ALTCHA
Zusammenfassung aus Eigentümerschaft und CLOUD-Act-Risiko.
-
EU-souverän In EU-/EWR-/Schweizer Eigentum und betrieben, ohne erkennbares CLOUD-Act-Risiko.
-
EU-ansässig EU-betrieben, mit höchstens geringfügigem oder vorübergehendem US-Bezug.
-
EU-gehostet Dieser Eintrag EU-Hosting verfügbar, aber ein US-Mutterkonzern oder Hyperscaler-Unterauftragsverarbeiter erzeugt ein materielles Risiko.
-
US-verbunden Von einem US-Unternehmen betrieben, direkt der US-Jurisdiktion unterworfen.
BAU Software s.r.o., Lidická 700/19, 602 00 Brno, Czechia (VAT CZ19414480)
MIT-lizenziertes Proof-of-Work-Captcha aus Brünn (BAU Software s.r.o.) mit öffentlichem AVV und reinen EU-Endpunkten in der Cloud, die allerdings selbst auf AWS läuft.
ALTCHA bietet EU-Hosting in Tschechien, doch ein US-Mutterkonzern oder Unterauftragsverarbeiter hinterlässt ein materielles CLOUD-Act-Risiko. Gelistet unter Captcha & Bot-Schutz.
Bewertungsnotizen
ALTCHA is an open-source proof-of-work CAPTCHA (MIT) published by BAU Software s.r.o. in Brno, with an optional hosted Cloud tier. It is one of only two vendors in this category with a publicly downloadable DPA, and the Cloud service commits to EU-only endpoints and EU-only data residency for data processed on the customer's behalf. The MIT licence is the strongest part of the posture: the widget and the verification server can be self-hosted on your own EU infrastructure, which removes the vendor from the data path entirely. Against that, the Cloud tier's own privacy policy names Amazon Web Services for hosting, infrastructure and email delivery, and Paddle.com as merchant of record for billing, with account and billing data explicitly stated as possibly processed outside the EU. AWS operates the EU regions but is US-owned, so the hosted product carries material exposure even with EU residency: Erheblich. Self-hosting is what changes that, and it is why the self-hosted score is recorded separately.
Befund
- CLOUD Act
- CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
-
- Eigentümer
- Eigentümerschaft
Wo die letztliche Kontrolle über das Betreiberunternehmen liegt.
-
EU-Eigentum Dieser Eintrag In der EU ansässig und EU-kontrolliert; keine nennenswerte US-Beteiligung.
-
EU-Sitz, US-finanziert EU-Hauptsitz, aber von US-Risikokapital oder -Private-Equity kontrolliert.
-
EU-Tochter, US-Mutter Europäische Betriebsgesellschaft im Eigentum einer US-Muttergesellschaft.
-
US-Eigentum Das Betreiberunternehmen selbst hat seinen Hauptsitz in den USA.
-
Sonstige Eine Nicht-EU-Jurisdiktion. Schweizer/EWR-Eigentum gilt hier als europäisch; UK und andere nicht.
-
- Unterauftragsverarbeiter
- 3 · 1 US
Geprüfte Signale
-
EU-/Angemessenheits-Hosting: Ja
-
EU-/Angemessenheits-Betreiber: Ja
-
Keine US-CLOUD-Act-Exposition: Nein
-
Öffentlicher AVV: Ja
-
Unterauftragsverarbeiter offengelegt: Nein
-
Open-Source-Clients: Ja
-
Zertifizierung durch Dritte: Nein
Die Exposition hängt davon ab, wie Sie dieses Produkt betreiben.
Anbieterbetrieben: die unten genannten Unterauftragsverarbeiter gelten.
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Auf eigener EU-Infrastruktur betreiben: Sie kontrollieren Hosting und jeden Unterauftragsverarbeiter.
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines Dieser Eintrag EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Springen zu
Über ALTCHA
ALTCHA ist eine quelloffene Captcha-Alternative auf Proof-of-Work-Basis, herausgegeben von der BAU Software s.r.o. im tschechischen Brünn. Das Widget lässt den Browser der besuchenden Person ein Rätsel rechnen, statt von ihr eine Handlung zu verlangen, setzt keine Cookies, speichert nichts im Browser und ist auf Konformität mit WCAG 2.2 AA und dem European Accessibility Act ausgelegt. Das wiegt schwerer, als es klingt: Ein nicht barrierefreies Captcha ist seit Juni 2025 ein eigenes Rechtsrisiko. Das Kernprojekt steht unter MIT-Lizenz mit rund 2.600 Sternen im Repository, es gibt offizielle Integrationen für React, Angular und WordPress sowie dokumentierte Migrationsanleitungen von reCAPTCHA, hCaptcha und Cloudflare Turnstile.
