ALTCHA

Was ALTCHA ist und was es leistet

ALTCHA ist eine quelloffene Captcha Alternative, die von Daniel Regeci und dem Team von BAU.PLUS in der Slowakei entwickelt wird. Statt auf Verhaltensanalyse, Fingerprinting oder Bildaufgaben zu setzen, lässt sie im Browser des Besuchers eine Proof of Work Aufgabe lokal berechnen, bevor das Formular abgeschickt wird. Der Server prüft anschließend das signierte Token und akzeptiert oder verwirft die Übermittlung, wodurch der Großteil der Spambots zuverlässig blockiert wird, ohne den menschlichen Nutzer jemals zu profilieren.

Von ALTCHA verarbeitete Daten und Cookies

In der Standardkonfiguration setzt ALTCHA keine Cookies, betreibt kein Fingerprinting und legt keine Verhaltensprofile an. Verarbeitet werden ausschließlich die IP Adresse des Besuchers (für jede HTTP Anfrage an den Verifizierungsendpunkt unvermeidlich), die Proof of Work Aufgabe und das kurzlebige signierte Token, das der Browser zurücksendet. Bei Nutzung der gehosteten Variante auf eu.altcha.org oder us.altcha.org kann ein temporärer altcha_session Wert serverseitig zur Ratenbegrenzung vorgehalten werden, jedoch werden keine persistierenden clientseitigen Kennungen auf dem Gerät abgelegt.

DSGVO und ePrivacy Implikationen

Da ALTCHA lediglich lokale Berechnungen im Browser und einen einzigen signierten Austausch mit dem Verifizierungsendpunkt durchführt, fällt es klar unter die Ausnahme der unbedingt erforderlichen Verarbeitung nach Art. 5(3) ePrivacy und § 25 Abs. 2 TDDDG. Es findet keine Profilbildung im Sinne von Art. 22 DSGVO statt, es werden keine besonderen Kategorien personenbezogener Daten verarbeitet, und bei Nutzung des EU Endpunkts oder einer selbst gehosteten Instanz erfolgt keine Übermittlung in Drittländer. Die verbleibenden DSGVO Pflichten beschränken sich auf Transparenz in der Datenschutzerklärung und eine kurze Interessenabwägung.

Einwilligungserfordernisse und Rechtsgrundlage

In den meisten Einsatzszenarien ist keine vorherige Einwilligung erforderlich. ALTCHA kann unter der ePrivacy Ausnahme geladen werden, da es zum Schutz der vom Nutzer angeforderten Formularübermittlung gegen Missbrauch zwingend erforderlich ist, und die Verarbeitung stützt sich auf Art. 6(1)(f) DSGVO (berechtigtes Interesse an der Betrugsabwehr) oder Art. 6(1)(b) DSGVO (Erfüllung des durch das Formular repräsentierten Vertrags). Es sollte in der Kategorie unbedingt erforderlich des Cookie Banners aufgeführt und in der Datenschutzerklärung kurz erläutert werden. Einwilligung wird nur relevant, wenn der Einsatz mit optionalen Analyse oder Risikobewertungsfunktionen kombiniert wird, die über den reinen Spamschutz hinausgehen.

Drittlandübermittlungen und praktische Schritte

Beim Selbsthosting oder bei Nutzung des Endpunkts eu.altcha.org verlassen keine personenbezogenen Daten die EU, womit die Drittlandproblematik aus Kapitel V DSGVO vollständig entfällt. Wählt der Betreiber us.altcha.org, stützt sich die Übermittlung auf Standardvertragsklauseln und ein Transfer Impact Assessment, was in Datenschutzerklärung und Verarbeitungsverzeichnis zu dokumentieren ist. Praktische Schritte: LIA dokumentieren, EU Variante oder Selbsthosting bevorzugen, ALTCHA in der Datenschutzerklärung unter Sicherheit ausweisen, im Cookie Banner als unbedingt erforderlich kennzeichnen und die Konfiguration jährlich überprüfen, um sicherzustellen, dass keine optionalen Tracking Funktionen aktiviert wurden.