Botpoison
Zusammenfassung aus Eigentümerschaft und CLOUD-Act-Risiko.
-
EU-souverän In EU-/EWR-/Schweizer Eigentum und betrieben, ohne erkennbares CLOUD-Act-Risiko.
-
EU-ansässig EU-betrieben, mit höchstens geringfügigem oder vorübergehendem US-Bezug.
-
EU-gehostet Dieser Eintrag EU-Hosting verfügbar, aber ein US-Mutterkonzern oder Hyperscaler-Unterauftragsverarbeiter erzeugt ein materielles Risiko.
-
US-verbunden Von einem US-Unternehmen betrieben, direkt der US-Jurisdiktion unterworfen.
Unsichtbarer Proof-of-Work-Spamfilter für Formulare (Team hinter Formspark), kostenlos bis 1.000 Prüfungen im Monat, mit veröffentlichter, überwiegend amerikanischer Unterauftragsverarbeiter-Liste und ohne genannte Rechtseinheit.
Botpoison bietet EU-Hosting in Irland, doch ein US-Mutterkonzern oder Unterauftragsverarbeiter hinterlässt ein materielles CLOUD-Act-Risiko. Gelistet unter Captcha & Bot-Schutz.
Bewertungsnotizen
Botpoison is an invisible proof-of-work spam filter for forms, from the team behind Formspark, and it does the one thing most of this category refuses to do: it publishes a named sub-processor list on a public page. That list is also why the score is 2/5, because five names on it are Amazon Web Services (cloud infrastructure), Google Analytics, Sentry (error reporting), Stripe (payments) and Formspark, and the first four are US-incorporated: Erheblich. The privacy policy states the products are operated from Belgium with data stored in Ireland, which puts the data in the EU under a US-owned operator. The bigger problem for a European buyer is that no legal entity is published anywhere: no company name, no registration number, no registered address, on a site selling to EU businesses that are themselves subject to imprint obligations. Country is recorded as Belgium purely on the vendor's own statement. There is no DPA either. Honest disclosure of an American stack is still worth more than silence, and it is why this is listed rather than skipped.
Befund
- CLOUD Act
- CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
-
- Eigentümer
- Eigentümerschaft
Wo die letztliche Kontrolle über das Betreiberunternehmen liegt.
-
EU-Eigentum In der EU ansässig und EU-kontrolliert; keine nennenswerte US-Beteiligung.
-
Europäisch Dieser Eintrag Schweizer/EWR-Eigentum ohne nennenswerte US-Beteiligung, gilt als europäisch.
-
EU-Sitz, US-finanziert EU-Hauptsitz, aber von US-Risikokapital oder -Private-Equity kontrolliert.
-
EU-Tochter, US-Mutter Europäische Betriebsgesellschaft im Eigentum einer US-Muttergesellschaft.
-
US-Eigentum Das Betreiberunternehmen selbst hat seinen Hauptsitz in den USA.
-
- Unterauftragsverarbeiter
- 6 · 5 US
Geprüfte Signale
-
EU-/Angemessenheits-Hosting: Ja
-
EU-/Angemessenheits-Betreiber: Ja
-
Keine US-CLOUD-Act-Exposition: Nein
-
Öffentlicher AVV: Nein
-
Unterauftragsverarbeiter offengelegt: Ja
-
Open-Source-Clients: Nein
-
Zertifizierung durch Dritte: Nein
Springen zu
Über Botpoison
Botpoison ist ein unsichtbarer Spamfilter für Webformulare auf Proof-of-Work-Basis, vom Team, das auch Formspark betreibt. Es gibt kein Rätsel und nichts anzuklicken: Der Browser rechnet im Hintergrund eine Aufgabe, und die Übermittlung trägt das Ergebnis mit. Der Funktionsumfang ist bewusst klein und Low-Code gehalten und zielt auf Kontakt- und Anmeldeformulare statt auf Bot-Filterung auf Verkehrsebene, mit einem kostenlosen Tarif für 1.000 Prüfungen im Monat, dann 2 USD für 5.000 und 7 USD für 50.000, bei unbegrenzten Installationen in jedem Tarif.
