Google reCAPTCHA darf nur mit ausdrücklicher Einwilligung des Users auf einer Webseite eingesetzt werden, da es nicht zu den technisch notwendigen Tools gehört und zudem auch nicht durch berechtigte Interessen abgedeckt ist. Vielmehr ist eine ausdrückliche Einwilligung erforderlich (BVerwG Österreich, Urt. v. 13.09.2024 - Az.: W298 2274626-1/8E).
Ein Nutzer hatte die Website einer politischen Partei besucht, um eine Mitgliedschaft zu beantragen. Dabei wurden auf seinem Endgerät Cookies, unter anderem von Google reCAPTCHA, gespeichert, ohne dass der Nutzer darüber informiert oder um Einwilligung gebeten wurde.
Der Betroffene beschwerte sich hierüber bei der zuständigen Datenschutzbehörde und machte geltend, dass Google reCAPTCHA im Hintergrund Daten wie die IP-Adresse und Browserinformationen des Nutzers an Google-Server übermittle. Die Behörde stimmte dem Vorwurf zu und beanstandete den Datenschutzverstoß.
Dagegen wehrte sich der Webseitenbetreiber.
Das BVerwG wies die Beschwerde jedoch ab und teilte die Einschätzung der Datenschutzbehörde.
Das eingesetzte Tool sei für den Betrieb der Website technisch nicht notwendig. Auch ein berechtigtes Interesse an der Speicherung der Daten könne nicht festgestellt werden, so dass es einer ausdrücklichen Einwilligung bedürfe, so die Richter. Diese habe im vorliegenden Fall jedoch gefehlt:
"Nach Ansicht des erkennenden Senats sind Cookies, die vom Google-Dienst reCAPTCHA gesetzt werden, für den Betrieb einer Webseite nicht erforderlich, weshalb kein berechtigtes Interesse der Beschwerdeführer:innen gegeben ist, ungeachtet der Tatsache, dass das Verhindern von Bot-Eingaben für Betreiber:innen der Website vorteilhaft sind.
Die Implementierung von reCAPTCHA ist für den Betrieb der Website technisch nicht notwendig, da es keinen Einfluss auf die Funktionalität der Website hat, weshalb ein berechtigtes Interesse zu verneinen ist und die Einwilligung der mitbeteiligten Partei einzuholen gewesen wäre."
Anmerkung von RA Dr. Bahr:
Ob diese Rechtsauffassung des österreichischen BVerwG tatsächlich technisch richtig ist, kann mit guten Argumenten durchaus bezweifelt werden.
Fakt ist aber: Die Entscheidung ist in der Welt, stammt von einem Bundesgericht und ist kaum mehr wegzudiskutieren.
Der aktuelle Fall geht weit über einen Captcha-Dienst hinaus und betrifft sämtliche Arten von Drittanbieter-Tools, die ohne Einwilligung eingebunden werden, z.B. Google Fonts oder die Google Toolbar.
Jeder Webseitenbetreiber sollte daher die Implementierung auf seiner Webseite noch einmal überprüfen und überdenken.