Kontaktformular ohne Cookie-Banner

Google reCAPTCHA

reCAPTCHA setzt nach Googles eigener Dokumentation ein Cookie namens _GRECAPTCHA für die Risikoanalyse.⁴ Die französische Datenschutzbehörde CNIL hat festgestellt, dass reCAPTCHA Informationen über Hardware und Software des Geräts sammelt, und 2023 einen Betreiber unter anderem deshalb sanktioniert, weil er dafür keine Einwilligung eingeholt hatte.⁵ Das österreichische Bundesverwaltungsgericht hat 2024 entschieden, dass reCAPTCHA für den Betrieb einer Website technisch nicht notwendig ist und die Einwilligung hätte eingeholt werden müssen.⁶

Ein deutsches Urteil dazu gibt es bisher nicht. Das Bayerische Landesamt für Datenschutzaufsicht schreibt: „Website-Betreiber sollten unbedingt Alternativen prüfen.“ Wer reCAPTCHA trotzdem einsetzt, muss nachweisen können, dass das rechtmäßig ist.³

Seit dem 2. April 2026 behandelt Google reCAPTCHA als Auftragsverarbeitung: Verantwortlich ist der Website-Betreiber, Google verarbeitet in seinem Auftrag.⁴ Das ändert, wer für den Datenschutz geradesteht. Am Cookie ändert es nichts.

hCaptcha

hCaptcha gehört der Intuition Machines, Inc. mit Sitz in den USA, die nach dem EU-US Data Privacy Framework zertifiziert ist. Laut Datenschutzerklärung setzt hCaptcha nur „unbedingt notwendige“ Cookies, darunter hmt_id mit 30 Tagen Laufzeit.⁷ Das ist die Einschätzung des Anbieters, nicht die einer Aufsichtsbehörde.

Rechenaufgabe statt Bilderrätsel: Friendly Captcha und ALTCHA

Beide Verfahren arbeiten mit Proof of Work: Der Browser löst im Hintergrund eine Rechenaufgabe. Für einen einzelnen Besucher ist das kaum spürbar, für einen Bot, der massenhaft Formulare abschickt, wird es teuer. Bilderrätsel gibt es nicht.

Friendly Captcha ist ein Anbieter aus Deutschland. Er setzt keine Cookies und speichert nichts dauerhaft im Browser, nutzt für die laufende Sitzung aber den Session Storage.⁸ Standardmäßig läuft die Prüfung über Server weltweit, einen Endpunkt in Deutschland gibt es nur in den Tarifen Advanced und Enterprise.⁹

ALTCHA ist quelloffen unter MIT-Lizenz und lässt sich komplett auf dem eigenen Server betreiben. Laut Projekt setzt es keine Cookies, nutzt kein Fingerprinting und gibt keine Daten an Dritte weiter.¹⁰ Läuft es auf Ihrem Server, spricht der Browser mit keinem fremden Server.

Auch der Session Storage ist Speicher im Browser, das Gesetz unterscheidet nicht nach Technik. Ob Spam-Schutz als „unbedingt erforderlich“ gilt, haben die Aufsichtsbehörden nicht ausdrücklich entschieden. Die Datenschutzkonferenz rechnet Systeme zur Betrugsprävention und IT-Sicherheit grundsätzlich dem Dienst zu, den der Nutzer aufruft, hält eine pauschale Einstufung als „Sicherheitscookie“ aber nicht für ausreichend.¹¹

Verstecktes Prüffeld und Zeitprüfung

Die einfachste Lösung braucht kein Skript. Das Formular bekommt ein Feld, das Menschen nicht sehen und Bots trotzdem ausfüllen. Ist es ausgefüllt, verwirft der Server die Anfrage. Dazu kommt eine Zeitprüfung auf dem Server: Formulare, die wenige Sekunden nach dem Laden abgeschickt werden, sind verdächtig.

Für viele Firmenwebsites reicht das. Gegen Bots, die gezielt auf eine Seite angesetzt werden, hilft es weniger. Dann lohnt zusätzlich ein Verfahren mit Rechenaufgabe.

Eingebettete Formular-Tools

Viele Formulare stammen aus Werkzeugen wie Typeform, Jotform, HubSpot oder Google Forms und werden per iframe oder Skript eingebunden. Das Formular lädt dann beim Seitenaufruf vom Server des Anbieters, dabei geht die IP-Adresse Ihres Besuchers dorthin. Einige setzen zusätzlich Cookies:

• Jotform listet für eingebettete Formulare unter anderem ein Cookie, das Besucher 30 Tage lang wiedererkennt, und eines zur Messung von Marketing.¹²
• Typeform bietet einen eigenen Einwilligungsbanner im Formular an, der Tracking-Cookies bis zur Zustimmung blockiert.¹³
• HubSpot setzt Cookies wie hubspotutk, sobald sein Tracking-Code auf der Seite ist, und übergibt dieses Cookie beim Absenden des Formulars.¹⁴

Was genau passiert, hängt von Anbieter, Tarif und Einstellungen ab. Prüfen Sie es mit dem Selbsttest aus unserem Beitrag zur Rechtslage, und zwar auf der Seite mit dem Formular.

