Botpoison ist ein unsichtbarer Spamfilter für Webformulare auf Proof-of-Work-Basis, vom Team, das auch Formspark betreibt. Es gibt kein Rätsel und nichts anzuklicken: Der Browser rechnet im Hintergrund eine Aufgabe, und die Übermittlung trägt das Ergebnis mit. Der Funktionsumfang ist bewusst klein und Low-Code gehalten und zielt auf Kontakt- und Anmeldeformulare statt auf Bot-Filterung auf Verkehrsebene, mit einem kostenlosen Tarif für 1.000 Prüfungen im Monat, dann 2 USD für 5.000 und 7 USD für 50.000, bei unbegrenzten Installationen in jedem Tarif.
Der Eintrag hier hat einen Grund, der nichts mit der Technik zu tun hat: Botpoison veröffentlicht seine Unterauftragsverarbeiter namentlich auf einer öffentlichen Seite und liegt damit bei der Transparenz vor den meisten dieser Kategorie. Liest man die Liste, ist das Souveränitätsbild allerdings eindeutig. Genannt werden Amazon Web Services für die Cloud-Infrastruktur, Formspark für den Kundensupport, Google Analytics für die Website-Analyse, Sentry für die Fehlerprotokollierung und Stripe für Zahlungen. Vier dieser fünf sind US-eingetragen, und AWS und Sentry sitzen im Betriebspfad und nicht in der Abrechnung. Die Datenschutzerklärung sagt, Produkte und Web-Angebote würden aus Belgien betrieben und Informationen nach Irland übertragen und dort gespeichert, die Daten liegen also in der EU, während der Infrastrukturbetreiber amerikanisch ist: Erheblich. Die Live-Infrastruktur passt dazu: Auslieferung aus Amazon S3 hinter CloudFront, Unternehmensmail über Google Workspace.
Die für europäische Käufer wichtigste Lücke steht gar nicht auf der Liste. Nirgends auf der Website wird eine Rechtseinheit veröffentlicht: kein Firmenname, keine Registernummer, keine eingetragene Anschrift in den Nutzungsbedingungen, der Datenschutzerklärung oder einem Impressum, nur der Handelsname und eine Copyright-Zeile. Für einen Dienst, der an EU-Unternehmen verkauft wird, die selbst Impressumspflichten unterliegen, ist das eine relevante Auslassung, und deshalb beruht das hier erfasste Land vollständig auf dem eigenen Satz des Anbieters über den Betrieb aus Belgien. Einen AVV gibt es ebenfalls nicht.