Das reCAPTCHA Tool von Google soll erkennen, ob es sich bei Websitebesuchern um Menschen oder Maschinen handelt. Doch die neue reCAPTCHA Generation ist nicht wirklich DSGVO konform.
Warum sollten Websitebetreiber reCAPTCHA einsetzen?
reCAPTCHA ist ein Captcha-Dienst, der von der Google betrieben wird. Dieser versucht zu ermitteln, ob eine bestimmte Handlung im Internet von Menschen oder von Computerprogrammen bzw. Bot vorgenommen werden. Die Verwendung von reCAPTCHA sollte somit Websites vor Spam und Missbrauch schützen.
Ist die Verwendung von reCAPTCHA DSGVO konform?
NEIN! Captchas berechnen die Wahrscheinlichkeit dafür, dass es sich bei dem Nutzer einer Website um einen Menschen handelt. Hierfür wird das Verhalten der Nutzer analysiert und zu einem Captcha-Score addiert. Konkret fließt hier Verhalten ein wie:
-
bereits installierte Google-Cookies,
-
bisherige Browser Interaktionen,
-
Anzahl Mausbewegungen und Tastaturanschläge,
-
Verweildauer auf Websites.
Um dieses Verhalten auch bewerten zu können, werden zudem folgende personenbezogene Daten zur Auswertung an Google weitergeleitet:
-
IP-Adresse des Websitebesuchers,
-
Datum,
-
ein kompletter Screenshot des Browserfensters,
-
Referrer URL (die Adresse der Seite von der Besucher kommt),
-
Browser-Plugins,
-
Informationen über das Betriebssystem (Windows, Linux, iOS),
-
Cookies, wie andere Google-Cookies der letzten 6 Monate, wie auch NID Cookies, welche dazu geeignet sind, Nutzerprofile zu erstellen,
-
und Einstellungen des Nutzergeräts (z.B. Spracheinstellungen, Standort, Browser etc.).
Die genannten personenbezogenen Daten, stehen unter dem Schutz der DSGVO. Für eine derartige Datenerhebung muss demnach eine explizite Einwilligung der Nutzer:innen zur Verarbeitung der Daten eingeholt werden. Generell müssen Websites, die sowohl Cookies von Drittanbietern als auch eigene Cookies für Tracking und Analytics verwenden, das Gesetz einhalten und daher die ausdrückliche Einwilligung des Nutzers einholen.
Das Joomla Plugin, JMG Google Recaptcha DSGVO holt die Einwilligung des User ein, bevor reCAPTCHA überhaupt geladen wird.