Yandex SmartCaptcha

SmartCaptcha erhebt die IP Adresse des Besuchers, den User Agent, Bildschirm und Zeitzoneninformationen, Maus und Tastatur Bewegungsmuster, Touch Ereignisse, Fingerprinting Signale (Canvas, WebGL, Audio Kontext, installierte Schriftarten) und die Referrer URL. Es setzt Cookies und speichert Tokens auf smartcaptcha.yandexcloud.net und captcha.yandex.ru, um geprüfte Sitzungen zu merken. Alle Signale werden an Yandex Server in der Russischen Föderation zur Bewertung übermittelt. Das Ergebnis ist ein Vertrauenswert und ein binäres Urteil, mit dem die einbindende Website das Absenden des Formulars erlaubt oder blockiert.

Ja. Da SmartCaptcha Tokens und Cookies auf dem Endgerät speichert und Fingerprinting Signale erhebt, fällt es unter Art. 5(3) ePrivacy und § 25 TDDDG und erfordert eine vorherige, freie, spezifische und informierte Einwilligung. EDSA, DSK, CNIL und AEPD akzeptieren die Ausnahme unbedingt erforderlich nicht für einen Drittstaat Captcha, der Profilbildung betreibt. Das Challenge Skript darf erst nach Zustimmung zur Sicherheits oder Anti Bot Kategorie geladen werden, und ein alternativer Verifizierungsweg muss bei Ablehnung bereitstehen.

Einwilligung nach Art. 6(1)(a) DSGVO in Verbindung mit Art. 5(3) ePrivacy ist die sicherste Grundlage. Das berechtigte Interesse nach Art. 6(1)(f) ist umstritten, da die Notwendigkeitsprüfung scheitert, sobald EU Alternativen (hCaptcha, Cloudflare Turnstile, Friendly Captcha) gleichwertigen Schutz ohne Drittstaatentransfer bieten. Wird die Einwilligung erhoben, muss sie granular, von anderen Zwecken getrennt, leicht widerrufbar und in der Consent Management Plattform samt Nachweis dokumentiert sein.

SmartCaptcha verarbeitet Daten in Yandex Cloud Rechenzentren in Moskau und Wladimir. Russland verfügt über keinen Angemessenheitsbeschluss nach Art. 45 DSGVO, sodass Übermittlungen auf Standardvertragsklauseln nach Art. 46 in Verbindung mit den EDSA Zusatzmaßnahmen nach Schrems II gestützt werden müssen. Das Transfer Impact Assessment muss das Föderationsgesetz 374 FZ (Jarowaja Gesetz), das SORM Überwachungsregime und die FSB Zugriffsbefugnisse berücksichtigen und darlegen, wie technische oder vertragliche Garantien das Restrisiko mindern.

Eine Datenschutz Folgenabschätzung nach Art. 35 DSGVO ist dringend empfohlen. Die Verarbeitung erfüllt mehrere Kriterien aus der EDSA Liste: systematische Überwachung durch Verhaltenssignale, automatisierte Entscheidungen, die legitime Nutzer blockieren können, und Übermittlungen in ein Drittland ohne Angemessenheit. Die DSFA sollte SmartCaptcha mit EU Alternativen vergleichen, das Transfer Impact Assessment dokumentieren, die Garantien (SCC, Transportverschlüsselung, vertragliche Beschränkungen) auflisten und das Restrisiko für die betroffenen Personen quantifizieren.

Blockieren Sie das SmartCaptcha Skript, bis der Besucher im Consent Banner einer dedizierten Sicherheitskategorie zustimmt. Beschränken Sie die Challenge auf risikoreiche Endpunkte (Login, Registrierung, Zahlung) statt auf jede Seite. Schließen Sie den Yandex Cloud Auftragsverarbeitungsvertrag und das SCC Addendum. Dokumentieren Sie das Transfer Impact Assessment und aktualisieren Sie Datenschutzerklärung, Verzeichnis und Cookie Register. Bieten Sie einen barrierearmen alternativen Verifizierungspfad, damit eine Ablehnung Nutzer nicht aussperrt.

EU freundliche Alternativen sind hCaptcha (Intuition Machines, EU Server und SCC), Cloudflare Turnstile (USA unter EU US Data Privacy Framework und SCC), Friendly Captcha (Deutschland, Privacy by Design, ohne Fingerprinting), Altcha (Open Source, selbst hostbar) und Anubis oder einfache Proof of Work Challenges. Für risikoarme Formulare können serverseitige Maßnahmen wie Honeypot Felder, Rate Limiting und Time on Form Prüfungen einen Drittanbieter Captcha vollständig ersetzen.

Führen Sie Yandex SmartCaptcha namentlich im Cookie Register unter Sicherheit oder Bot Schutz auf. Nennen Sie den Verantwortlichen (Yandex LLC), die Datenkategorien (IP, Fingerprinting Signale, Verhaltensdaten), die gesetzten Cookies und Tokens, die Speicherdauer, die Rechtsgrundlage (Einwilligung), das Empfängerland (Russland) und die Garantien (SCC plus Transfer Impact Assessment). Verlinken Sie die Yandex Cloud Datenschutzdokumentation. Aktualisieren Sie die Richtlinie bei jedem Anbieterwechsel oder nach neuen Leitlinien von EDSA, DSK oder nationalen Aufsichtsbehörden zu russischen Auftragsverarbeitern.