Was ändert sich ab dem 2. April 2026?
Ab diesem Zeitpunkt wird Google die im Rahmen von reCAPTCHA erhobenen personenbezogenen Daten nicht mehr in eigener datenschutzrechtlicher Verantwortung verarbeiten, sondern ausschließlich im Auftrag der jeweiligen Websitebetreibenden. Damit gilt künftig:
-
Websitebetreibende sind datenschutzrechtlich Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO)
-
Google agiert als Auftragsverarbeiter
-
Grundlage der Verarbeitung ist das Google Cloud Data Processing Addendum
Diese Umstellung führt zu einer klareren Rollenverteilung – jedoch auch zu einer erweiterten rechtlichen Verantwortung für Unternehmen.
Welche datenschutzrechtlichen Aspekte sind besonders relevant?
Der Einsatz von reCAPTCHA wird seit Jahren intensiv diskutiert. Zu den wesentlichen Punkten zählen:
-
Umfang und Transparenz der Datenerhebung
-
Übermittlung personenbezogener Daten in Drittländer (insbesondere in die USA)
-
Mögliche Weiterverarbeitung der Daten für technische Optimierungen und Sicherheitszwecke
Mit der neuen Rollenverteilung liegt die vollständige Verantwortung für:
-
Rechtsgrundlage der Verarbeitung
-
Transparente Information der Nutzenden
-
Gestaltung der Datenschutzerklärung
-
Einbindung in ein Consent-Management-System
-
Dokumentation im Verzeichnis der Verarbeitungstätigkeiten
künftig eindeutig beim Websitebetreibenden.
Was sollten Unternehmen jetzt tun?
Falls Sie reCAPTCHA einsetzen, empfehlen sich folgende Schritte vor April 2026:
-
Prüfung der vertraglichen Grundlagen
Überprüfung bzw. Abschluss eines Auftragsverarbeitungsvertrags (DPA) mit Google Cloud. -
Anpassung der Datenschutzhinweise
Eine bloße Verlinkung auf allgemeine Google-Datenschutzinformationen wird künftig nicht ausreichen. -
Überprüfung der Rechtsgrundlage
Insbesondere bei Einsatz auf Basis einer Einwilligung sollte das Consent-Management korrekt konfiguriert sein. -
Dokumentation und Risikoabwägung
Einschätzung der datenschutzrechtlichen Risiken, insbesondere im Hinblick auf Drittlandtransfers.
Sind Alternativen sinnvoll?
Unternehmen, die reCAPTCHA derzeit nicht verwenden, sollten sorgfältig prüfen, ob datenschutzfreundlichere Alternativen in Betracht kommen. Insbesondere Lösungen mit Hosting innerhalb der EU können aus Compliance-Sicht Vorteile bieten.
Fazit
Die angekündigte Änderung bringt mehr formale Klarheit, gleichzeitig jedoch auch mehr Verantwortung für Websitebetreibende. Wer reCAPTCHA einsetzt, sollte frühzeitig organisatorische und rechtliche Anpassungen vornehmen, um auch nach April 2026 datenschutzkonform aufgestellt zu sein.
Gerne unterstützen wir Sie bei der Überprüfung Ihrer Website, Ihrer Datenschutzhinweise oder Ihrer Auftragsverarbeitungsverträge.