Ein Datenschutz-Audit beim Kunden, und der Prüfer bleibt an einer Stelle hängen, an die niemand gedacht hatte: dem kleinen „Ich bin kein Roboter"-Kästchen im Kontaktformular. Google reCAPTCHA. Es sitzt seit Jahren unauffällig auf der Seite, hält den Spam draußen – und lädt dabei bei jedem Seitenaufruf Google-Code nach, setzt Cookies und schickt Nutzerdaten in die USA. Der Prüfer notiert einen Mangel. Der Kunde ruft dich an.
Diese Szene läuft 2026 häufiger ab, als vielen Agenturen lieb ist. reCAPTCHA ist bequem, kostenlos in der Basisvariante und überall integriert. Aber datenschutzrechtlich ist es zu einem Klotz am Bein geworden. Die gute Nachricht: Es gibt eine Alternative, die spürbar sauberer ist – wenn man weiß, wo auch bei ihr die Grenzen liegen.
Cloudflare Turnstile: der datenschutzfreundlichere Bot-Schutz
Cloudflare Turnstile ist ein CAPTCHA-Dienst, der ohne die klassischen Bilderrätsel auskommt. Statt Ampeln und Zebrastreifen anklicken zu lassen, prüft er im Hintergrund eine Reihe von Signalen, um Mensch und Bot zu unterscheiden. Der Anbieter Nexter beschreibt das Verfahren als eine rotierende Folge nicht-interaktiver Prüfungen im Browser – Proof-of-Work, Browser-Signale und Verhaltensheuristiken. Für den Besucher heißt das im besten Fall: Er sieht gar nichts und muss nichts klicken. Das Formular wird einfach abgeschickt.
Der entscheidende Unterschied liegt im Datenhunger. reCAPTCHA liest laut derselben Analyse Google-Cookies wie NID, SID oder HSID aus und teilt das Mensch-Bot-Signal über das gesamte Google-Ökosystem. Turnstile setzt darauf bewusst nicht: keine Cookies für Cross-Site-Tracking, kein Abgleich mit Google-Konten. Und während reCAPTCHA Enterprise die kostenlose Nutzung auf 10.000 Bewertungen pro Monat deckelt und ein Google-Cloud-Konto verlangt, bietet Cloudflare Turnstile unbegrenzte Prüfungen kostenlos an. Für kleine Agenturen, die den Dienst über ein ganzes Kundenportfolio ausrollen, ist das ein handfestes Argument.
Warum reCAPTCHA zum DSGVO-Risiko wurde
Um zu verstehen, warum der Wechsel sich lohnt, hilft ein Blick auf das rechtliche Grundmuster. reCAPTCHA ist ein Google-Dienst, der beim Laden die IP-Adresse des Besuchers an Google-Server in den USA überträgt und Cookies setzt, die technisch nicht zwingend erforderlich sind. Damit fällt es unter dieselbe Logik, die schon andere nachgeladene Google-Dienste in die Kritik gebracht hat.
Wie ernst Gerichte das nehmen, zeigt das bekannteste Urteil dazu: Das Landgericht München I sprach am 20. Januar 2022 (Az. 3 O 17493/20) einem Websitebesucher 100 Euro Schadensersatz zu, weil eine Seite Google Fonts dynamisch nachgeladen und dabei seine IP-Adresse ungefragt in die USA übermittelt hatte. Der Fall betraf zwar Fonts, das Muster ist bei reCAPTCHA aber dasselbe: ein von Google nachgeladener Baustein, der ohne Einwilligung Daten in ein Drittland schickt. Genau dieser Reflex, Google-Dienste einfach einzubauen, betrifft neben reCAPTCHA auch Fonts und Maps – wie du die insgesamt sauber löst, zeigt der Beitrag zu externen Diensten DSGVO-konform einbinden.