Der Eintrag hier hat einen Grund, der nichts mit der Technik zu tun hat: Botpoison veröffentlicht seine Unterauftragsverarbeiter namentlich auf einer öffentlichen Seite und liegt damit bei der Transparenz vor den meisten dieser Kategorie. Liest man die Liste, ist das Souveränitätsbild allerdings eindeutig. Genannt werden Amazon Web Services für die Cloud-Infrastruktur, Formspark für den Kundensupport, Google Analytics für die Website-Analyse, Sentry für die Fehlerprotokollierung und Stripe für Zahlungen. Vier dieser fünf sind US-eingetragen, und AWS und Sentry sitzen im Betriebspfad und nicht in der Abrechnung. Die Datenschutzerklärung sagt, Produkte und Web-Angebote würden aus Belgien betrieben und Informationen nach Irland übertragen und dort gespeichert, die Daten liegen also in der EU, während der Infrastrukturbetreiber amerikanisch ist: Erheblich. Die Live-Infrastruktur passt dazu: Auslieferung aus Amazon S3 hinter CloudFront, Unternehmensmail über Google Workspace.
Die für europäische Käufer wichtigste Lücke steht gar nicht auf der Liste. Nirgends auf der Website wird eine Rechtseinheit veröffentlicht: kein Firmenname, keine Registernummer, keine eingetragene Anschrift in den Nutzungsbedingungen, der Datenschutzerklärung oder einem Impressum, nur der Handelsname und eine Copyright-Zeile. Für einen Dienst, der an EU-Unternehmen verkauft wird, die selbst Impressumspflichten unterliegen, ist das eine relevante Auslassung, und deshalb beruht das hier erfasste Land vollständig auf dem eigenen Satz des Anbieters über den Betrieb aus Belgien. Einen AVV gibt es ebenfalls nicht.
Unterauftragsverarbeiter-Karte · 6
-
Amazon Web Services (AWS) USVereinigte Staaten
Cloud infrastructure (data stated by the vendor as stored in Ireland)
-
Google Ireland Limited (Google Workspace) USIrland
Corporate and support email (from public MX records, not on the vendor's list)
-
Google LLC (Google Analytics) USVereinigte Staaten
Website analytics
-
Sentry USVereinigte Staaten
Error reporting
-
Stripe, Inc. USVereinigte Staaten
Payment processing
-
Formspark EUSchweiz
Customer support (sibling product of the same team; listed separately in our forms-surveys category)
| Anbieter | Land | Zweck | Eigentümer |
|---|---|---|---|
| Amazon Web Services (AWS) | Vereinigte Staaten | Cloud infrastructure (data stated by the vendor as stored in Ireland) | US |
| Google Ireland Limited (Google Workspace) | Irland | Corporate and support email (from public MX records, not on the vendor's list) | US |
| Google LLC (Google Analytics) | Vereinigte Staaten | Website analytics | US |
| Sentry | Vereinigte Staaten | Error reporting | US |
| Stripe, Inc. | Vereinigte Staaten | Payment processing | US |
| Formspark | Schweiz | Customer support (sibling product of the same team; listed separately in our forms-surveys category) | EU |
Quelle: veröffentlichte Unterauftragsverarbeiter-Liste des Anbieters, gelesen am 10 Aug 2026.
Rahmenwerke & Zertifizierungen · keine gelistet
Funktionsmatrix
Tabelle 2Funktionen von Botpoison
Integration & Zugriff
Compliance & Governance
Preise & Tarife
Öffentliche Dokumente
Alternativen in dieser Kategorie
-
TschechienEU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Nein Open Source: Ja -
-
Österreich · 9 €/Mt.EU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein -
-
Deutschland · 15 €/Mt.EU-ansässigCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Dieser Eintrag Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nicht bewertet Subprozessoren: Ja Open Source: Nein -
| Produkt | Souveränität | CLOUD Act | Signale | Ab |
|---|---|---|---|---|
ALTCHA
Tschechien
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Nein
Open Source: Ja
|
— |
captcha.eu
Österreich
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nein
Subprozessoren: Ja
Open Source: Nein
|
9 €/Mt. |
CaptchaFox
Deutschland
|
EU-ansässig | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nicht bewertet
Subprozessoren: Ja
Open Source: Nein
|
15 €/Mt. |