir reCAPTCHA anders zählen als Analytics

Unsere strenge Zählung führt ein Tool nur dann als Befund vor der Einwilligung, wenn seine Kategorie Analyse, Werbung, Retargeting, Sitzungsaufzeichnung oder A/B-Test ist. reCAPTCHA hat die Kategorie "Captcha" und landet im Scanner in der Liste der funktionalen Anfragen. In der strengen Zählung hat es deshalb konstruktionsbedingt null Treffer. Das ist keine Entwarnung, sondern eine bewusste Zurückhaltung: Wir behaupten nicht, dass eine Sicherheitsfunktion dasselbe ist wie ein Werbepixel. Damit die Verbreitung trotzdem sichtbar bleibt, weisen wir reCAPTCHA in der Zählweise B aus: "lädt vor der Einwilligung in irgendeiner Rolle". Das ist ein Ladebefund. Er sagt, dass die Verbindung besteht, und entscheidet nicht, ob sie im Einzelfall zulässig ist.

Cookie-Befund (anderer Scanstand, deshalb getrennt)

Die Cookie-Auswertung liegt nur für den Gesamtkorpus mit gemischten Scanstand-Daten vor (4.920.998 Websites, Scans vom 8. August bis 24. Oktober 2026). Wir mischen sie nicht mit den Zahlen oben. Auf den 161.932 Seiten dieses Korpus, auf denen reCAPTCHA vor der Einwilligung lädt, war vor dem Klick bei 86,5 % mindestens ein Cookie gesetzt. Den eigenen Cookie _GRECAPTCHA fanden wir auf 38,3 % dieser Seiten. Die übrigen Cookies stammen von anderen Diensten, am häufigsten Google-Analytics-Cookies (_ga bei 15,8 %) und __cf_bm von Cloudflare (9,9 %). Dass der eigene Cookie nur auf gut jeder dritten Seite auftaucht, passt zum v3-Prüfstand, wenn man annimmt, dass viele Seiten api.js einbinden, ohne beim Laden schon execute aufzurufen: Dann entsteht der Cookie erst später, etwa beim Absenden des Formulars. Das ist eine Vermutung, wir haben es im Korpus nicht gemessen.

Formular-Studie (eigene Messung mit anderer Basis)

In unserer Formular-Studie (88.189 deutsche Websites, August 2026, Startseite plus zwei Unterseiten) war bei 5,6 % der Websites mit Formular ein Captcha aktiv, bevor jemand etwas eingegeben hatte, und in 88 % dieser Fälle war es reCAPTCHA.

Was sich rechtlich belegen lässt

Das ist Einordnung auf Grundlage der genannten Quellen, keine Rechtsberatung. Beim Laden von reCAPTCHA geschehen zwei Dinge, die man trennen muss (so auch die Orientierungshilfe, Rn. 42): Das Skript speichert Informationen im Browser und liest sie aus. Dafür gilt § 25 TDDDG: Einwilligung, außer die Speicherung ist "unbedingt erforderlich", damit der Anbieter einen vom Nutzer "ausdrücklich gewünschten digitalen Dienst" zur Verfügung stellen kann (§ 25 Abs. 2 Nr. 2). Und es werden personenbezogene Daten verarbeitet, mindestens die IP-Adresse, die an Google geht. Dafür braucht es eine Rechtsgrundlage nach Art. 6 DSGVO und bei Google zusätzlich eine Transfergrundlage.

Was die Orientierungshilfe sagt

Die Datenschutzkonferenz nennt Captchas in ihrer Orientierungshilfe Digitale Dienste (Version 1.2, November 2024) nicht ausdrücklich. Wir haben das Dokument durchsucht, das Wort kommt nicht vor. Tragende Aussagen:

• Rn. 74: Der Basisdienst werde oft von Komponenten flankiert, die ihn sicher, schnell und stabil machen. Systeme zur "nutzerorientierten Betrugsprävention und IT-Sicherheit" dienten grundsätzlich Nutzer und Betreiber gleichermaßen und könnten dem Basisdienst zugerechnet werden. Im selben Absatz stehen Kontaktformulare, Chatboxen und Kartendienste auf der Liste der Zusatzdienste.
• Rn. 76: Nutzende "wünschen" solche Zusatzdienste erst, wenn sie diese explizit in Anspruch nehmen, etwa ein Formular ausfüllen.
• Rn. 83: "Nutzerorientierte Sicherheitscookies" sind ein Beispiel für unbedingt erforderliche Cookies, etwa gegen wiederholt fehlgeschlagene Anmeldeversuche. Eine "pauschale Klassifizierung als Sicherheitscookie" genüge nicht, und die Ausnahme gelte nicht für Cookies, die der Sicherheit von Websites oder Diensten Dritter dienen, die der Nutzer nicht ausdrücklich angefordert hat. Die Randnummer spricht von Cookies, nicht von Captchas.
• Rn. 42 und 43: Speichern und Auslesen sind von der anschließenden Verarbeitung getrennt zu betrachten; eine Einwilligung verlangt aktives Handeln, mit dem Nutzende ausdrücklich einverstanden sind.