Der übliche Ausweg bei reCAPTCHA ist, es hinter das Cookie-Banner zu setzen und erst nach Einwilligung zu laden. Das funktioniert rechtlich, ruiniert aber die Nutzererfahrung: Ein Kontaktformular, das erst nach „Alle akzeptieren" funktioniert, verliert Anfragen. Genau hier wird Turnstile interessant.
Der ehrliche Blick: auch Turnstile ist nicht „einfach erlaubt"
An dieser Stelle trennt sich seriöse Beratung vom Marketingversprechen. Turnstile ist datenschutzfreundlicher als reCAPTCHA – aber es ist kein rechtsfreier Selbstläufer. Wer das dem Kunden anders verkauft, baut das nächste Audit-Problem gleich mit ein.
Drei Punkte solltest du kennen. Erstens verarbeitet auch Turnstile personenbezogene Daten. Laut eRecht24 wertet der Dienst die IP-Adresse, Mausbewegungen und die Verweildauer aus, um Menschen von Bots zu unterscheiden. Auf aktuellen Apple-Geräten nutzt er sogenannte Private Access Tokens und kommt fast ohne Datenerhebung aus – auf allen anderen Geräten aber fließen Daten an Cloudflare, und für Nicht-Apple-Nutzer landen sie auf US-Servern.
Zweitens braucht dieser US-Transfer eine Absicherung. eRecht24 und das Fachportal datenrein.de nennen dafür EU-Standardvertragsklauseln und das EU-US Data Privacy Framework als Grundlage. Dazu gehört ein Auftragsverarbeitungsvertrag mit Cloudflare – dessen Customer DPA ist online verfügbar und sollte für den Fall einer Prüfung dokumentiert vorliegen. Warum der US-Transfer trotz Data Privacy Framework 2026 heikel bleibt, ordnet der Beitrag zu US-Cloud und DSGVO ein.
Drittens ist die Einwilligungsfrage nicht abschließend geklärt. Turnstile setzt in bestimmten Konstellationen ein Cookie namens cf_clearance. Ob das eine Einwilligung nach § 25 TDDDG auslöst, ist laut datenrein.de rechtlich offen: Manche Datenschützer sehen den Bot-Schutz als technisch notwendige Sicherheitsfunktion, die ohne Banner auskommt; andere werten die Wiedererkennung des Geräts als einwilligungspflichtig. Ein Gericht hat das noch nicht entschieden. Viele stützen den Einsatz deshalb auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO und dokumentieren diese Rechtsgrundlage in der Datenschutzerklärung. Das ist die gängige, aber nicht die einzige vertretbare Sichtweise.
Dieser Beitrag ist eine journalistische Einordnung und keine Rechtsberatung. Weil die Einordnung als „technisch notwendig" oder „einwilligungspflichtig" im Einzelfall über die Bannerpflicht entscheidet, ist bei sensiblen Kundenprojekten der Blick einer spezialisierten Kanzlei sinnvoll.
Was das für deine Umsetzung heißt
Aus diesen drei Punkten folgt eine klare Handlungslinie. Turnstile in die Datenschutzerklärung aufnehmen – mit Zweck (Bot-Schutz), Rechtsgrundlage, Empfänger Cloudflare und dem Hinweis auf den Drittlandtransfer. Den AVV mit Cloudflare abschließen und ablegen. Und die Einwilligungsfrage bewusst entscheiden, statt sie zu übergehen: Wer auf Nummer sicher gehen will, bindet auch Turnstile über den Consent-Manager ein; wer der Sicherheitsargumentation folgt, dokumentiert das berechtigte Interesse sauber.
Die technische Einbindung ist überschaubar. Du legst einen kostenlosen Cloudflare-Account an, registrierst dort die Domain des Kunden und erhältst ein Schlüsselpaar aus Sitekey und Secret-Key. Der Sitekey landet im Formular, der Secret-Key prüft die Antwort serverseitig – dieser zweite Schritt ist wichtig, denn ohne die serverseitige Verifikation ließe sich das Widget umgehen. Für WordPress gibt es fertige Anbindungen an die gängigen Formular-Plugins, sodass der Wechsel von reCAPTCHA meist ein Austausch der Schlüssel und weniger Handgriffe ist. Wer mehrere Kundenseiten betreut, verwaltet die Schlüssel am besten zentral im Passwort-Manager, statt sie über Projekte zu verstreuen.
Wichtig ist die Einordnung im Werkzeugkasten. Für einfache Kontaktformulare ist ein CAPTCHA oft gar nicht nötig – ein unsichtbares Honeypot-Feld und eine Zeitfalle halten die meisten Spam-Bots ab, ganz ohne externen Dienst und ohne jede Datenschutzfrage. Wie das funktioniert, zeigt der Beitrag zu Formular-Spam ohne reCAPTCHA stoppen. Turnstile spielt seine Stärke erst dort aus, wo diese schlanken Mittel nicht mehr reichen: bei Login- und Registrierungsformularen, Kommentaren, Gutschein- und Warenkorb-Funktionen oder überall, wo gezielte, aggressive Bots angreifen. Dann willst du einen echten Bot-Schutz – und Turnstile ist die datenschutzfreundlichere Wahl gegenüber reCAPTCHA.
Kurzvergleich für das Kundengespräch
Wenn dich ein Kunde fragt, warum du wechseln willst, reichen drei Sätze. reCAPTCHA liest Google-Cookies aus, koppelt den Besucher an sein Google-Konto und braucht in der EU praktisch immer eine Einwilligung, bevor es überhaupt funktioniert. Turnstile verzichtet auf Cross-Site-Cookies und den Google-Kontenabgleich, ist unbegrenzt kostenlos und hat mit dem Sicherheitszweck ein stärkeres Argument, ohne Banner auszukommen. Beide verarbeiten personenbezogene Daten und beide brauchen sauberes Handwerk in der Datenschutzerklärung – aber der Ausgangspunkt bei Turnstile ist der bessere.
Aus dem Wechsel ein Wartungsargument machen
Für deine Agentur ist der Umstieg mehr als eine Fleißaufgabe. Er ist ein konkreter, belegbarer Mehrwert, den du beim Kunden sichtbar machen kannst. Ein CAPTCHA-Wechsel dauert pro Seite selten länger als eine halbe Stunde, senkt ein reales Abmahn- und Audit-Risiko und verbessert nebenbei die Ladezeit, weil kein schwerer Google-Code mehr im Hintergrund lädt.
Nimm den reCAPTCHA-Check in deine Wartungsroutine auf und geh das Bestandsportfolio einmal systematisch durch. Jede Seite mit einem alten „Ich bin kein Roboter"-Kästchen ist ein Gesprächsanlass – und ein guter Grund, über einen Wartungsvertrag zu reden, der solche Themen dauerhaft abdeckt. So wird aus einem technischen Detail ein Baustein, der deine Arbeit vom schnellen Einbau zum mitdenkenden Betrieb aufwertet. Der Kunde merkt den Unterschied spätestens beim nächsten Audit – wenn der Prüfer diesmal nichts mehr zu notieren hat.
- Cloudflare Turnstile prüft Bots über Hintergrund-Signale statt Bilderrätsel, verzichtet auf Cross-Site-Cookies und ist unbegrenzt kostenlos.
- reCAPTCHA liest Google-Cookies aus und überträgt die IP in die USA – in der EU braucht es damit praktisch immer eine Einwilligung, bevor das Formular funktioniert.
- Auch Turnstile verarbeitet IP, Mausbewegungen und Verweildauer und überträgt bei Nicht-Apple-Geräten Daten in die USA – AVV, Datenschutzerklärung und Drittland-Absicherung bleiben Pflicht.
- Ob Turnstile eine Einwilligung nach § 25 TDDDG braucht, ist rechtlich nicht geklärt; viele stützen den Einsatz auf das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO).
- Turnstile lohnt bei Login, Registrierung und Kommentaren – bei simplen Kontaktformularen reichen Honeypot und Zeitfalle oft ganz ohne externen Dienst.