Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Arkose Labs ist eine Plattform zur Bot-Erkennung und Betrugsprävention, die Anmeldungen, Registrierungen und Transaktionen vor automatisiertem Missbrauch schützt. Sie kombiniert Geräte- und Verhaltenssignale mit interaktiven Aufgaben, genannt Arkose MatchKey, die bei riskant wirkenden Anfragen ein Rätsel einblenden. Da sie eigene Cookies, lokalen Speicher und Geräteerkennung nutzt, wirft sie trotz Sicherheitszweck Fragen nach DSGVO und ePrivacy auf. Arkose Labs handelt als Auftragsverarbeiter und betreibt seine Dienste aus den USA im Rahmen des EU US Data Privacy Framework.
Arkose Labs ist eine Plattform zur Bot-Erkennung und Betrugsprävention, die wertvolle Aktionen wie Kontoerstellung, Anmeldung und Bezahlvorgang vor automatisiertem Missbrauch schützt. Sie verbindet passive Signale über Gerät und Verhalten mit interaktiven Aufgaben, genannt Arkose MatchKey, die einen Nutzer bei verdächtig wirkenden Anfragen ein kurzes Rätsel lösen lassen. Als Auftragsverarbeiter für ihre Kunden bewertet sie jede Anfrage und entscheidet, ob sie zugelassen, herausgefordert oder blockiert wird. Das Produkt soll Angreifer wirtschaftlich abschrecken, indem es groß angelegte Automatisierung langsam und teuer macht, während die Reibung für echte Nutzer gering bleibt. Da der Schutz vor sensiblen Abläufen sitzt, kann er einen großen Teil des Datenverkehrs betreffen und nicht nur eine einzelne Funktion. Diese Mischung aus Geräteerkennung, Signalerfassung und Aufgabendaten erklärt sowohl die Sicherheitsstärke als auch den datenschutzrechtlichen Fußabdruck des Tools.
Arkose Labs nutzt eigene Cookies und lokalen Speicher, um ein Gerät über Besuche hinweg wiederzuerkennen, ein Ansatz, den das Unternehmen als datenschonender beschreibt als rein statisches Fingerprinting. Es erfasst Geräte- und Browsermerkmale, Signale auf Verbindungsebene und Verhaltenssignale wie die Art, wie ein Nutzer mit einer Seite oder einer Aufgabe interagiert. Wird eine Aufgabe angezeigt, werden auch die Antwortdaten verarbeitet und als Grundwahrheit genutzt, um die Erkennungsmodelle zu verfeinern. Die genauen Speicherschlüssel und Laufzeiten hängen von der Kundenkonfiguration und dem eingesetzten Arkose-Produkt ab, einschließlich seiner Geräteerkennungsfunktionen. Zusammen stützen diese Signale eine dauerhafte Gerätereferenz und eine Echtzeit-Risikoentscheidung. Da Geräteerkennung und gespeicherte Kennungen beteiligt sind, können die Daten einzelne Geräte identifizieren oder herausgreifen und gelten daher als personenbezogene Daten.
Nach der DSGVO sind die von Arkose Labs verarbeiteten Geräte- und Verhaltenssignale personenbezogene Daten, und der Anbieter versteht sich als Auftragsverarbeiter, der auf dokumentierte Weisung des Website-Betreibers handelt, der Verantwortlicher bleibt. Betrugsprävention und Sicherheit gelten als berechtigtes Interesse nach Artikel 6(1)(f), sodass der Verantwortliche sich oft darauf stützen kann, sofern er eine Abwägung durchführt und festhält. Die ePrivacy-Richtlinie gilt gesondert, da das Lesen und Schreiben auf dem Gerät, einschließlich Cookies, lokalem Speicher und Geräteerkennung, grundsätzlich eine Einwilligung erfordert, sofern es nicht für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Viele Behörden, darunter die CNIL, behandeln Geräteerkennung und Fingerprinting wie Cookies. Ob die Ausnahme der unbedingten Erforderlichkeit den gesamten Speicher abdeckt, hängt vom Einzelfall ab und wird meist eng ausgelegt. Im Ergebnis kann das berechtigte Interesse die Verarbeitung tragen, während ePrivacy für einen Teil von Speicherung und Zugriff dennoch eine Einwilligung verlangen kann.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Wird Arkose Labs ausschließlich genutzt, um einen Ablauf abzusichern, den der Nutzer aktiv abschließen möchte, etwa eine Anmeldung gegen Credential Stuffing zu schützen, behandeln viele Betreiber den Speicher als unbedingt erforderlich und laden ihn ohne vorherige Einwilligung. Diese Haltung trägt nur, wenn die Daten auf die Sicherheit beschränkt bleiben und nicht für Analyse, Werbung oder Profilbildung weiterverwendet werden. Jede Erfassung, die über den Schutz des gewünschten Dienstes hinausgeht, sollte in Ihrer Consent-Management-Plattform an eine Einwilligung gebunden werden. Ein gangbarer Ansatz besteht darin, Arkose Labs als Sicherheitsmaßnahme einzustufen, zu dokumentieren, warum jedes Cookie, jeder Speicherschlüssel und jedes Signal erforderlich ist, und sicherzustellen, dass Ihre CMP diese Einstufung ehrlich darstellt. Sie sollten die Geräteerkennung und die Möglichkeit einer Aufgabe in klarer Sprache offenlegen, damit der Cookie-Hinweis das tatsächliche Geschehen widerspiegelt.
