Google ReCaptcha - Verwendung auf Webseiten?
Das Google nicht nur eine super schnelle und gute Suchmaschine zur Verfügung stellt, sondern auch als Daten Krake bekannt ist, sollte sich mittlerweile herumgesprochen haben.
Eine gute Quelle für solche Datensammlungswut ist das Tracking von User-Verhalten auf Webseiten, die Google z.B. über das Tool ReCaptcha sammeln kann.
ReCaptcha ist eine wirklich effektive Art und Weise, seine Formulare auf der eigenen Webseite vor SpamBots zu schützen und den Missbrauch des Formulars zu verhindern. Aber es sammelt halt auch Daten des Users, die dann auch zu Servern in den USA übertragen werden.
Es gibt im Netz genug Webseiten von Anwälten und neutralen Stellen, die vor der Nutzung des Google ReCaptcha warnen und auf den richtigen Gebrauch hinweisen.
Denn: es darf ja verwendet werden, aber es muss richtig eingesetzt werden. Und das heißt, dem User muss vor der Nutzung mitgeteilt werden, das das Tool verwendet werden soll, was mit den User Daten passiert und muss fragen, ob der User damit einverstanden ist.
I.d.R. erfolgt dies über ein sogenanntes Cookie-Banner oder Consent-Banner. Klickt der User dann auf Nein, darf ReCaptcha nicht verwendet werden.
Es muss sichergestellt sein, das kein Cookie oder JavaScript von ReCaptcha geladen wird, bevor der User nicht sein Einverständnis gegeben hat.
Tut er dies, darf es verwendet werden, tut er dies jedoch nicht, dann müsste man eine Alternative anbieten. Und diese Alternativen gibt es ja, wenn auch nicht in Massen, aber es gibt sie und auch solche, die wirklich gut funktionieren.
Jetzt wird sicher der Einwand kommen, das es einen Angemessenheitsbeschluss für die Datenübermittlung in die USA gibt. Und das Google LLC ja DPF-zertifiziert ist (der Datenempfänger, also Google USA, ist nach dem Datenschutzabkommen EU-USA (Data Privacy Framework) zertifiziert).
Aber nur weil die Übermittlung der Daten zulässig ist, ist das Tool nicht zwingend DSGVO konform.
Unsere Agentur zum Beispiel ist in Bayern ansässig. Das Bayerische Landesamt für Datenschutzaufsicht rät dringend von der Verwendung von Google Recaptcha ab.
Zitat: "Website-Betreiber sollten unbedingt Alternativen prüfen. Wird dennoch Google reCAPTCHA eingebunden, muss sich der Verantwortliche im Klaren sein, dass er den rechtmäßigen Einsatz gem. Art. 5 Abs. 1, 2 DSGVO nachweisen können muss. Wer nicht darlegen kann, wie Google die Nutzerdaten verarbeitet, kann den Nutzer nicht transparent informieren und den rechtmäßigen Einsatz nicht nachweisen."
Den genaueren Text findet man hier https://www.lda.bayern.de/de/faq.html unter der Frage: "Darf Google reCAPTCHA auf der Website eingebunden werden?"
Auch wenn man nicht in Bayern lebt, ist die Nutzung des Google ReCaptcha ohne die Einwilligung des Users zu besitzen, problematisch und sollte gut überlegt sein.
Wir haben das mit dem Consent Banner bei verschiedenen Kunden Webseiten genutzt und es gab immer Probleme. Denn die User bekommen beim Start der Seite den Consent Banner und klicken oft auf "nur technisch notwendige Cookies nutzen" (und darunter fällt ReCaptcha nicht!) und dann dürfen wir kein ReCaptcha von Google einsetzen. Das hatte zur Folge, das ein Formular, das dadurch geschützt werden sollte, nicht funktioniert hat. Aber das hat der User nicht unbedingt im Zusammenhang gebracht und daher kamen ständig Anfragen, warum das "doofe" Formular nicht funktioniert...
Mittlerweile konnten wir das Problem für uns lösen, in dem wir ein Tool einsetzen, das sich als Joomla Captcha konfigurieren lässt und das keine Tracking Cookies verwendet und damit auch keine User Daten sammelt. Eine User Information über ein Consent Banner ist daher nicht notwendig. Der Formular Schutz ist aber trotzdem gegeben. Wen es interessiert, kann gerne anfragen, welches Tool wir hier erfolgreich bei vielen Kunden verwenden.
Interessierte, die mehr zum Thema Google ReCaptcha und DSGVO wissen wollen, empfehlen wir u.a. folgende Quellen: