Inhalt

Das österreichische Bundesverwaltungsgericht (BVerwG) hat mit Urteil vom 13.09.2024 – Az.: W298 2274626-1/8E) entschieden, dass der Einsatz von Google reCAPTCHA auf Webseiten nur mit der ausdrücklichen Einwilligung der Nutzer zulässig ist. Das Gericht stellte fest, dass reCAPTCHA nicht zu den technisch notwendigen Tools gehört und auch nicht durch ein berechtigtes Interesse des Webseitenbetreibers abgedeckt wird. Diese Entscheidung hat erhebliche Auswirkungen auf den Einsatz von Drittanbieter-Tools auf Webseiten und erfordert von Webseitenbetreibern eine Überprüfung ihrer Datenschutzpraktiken. 
 

Worum ging es? 

Ein Nutzer hatte die Webseite einer politischen Partei besucht, um eine Mitgliedschaft zu beantragen. Dabei wurden auf seinem Endgerät Cookies, unter anderem von Google reCAPTCHA, gespeichert, ohne dass der Nutzer darüber informiert oder um eine Einwilligung gebeten wurde. Der Betroffene beschwerte sich daraufhin bei der zuständigen Datenschutzbehörde. Er argumentierte, dass Google reCAPTCHA im Hintergrund Daten wie die IP-Adresse und Browserinformationen des Nutzers an Google-Server übermittelt. Die Datenschutzbehörde bestätigte den Datenschutzverstoß. Der Webseitenbetreiber wehrte sich jedoch gegen die Beanstandung. 
 

Wie entschied das Gericht? 

Das Bundesverwaltungsgericht bestätigte die Einschätzung der Datenschutzbehörde und entschied, dass der Einsatz von Google reCAPTCHA nicht ohne ausdrückliche Einwilligung zulässig ist. Das Gericht begründete dies wie folgt: 

  • Technische Notwendigkeit verneint: Das eingesetzte Tool ist für den Betrieb der Webseite technisch nicht notwendig. Es hat keinen direkten Einfluss auf die Funktionalität der Webseite. 
  • Kein berechtigtes Interesse: Auch ein berechtigtes Interesse an der Speicherung der Daten durch reCAPTCHA kann nicht festgestellt werden. Die Verhinderung von Bot-Eingaben ist zwar für Webseitenbetreiber vorteilhaft, rechtfertigt aber nicht den Einsatz ohne Einwilligung. 
  • Erforderlichkeit der ausdrücklichen Einwilligung: Da weder technische Notwendigkeit noch ein berechtigtes Interesse vorliegen, ist für den Einsatz von Google reCAPTCHA eine ausdrückliche Einwilligung der Nutzer erforderlich. Diese hatte im vorliegenden Fall jedoch gefehlt. 

Konsequenzen für die Praxis:  

Das Urteil führt zu folgenden praxisrelevanten Konsequenzen: 

Dieses Urteil hat weitreichende Auswirkungen auf die Praxis von Webseitenbetreibern und erfordert eine Anpassung der Datenschutzprozesse auf Webseiten: 

  • Überprüfung der Drittanbieter-Tools: Webseitenbetreiber sollten die auf ihrer Seite eingesetzten Drittanbieter-Tools, einschließlich Google reCAPTCHA, überprüfen. 
  • Einwilligungspflicht: Für Tools, die nicht technisch notwendig sind, ist eine ausdrückliche Einwilligung der Nutzer erforderlich. Dies betrifft auch andere gängige Tools, wie z.B. Google Fonts oder die Google Toolbar, da diese ebenfalls regelmäßig Daten an Dritte weiterleiten. 
  • Transparenz: Nutzer müssen klar und transparent über die eingesetzten Tools und die damit verbundene Datenverarbeitung informiert werden. 
  • Auswirkungen über Captcha-Dienste hinaus: Das Urteil betrifft nicht nur Captcha-Dienste, sondern generell alle Arten von Drittanbieter-Tools. 
     

Anmerkung zu der technischen Bewertung: 

Es gibt Zweifel an der technischen Richtigkeit dieser Rechtsauffassung. Es kann mit guten Argumenten bezweifelt werden, ob die Einschätzung des Gerichts, dass reCAPTCHA technisch nicht notwendig seien, wirklich zutreffend ist. Fakt ist jedoch, dass das Urteil in der Welt ist, von einem Bundesgericht stammt und somit kaum nicht ignotiert werden darf. 
 

Zusammenfassung: 

Das Urteil des österreichischen BVerwG stellt klar, dass der Einsatz von Google reCAPTCHA auf Webseiten eine ausdrückliche Einwilligung der Nutzer erfordert. Die Entscheidung verdeutlicht die Bedeutung des Datenschutzes und zwingt Webseitenbetreiber dazu, ihre Praktiken hinsichtlich der Einbindung von Drittanbieter-Tools zu überdenken. Webseitenbetreiber müssen nun sicherstellen, dass sie die Zustimmung der Nutzer einholen und transparent über die Datenverarbeitung informieren.