Es gibt zwei Betriebsarten, und sie fallen in der Prüfung sehr unterschiedlich aus. Selbst gehostet betreiben Sie Widget und Prüfserver auf eigener Infrastruktur, es gibt dann überhaupt keinen Dritten als Verarbeiter, und das ist die stärkste Aufstellung dieser gesamten Kategorie. ALTCHA Cloud ist die verwaltete Variante, beworben mit EU-Hosting und reinen EU-Endpunkten, verkauft in den Stufen Cloud, Cloud Plus und Cloud Max, die sich in der Zahl geschützter Websites und der API-Kapazität unterscheiden, nicht im Funktionsumfang, mit monatlicher oder jährlicher Abrechnung und kostenloser Testphase. Dazu kommt ALTCHA Sentinel, ein selbst hostbarer Server zur Bedrohungserkennung mit adaptiven Prüfungen, Spam-Filter und Klassifizierung.
Bei den Unterlagen liegt ALTCHA vor dem Rest der Kategorie: Ein AVV ist als herunterladbares PDF veröffentlicht, dazu gibt es Compliance-Seiten je Regelwerk für DSGVO, WCAG, EAA und weitere. Bei der Infrastruktur liegt es zurück: Die Datenschutzerklärung nennt Amazon Web Services als Anbieter für Hosting, Infrastruktur, E-Mail-Versand und Sicherheit sowie Paddle.com als Zahlungsdienstleister und sagt, dass Konto- und Abrechnungsdaten außerhalb der EU verarbeitet werden können. Die EU-Residenz-Zusage deckt also die Daten ab, die ALTCHA für Sie verarbeitet, während der Betreiber darunter amerikanisch ist: Erheblich. Preise der Cloud-Tarife sind auf der Preisseite nicht veröffentlicht.
Unterauftragsverarbeiter-Karte · 3
-
Amazon Web Services (AWS) USVereinigte Staaten
Hosting, infrastructure, email delivery and security for ALTCHA Cloud; the vendor commits to EU-only endpoints and EU data residency for customer-processed data
-
BunnyWay d.o.o. (bunny.net) EUSlowenien
Content delivery for the documentation site (observed in live response headers, not named by the vendor)
-
Paddle.com non-USVereinigtes Königreich
Merchant of record for payments and billing; account and billing data may be processed outside the EU
| Anbieter | Land | Zweck | Eigentümer |
|---|---|---|---|
| Amazon Web Services (AWS) | Vereinigte Staaten | Hosting, infrastructure, email delivery and security for ALTCHA Cloud; the vendor commits to EU-only endpoints and EU data residency for customer-processed data | US |
| BunnyWay d.o.o. (bunny.net) | Slowenien | Content delivery for the documentation site (observed in live response headers, not named by the vendor) | EU |
| Paddle.com | Vereinigtes Königreich | Merchant of record for payments and billing; account and billing data may be processed outside the EU | non-US |
Quelle: veröffentlichte Unterauftragsverarbeiter-Liste des Anbieters, gelesen am 10 Aug 2026.
Rahmenwerke & Zertifizierungen · keine gelistet
Funktionsmatrix
Tabelle 2Funktionen von ALTCHA
Integration & Zugriff
Compliance & Governance
Preise & Tarife
Kontaktieren Sie den Anbieter für Staffel- oder Mengenpreise.
Preisseite ansehenÖffentliche Dokumente
Alternativen in dieser Kategorie
-
Belgien · 2 $/Mt.EU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein -
-
Österreich · 9 €/Mt.EU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein -
-
Deutschland · 15 €/Mt.EU-ansässigCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Dieser Eintrag Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nicht bewertet Subprozessoren: Ja Open Source: Nein -
| Produkt | Souveränität | CLOUD Act | Signale | Ab |
|---|---|---|---|---|
Botpoison
Belgien
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nein
Subprozessoren: Ja
Open Source: Nein
|
2 $/Mt. |
captcha.eu
Österreich
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nein
Subprozessoren: Ja
Open Source: Nein
|
9 €/Mt. |
CaptchaFox
Deutschland
|
EU-ansässig | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nicht bewertet
Subprozessoren: Ja
Open Source: Nein
|
15 €/Mt. |