Für viele Webseitenbetreiber ist Google reCAPTCHA eine technische Lösung, um Kontaktformulare, Logins oder andere Funktionen vor Bots und Spam zu schützen. Zum 2. April 2026 hat sich allerdings die datenschutzrechtliche Einordnung von reCAPTCHA geändert. Wo vorher Google für den Datenschutz zuständig war, trägt nun der Webseitenbetreiber die Verantwortung für die Datenverarbeitung.
Was genau sich geändert hat und inwiefern Unternehmen jetzt ihre Datenschutzerklärung anpassen müssen, erfährst du in diesem Artikel.
Was hat sich rechtlich bei Google reCAPTCHA geändert?
Google hat die datenschutzrechtliche Rolle von reCAPTCHA zum 2. April 2026 geändert. Bisher behandelte Google die bei reCAPTCHA verarbeiteten Daten teilweise als eigene Verantwortlichkeit. Seit der Umstellung ist Google bei reCAPTCHA Auftragsverarbeiter.
Der Websitebetreiber bleibt damit für die betreffenden Daten der Verantwortliche. Google verarbeitet die reCAPTCHA-Daten nach eigenen Angaben nur noch entsprechend den Vorgaben des Kunden und auf Grundlage der Google Cloud Terms und des Cloud Data Processing Addendum.
Neu ist insofern, dass Google seine bisherige Position als zusätzlich verantwortliche Stelle für die Bereitstellung von reCAPTCHA aufgegeben hat.
Vereinfacht gesagt:
Vor dem 2. April 2026: Deine Website nutzt Google reCAPTCHA → Daten werden an Google übertragen → Google war datenschutzrechtlich selbst Verantwortlicher für diese Verarbeitung.
Seit dem 2. April 2026: Deine Website nutzt Google reCAPTCHA → Daten werden an Google übertragen → Du bzw. das Unternehmen hinter der Website bist Verantwortlicher, Google verarbeitet die Daten nur noch in deinem Auftrag.
Inwiefern ist das für Webseitenbetreiber relevant?
An der technischen Funktion von reCAPTCHA ändert sich nichts. Für Websitebetreiber ist die Änderung aber vor allem deshalb relevant, weil die Informationen in der Datenschutzerklärung zur Nutzung von reCAPTCHA korrekt und aktuell sein sollten.
Google empfiehlt seinen Kunden ausdrücklich, ihre Hinweise gegenüber den Nutzern zu überprüfen und die Verarbeitung durch reCAPTCHA für Zwecke wie Sicherheits-, Betrugs- und Missbrauchsprävention entsprechend zu beschreiben.
Google Cloud: Informationen zur Datenverarbeitung durch reCAPTCHA
Wie prüfe ich, ob ich meine Datenschutzerklärung anpassen muss?
Falls du nicht genau weisst, ob du Google reCAPTCHA überhaupt auf Deiner Webseite einsetzt, prüfe die typischen Einsatzbereiche: Kontakt- und Anmeldeformulare, Kommentarbereiche, Login-Seiten. Nutzt du WordPress, lohnt sich ein genauer Blick in die Einstellungen Deiner Plugins und Anwendungen, die Formulare jeglicher Art auf Deiner Webseite bereitstellen.
Wenn du Google reCAPTCHA nutzt, solltest du anschliessend Deine Datenschutzerklärung überprüfen. Relevant sind an dieser Stelle insbesondere Abschnitte zu externen Diensten, eingebundenen Drittanbietern und Google-Diensten.
Prüfe dort, ob die Angaben zur Datenverarbeitung, dem Zweck der Verarbeitung und der Rolle von Google dabei aktuell sind.
Prüfe dabei nicht nur, ob reCAPTCHA in Deiner Datenschutzerklärung erwähnt wird, sondern auch, ob dort noch alte Hinweise oder Verlinkungen auf Googles Datenschutzerklärung und Nutzungsbedingungen enthalten sind. Diese sollen laut Google im Zusammenhang mit reCAPTCHA entfernt werden.
Was gehört in die Datenschutzerklärung, wenn ich Google reCAPTCHA nutze?
Wenn Du Google reCAPTCHA einsetzt, muss Deine Datenschutzerklärung die damit verbundene Verarbeitung von Personendaten weiterhin transparent beschreiben. Dazu gehören insbesondere der Einsatz von reCAPTCHA, der Zweck der Verarbeitung und die damit verbundene Verarbeitung von Daten zur Erkennung und Abwehr von Spam, Betrug und Missbrauch.
Seit dem 2. April 2026 ist Google dabei als Auftragsverarbeiter tätig. Deine Datenschutzerklärung muss diese geänderte Rollenverteilung entsprechend berücksichtigen.
Eine wichtige Änderung betrifft ausserdem die bisher verwendeten Hinweise auf Google: Google fordert seine reCAPTCHA-Kunden seit dem 2. April 2026 dazu auf, Verweise auf die Google-Datenschutzerklärung und die Google-Nutzungsbedingungen im Zusammenhang mit reCAPTCHA von der eigenen Website zu entfernen.
Diese Verweise waren zuvor Teil der reCAPTCHA-Vorgaben. Sie sind aufgrund der geänderten Rollenverteilung nicht mehr erforderlich.