Die Alternative ist ein normales HTML-Formular auf Ihrer Seite, das die Daten an Ihren Server oder einen Formular-Dienst schickt. Von dort können sie weiter in Ihr CRM wandern, ohne dass im Browser Ihrer Besucher etwas davon passiert.

Wohin die Anfragen gehen

Irgendwo muss die Anfrage hin. Zwei übliche Wege:

• Ein Skript auf Ihrem Webserver, etwa in PHP, das die Anfrage per E-Mail verschickt. Die Daten bleiben bei Ihrem Hoster.
• Ein Formular-Dienst, an den das Formular die Daten schickt. Das ist praktisch bei statischen Websites ohne eigenen Server.

Für den Banner spielt das keine Rolle, solange das Formular normales HTML ist und kein Captcha des Dienstes einbindet: Bis zum Absenden lädt nichts von dort. Für die DSGVO schon. Wer Anfragen für Sie empfängt und speichert, verarbeitet Daten in Ihrem Auftrag. Dafür brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.²

Sitzt der Dienst in den USA, kommt die Übermittlung in ein Drittland dazu. Formspree betreibt seine Server nach eigenen Angaben bei Amazon Web Services in den USA.¹⁵ Netlify hat im eigenen Support-Forum bestätigt, dass Formulardaten in die USA übermittelt werden.¹⁶

Zulässig ist das derzeit über das EU-US Data Privacy Framework, wenn der Anbieter zertifiziert ist, oder über Standardvertragsklauseln.¹⁷ Das Gericht der EU hat eine Klage gegen das Framework im September 2025 abgewiesen,¹⁸ dagegen läuft ein Rechtsmittel beim Europäischen Gerichtshof.¹⁹ Die Vorgänger Safe Harbor und Privacy Shield hat der Gerichtshof 2015 und 2020 für ungültig erklärt.²⁰ Mit einem Dienst in der EU oder dem eigenen Server stellt sich diese Frage nicht.

Checkliste für Ihr Formular

1. Das Formular ist normales HTML auf Ihrer Seite, kein iframe und kein Skript eines Formular-Tools.
2. Der Spam-Schutz setzt keine Cookies: verstecktes Prüffeld und Zeitprüfung, bei Bedarf eine Rechenaufgabe.
3. Auf der Seite läuft kein Tracking-Code eines Marketing-Tools.
4. Mit dem Dienst, der die Anfragen empfängt, besteht ein Vertrag zur Auftragsverarbeitung.
5. Sie wissen, wo die Anfragen gespeichert und wann sie gelöscht werden.
6. Ihre Datenschutzerklärung beschreibt Formular, Dienst und Spam-Schutz.
7. Eine Einwilligungs-Checkbox braucht es in der Regel nicht. Ein Hinweis auf die Datenschutzerklärung unter dem Knopf genügt.
8. Der Selbsttest bleibt leer, auch nachdem Sie ins Formular geklickt und es abgeschickt haben.

So macht es diese Seite

Das Formular auf dieser Seite läuft über Formdall. Offen gesagt: Formdall ist unser eigener Formular-Dienst. Wir betreiben ihn auf Servern in Deutschland und nutzen ihn hier selbst.

Das Formular ist normales HTML. Gegen Spam gibt es ein verstecktes Prüffeld und ALTCHA. Dafür lädt die Seite beim Aufruf ein Skript von api.formdall.de, das ist ihre einzige Verbindung zu einem anderen Server. Die Rechenaufgabe holt der Browser erst, wenn Sie ins Formular klicken. Cookies setzt dabei niemand, im Browser wird nichts gespeichert. Formdall schickt uns die Anfrage per E-Mail und löscht sie nach 14 Tagen.

Wer eine statische Website selbst baut, kann Formdall über das action-Attribut des Formulars einbinden. Ein eigenes Skript auf dem Webserver funktioniert genauso gut. Die Checkliste oben gilt für beide Wege.

---

Dieser Beitrag erklärt die Rechtslage allgemein und ersetzt keine Rechtsberatung im Einzelfall. Angaben zu Anbietern stammen aus deren Dokumentation und können sich ändern. Wir sind Webentwickler, keine Anwälte.