Arkose Labs hat seinen Sitz in San Mateo, Kalifornien, und verarbeitet Daten in den USA, sodass Signale und Aufgabenantworten europäischer Besucher dorthin übermittelt werden. Das Unternehmen stützt sich auf das EU US Data Privacy Framework und nutzt die Standardvertragsklauseln der Europäischen Kommission für Übermittlungen zwischen seinen Konzerngesellschaften und an seine Dienstleister. Als Verantwortlicher sollten Sie die aktuelle Zertifizierung unter dem Data Privacy Framework prüfen, den Übermittlungsmechanismus in Ihrem Verzeichnis festhalten und eine Folgenabschätzung der Übermittlung durchführen, wenn Ihr Risikoansatz dies verlangt. Sie sollten zudem den Auftragsverarbeitungsvertrag und die Liste der Unterauftragsverarbeiter prüfen, um die Datenflüsse zu verstehen. Diese Nachweise aufzubewahren ist wichtig, da die Regeln für transatlantische Übermittlungen mehrfach angefochten und überarbeitet wurden.
Schließen Sie zunächst den Auftragsverarbeitungsvertrag mit Arkose Labs ab und erfassen Sie genau, welche Cookies, Speicherschlüssel und Signale auf Ihrer Website genutzt werden. Dokumentieren Sie eine Abwägung des berechtigten Interesses für die Betrugsprävention und entscheiden Sie pro Ablauf, ob die Ausnahme der unbedingten Erforderlichkeit greift oder eine Einwilligung nötig ist. Aktualisieren Sie Datenschutzerklärung und Cookie-Richtlinie, um die Geräteerkennung, die Verhaltenssignale und die mögliche Aufgabe zu beschreiben, und geben Sie an, dass Daten in den USA verarbeitet werden. Konfigurieren Sie Ihre Consent-Management-Plattform so, dass jeder nicht wesentliche Speicher auf die Einwilligung wartet. Bestätigen Sie die Speicherfristen für Aufgaben- und Signaldaten mit dem Anbieter und legen Sie Erwartungen in Ihrer Dokumentation fest. Überprüfen Sie schließlich die Einrichtung regelmäßig, damit Ihre Aufzeichnungen mit der Bereitstellung des Produkts übereinstimmen.
Websites using Arkose Labs must obtain user consent under GDPR regulations.
DPIA considerations
Eine Datenschutz-Folgenabschätzung wird empfohlen, da Arkose Labs Geräteerkennung, Verhaltenssignale und Daten aus Aufgabenantworten kombiniert, um jede geschützte Anfrage zu bewerten, was eine systematische Überwachung im Sinne von Artikel 35 darstellen kann. Die Bewertung sollte die Erforderlichkeit und Verhältnismäßigkeit der Geräteerkennung für die Betrugsprävention, die Nutzung des eigenen Speichers, die Speicherung von Aufgaben- und Signaldaten sowie die Übermittlung in die USA dokumentieren. Sie sollte zudem festhalten, dass Arkose Labs als Auftragsverarbeiter handelt, und das berechtigte Sicherheitsinteresse gegen die Auswirkungen auf Nutzer abwägen, die der Aufgabe begegnen.
Sample consent text
Diese Website nutzt Arkose Labs zum Schutz vor Bots und Betrug. Sie speichert eine Kennung auf Ihrem Gerät und analysiert Geräte- und Verhaltenssignale und zeigt unter Umständen eine Verifizierungsaufgabe, um Menschen von automatisiertem Datenverkehr zu unterscheiden. Diese Signale werden in den USA verarbeitet.