Unsere Einordnung (nicht Wortlaut der Behörde): Rn. 74 und 76 sprechen dafür, dass es auf den Einzelfall ankommt: Ein Captcha an einem Formular, das die Besucherin gerade ausfüllt, ist näher an der Ausnahme als eines, das auf jeder Seite beim Aufruf lädt. Dass der Prüfstand beim Nachladen erst bei Interaktion keine Verbindung hatte, zeigt, dass der spätere Ladezeitpunkt technisch möglich ist. Ob das die Ausnahme trägt, ist offen. Eine Entscheidung von Behörden oder Gerichten zu dieser Frage kennen wir nicht.

Was Google selbst sagt, und was sich 2026 geändert hat

Googles Entwicklerseite nennt den Cookie _GRECAPTCHA "necessary" und sagt, er werde "when executed" für die Risikoanalyse gesetzt. Das ist die Selbstauskunft des Anbieters und bindet weder Behörden noch Gerichte. Die Seite ist als veraltet gekennzeichnet und verweist auf die Dokumentation von Google Cloud (Google Cloud Fraud Defense), die dieselbe Formulierung für dieses Produkt enthält. Ob sie jede reCAPTCHA-Einbindung abdeckt, die Sie vorfinden, haben wir nicht geklärt.

Zur Rollenverteilung: Ein Produktmanager von Google schrieb am 26. Januar 2026 im Google-Cloud-Security-Forum, reCAPTCHA wechsle zum 2. April 2026 vom Controller- zum Processor-Angebot. Kunden würden zu Verantwortlichen, Google verarbeite die Daten nach Weisung. Googles Cloud-FAQ nennt die Kunden ab dem 2. April 2026 "sole controller" der Kundendaten, die Verarbeitung laufe über die Google Cloud Terms of Service und das Cloud Data Processing Addendum. Das sind Herstellerangaben; den alten und den neuen Vertragswortlaut haben wir nicht gegeneinander gelegt. Nach Darstellung der Kanzlei Scheja & Partners (16. April 2026) löst der Vertrag die Kernprobleme nicht, weil Google nicht offenlege, welche Daten der Cookie verarbeitet; das ist eine Kanzleimeinung und keine Behördenposition, von uns nicht unabhängig geprüft. In der gemeinsamen Quelle von VVT, DSE und Scan-Timeline führen wir reCAPTCHA als Drittlandtransfer in die USA mit Data Privacy Framework und Standardvertragsklauseln (Stufe "mit Garantien"). Das ist eine interne Einstufung und sagt nicht, dass die Grundlage trägt.

Alternativen und Nachladen: was belegt ist

Gemessen haben wir nur reCAPTCHA selbst. Beim Nachladen erst auf Klick auf ein Formularfeld (Skript wird per Script-Tag erst beim ersten Fokus eingefügt) gab es in allen drei Läufen vor dem Klick null Anfragen, null Cookies, null Speichereinträge; nach dem simulierten Klick folgte das Bild der Konfiguration mit execute. Ein Klick in ein Feld ist keine Einwilligung: Art. 4 Nr. 11 DSGVO verlangt eine "unmissverständlich abgegebene Willensbekundung", die Orientierungshilfe (Rn. 43) aktives Handeln. Nachladen senkt die Zahl der Verbindungen vor der Nutzung, ersetzt aber keine Rechtsgrundlage. Wer Besucher ohne Zustimmung zu Google ausschließt, riskiert Zweifel an der Freiwilligkeit (Art. 7 Abs. 4, Erwägungsgrund 42 DSGVO).

Die Angaben der Anbieter alternativer Captchas, mit Abrufstand 29. Oktober 2026. Wir haben diese Dienste im Prüfstand nicht gemessen; ein externer Anbieter bedeutet weiterhin eine Verbindung beim Seitenaufruf.

Wo reCAPTCHA in Complianty auftaucht

Der Scanner führt reCAPTCHA als Dienst mit der Kategorie Captcha und weist es in der Liste der funktionalen Anfragen aus, nicht als Tracking-Befund. Zusätzlich prüft der Formular-Check Captchas an Formularen (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha) und bewertet, ob der Dienst schon vor einer Einwilligung aktiv war. Ist er einwilligungsgesteuert nachgeladen, gilt die Prüfung als bestanden. Der zugehörige Befund heißt "Captcha vor Einwilligung mit Drittlandbezug" und hat die Priorität Wichtig. Er ist ein Hinweis zur Prüfung, kein Urteil: Der Scanner sieht, ob und wann geladen wird, nicht, ob die Ausnahme in § 25 Abs. 2 Nr. 2 TDDDG im Einzelfall trägt.