hCaptcha

Was ist hCaptcha?

hCaptcha ist ein Captcha Dienst des US Anbieters Intuition Machines, Inc., der Bots und automatisierten Missbrauch auf Websites erkennt. hCaptcha positioniert sich als datenschutzfreundliche Alternative zu Google reCAPTCHA und wird in vielen europäischen Webanwendungen eingesetzt, um Logins, Registrierungsformulare und Kontaktformulare zu schützen. Cloudflare nutzt hCaptcha als Standard für Turnstile Vorgänger und Challenge Pages.

Welche Daten erhebt hCaptcha?

hCaptcha setzt typischerweise das Cookie hcaptcha sowie das Cookie hmt_id (Enterprise) und erhebt IP Adresse, User Agent, Browsersprache, installierte Plugins, Bildschirmgröße, Mausbewegungen, Tastatureingaben und Tap Events. Diese Signale werden an Server in den USA gesendet und mit Risikomodellen ausgewertet. Im Vergleich zu reCAPTCHA verzichtet hCaptcha auf das Tracking über mehrere Websites hinweg und bietet ein Privacy Pass kompatibles Verfahren.

Einwilligung nach DSGVO und TDDDG

Da hCaptcha Cookies setzt und auf den Endgeräten der Nutzer Informationen ausliest, fällt die Verwendung grundsätzlich unter Paragraf 25 Absatz 1 TDDDG und erfordert eine vorherige Einwilligung. Eine Ausnahme nach Paragraf 25 Absatz 2 TDDDG (technisch erforderlich) kann beim Login oder bei sicherheitsrelevanten Formularen greifen, sofern hCaptcha nur dort und nicht zu Tracking Zwecken eingesetzt wird. Die Aufsichtsbehörden bewerten dies streng, deshalb empfiehlt sich der Einsatz hinter einem Consent Banner, sobald hCaptcha auf jeder Seite geladen wird.

Datenübermittlung in die USA

Intuition Machines, Inc. ist ein US Unternehmen mit Sitz in Delaware. Ein Drittlandtransfer findet statt, sobald der Endnutzer mit dem hCaptcha Widget interagiert. Der Anbieter nimmt am EU US Data Privacy Framework teil und stellt zusätzlich Standardvertragsklauseln im DPA bereit. Verantwortliche sollten eine Transfer Folgenabschätzung dokumentieren und die hCaptcha EU Endpunkte nutzen, wenn diese verfügbar sind.

Praktische Compliance Schritte

Laden Sie das hCaptcha Skript erst nach Einwilligung des Nutzers, sofern hCaptcha auf jeder Seite eingebunden ist. Beim Einsatz nur am Login oder bei Formularen kann das berechtigte Interesse als Rechtsgrundlage dienen, sollte aber dokumentiert werden. Schließen Sie ein Data Processing Addendum mit Intuition Machines ab, ergänzen Sie die Datenschutzerklärung um die Datenkategorien und Drittlandgarantien und prüfen Sie die Enterprise Variante, die noch weniger Signale auswertet.