Datenschutzerklärung: reCAPTCHA bedarf einer Einwilligung

Das österreichische Bundesverwaltungsgericht hat in seiner Entscheidung W298 2274626-1/8E vom 13.9.2024 entschieden, dass die Implementierung von Google reCAPTCHA technisch nicht zwingend erforderlich ist; daher steht der Rechtfertigungsgrund des berechtigten Interesses nicht zur Verfügung.

Das Verhindern von Bot-Eingaben mittels reCAPTCHA ist für den Website-Betreiber zwar vorteilhaft, aber kein funktionaler Bestandteil der Website und damit nicht technisch erforderlich.

Für den Einsatz von Google reCAPTCHA bedarf es somit einer vorherigen Einwilligung.

Die Verwendung von Google reCAPTCHA ohne vorherige Einwilligung stellt somit eine Verletzung der DSGVO dar.

Mit dieser Entscheidung schafft das Bundesverwaltungsgericht der französischen CNIL, welche im Dezember 2023 ein gleichlautendes Urteil fällte.

Für die Praxis bedeutet das, dass der Einsatz von reCAPTCHA nur dann rechtmäßig ist, wenn:

- dieder Nutzer vor der Datenerhebung eingeholt wird (etwa durch einen Opt-in-Banner) UND

- in der Datenschutzerklärung klar über die Nutzung von reCAPTCHA UND 

- die Datenübermittlung an Google LLC (USA) informiert wird.