Third-party domains contacted
arkoselabs.comfuncaptcha.comarkoselabs.ioarkose.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| Arkose device recognition identifier (first party storage) | first party storage | Persistent (varies by configuration) | First party cookie or local storage entry that holds a device recognition identifier so the service can recognise a returning device and support its risk decision. The exact key name and duration depend on the deployment. |
| Arkose session and challenge token (first party storage) | first party security | Session | First party storage used during a verification session to carry the challenge state and a short lived token that confirms a request was assessed. |
Arkose Labs ist ein essenzieller Dienst, aber Transparenz ist wichtig. Verwalten Sie Ihre gesamte Einwilligung mit FlowConsent.
Arkose Labs nutzt eigene Cookies und lokalen Speicher, um ein Gerät über Besuche hinweg wiederzuerkennen, statt sich auf einen einzigen statischen Fingerabdruck zu verlassen. Die genauen Speicherschlüssel, Namen und Laufzeiten hängen von der Kundenkonfiguration und dem eingesetzten Arkose-Produkt ab, einschließlich seiner Geräteerkennungsfunktionen. Es liest zudem Geräte- und Verhaltenssignale und kann Daten aus Aufgabenantworten verarbeiten.
Das hängt vom Umfang ab. Wenn der Speicher und die Signale unbedingt erforderlich sind, um einen ausdrücklich gewünschten Ablauf wie eine Anmeldung zu schützen, berufen sich viele Betreiber auf die ePrivacy-Ausnahme und laden ihn ohne Einwilligung. Geht die Erfassung darüber hinaus oder wird sie weiterverwendet, ist eine Einwilligung erforderlich und die Aktivität sollte im Banner gesteuert werden.
Die Verarbeitung stützt sich meist auf das berechtigte Interesse nach Artikel 6(1)(f) zur Betrugsprävention und Bot-Erkennung, gestützt auf eine dokumentierte Abwägung. Die ePrivacy-Richtlinie regelt gesondert das Lesen und Schreiben auf dem Gerät, was selbst dann eine Einwilligung erfordern kann. Arkose Labs handelt als Auftragsverarbeiter im Auftrag des Verantwortlichen.
Ja. Arkose Labs hat seinen Sitz in San Mateo, Kalifornien, und verarbeitet Daten in den USA, daher werden Signale und Aufgabenantworten europäischer Besucher dorthin übermittelt. Diese Übermittlungen stützen sich auf das EU US Data Privacy Framework und auf die Standardvertragsklauseln für Übermittlungen innerhalb des Konzerns und an Dienstleister.
Eine Datenschutz-Folgenabschätzung wird empfohlen, da das Tool Geräteerkennung, Verhaltenssignale und Aufgabendaten kombiniert, um jede geschützte Anfrage zu bewerten, was eine systematische Überwachung darstellen kann. Die Bewertung sollte Erforderlichkeit, Verhältnismäßigkeit, Speicherung und die US-Übermittlung abdecken und das Auftragsverhältnis festhalten.
Schließen Sie den Auftragsverarbeitungsvertrag ab, erfassen Sie die gesammelten Cookies, Speicherschlüssel und Signale und dokumentieren Sie Ihre Abwägung des berechtigten Interesses. Aktualisieren Sie Datenschutzerklärung und Cookie-Richtlinie, um Geräteerkennung, Verhaltenssignale, die mögliche Aufgabe und die Verarbeitung in den USA zu beschreiben, und konfigurieren Sie Ihre Consent-Management-Plattform so, dass nicht wesentlicher Speicher auf die Einwilligung wartet.
Weitere Optionen zur Bot-Erkennung und Betrugsprävention sind Cloudflare Turnstile und Bot Management, hCaptcha, DataDome und PerimeterX von HUMAN Security. Sie unterscheiden sich bei der Nutzung von Aufgaben, Fingerprinting, Hosting-Region und Einwilligungslage, daher sollten Sie sie an Ihren Anforderungen zu Datenresidenz und Nutzererlebnis messen.
Beschreiben Sie den eigenen Speicher und die Geräteerkennung, nennen Sie Zweck und ungefähre Laufzeit und erläutern Sie, dass eine Verifizierungsaufgabe erscheinen kann und Verhaltenssignale verarbeitet werden. Weisen Sie darauf hin, dass Daten in den USA verarbeitet werden, benennen Sie den Übermittlungsmechanismus und überarbeiten Sie den Text bei jeder Konfigurationsänderung.