CaptchaFox
Zusammenfassung aus Eigentümerschaft und CLOUD-Act-Risiko.
-
EU-souverän In EU-/EWR-/Schweizer Eigentum und betrieben, ohne erkennbares CLOUD-Act-Risiko.
-
EU-ansässig Dieser Eintrag EU-betrieben, mit höchstens geringfügigem oder vorübergehendem US-Bezug.
-
EU-gehostet EU-Hosting verfügbar, aber ein US-Mutterkonzern oder Hyperscaler-Unterauftragsverarbeiter erzeugt ein materielles Risiko.
-
US-verbunden Von einem US-Unternehmen betrieben, direkt der US-Jurisdiktion unterworfen.
Scoria Labs GmbH, Fokkerstr. 2, 85399 Hallbergmoos, Germany (HRB 283108, Munich Local Court)
Captcha aus dem Raum München (Scoria Labs GmbH) mit veröffentlichter Unterauftragsverarbeiter-Kette aus zwei Namen für das Widget: Hetzner und bunny.net, beide EU, ab 15 EUR/Monat.
CaptchaFox ist ein europäischer Dienst mit Hosting in Deutschland und höchstens geringfügigem, vorübergehendem US-Bezug nach dem CLOUD Act. Gelistet unter Captcha & Bot-Schutz.
Bewertungsnotizen
CaptchaFox is operated by Scoria Labs GmbH in Hallbergmoos near Munich and has the cleanest published processor chain in this category. Both of its privacy policies carry a named sub-processor table, and the one that governs the widget, the part that actually touches your visitors, contains exactly two entries: Hetzner Online GmbH (Germany, infrastructure) and BunnyWay d.o.o. (Slovenia, CDN), both EU-incorporated. The service-user side adds Simple Analytics B.V. (Netherlands, itself listed in our web-analytics category) and Stripe Payments Europe Ltd. (Ireland) for billing, which is the only US-owned link in the chain and touches account data rather than visitor data: Gering. The vendor states EU-only processing with no third-country transfers, and the observed infrastructure is consistent with that. One thing holds the score at 3/5 and it is procedural, not technical: the DPA is available on request only ("reach out and we will provide the agreement"), not as a page a buyer can read before signing up, which caps the score under our rubric regardless of how good the rest looks.
Befund
- CLOUD Act
- CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Dieser Eintrag Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
-
- Eigentümer
- Eigentümerschaft
Wo die letztliche Kontrolle über das Betreiberunternehmen liegt.
-
EU-Eigentum Dieser Eintrag In der EU ansässig und EU-kontrolliert; keine nennenswerte US-Beteiligung.
-
EU-Sitz, US-finanziert EU-Hauptsitz, aber von US-Risikokapital oder -Private-Equity kontrolliert.
-
EU-Tochter, US-Mutter Europäische Betriebsgesellschaft im Eigentum einer US-Muttergesellschaft.
-
US-Eigentum Das Betreiberunternehmen selbst hat seinen Hauptsitz in den USA.
-
Sonstige Eine Nicht-EU-Jurisdiktion. Schweizer/EWR-Eigentum gilt hier als europäisch; UK und andere nicht.
-
- Unterauftragsverarbeiter
- 4 · 1 US
Geprüfte Signale
-
EU-/Angemessenheits-Hosting: Ja
-
EU-/Angemessenheits-Betreiber: Ja
-
Keine US-CLOUD-Act-Exposition: Nicht bewertet
-
Öffentlicher AVV: Nicht bewertet
-
Unterauftragsverarbeiter offengelegt: Ja
-
Open-Source-Clients: Nein
-
Zertifizierung durch Dritte: Nein
Springen zu
Über CaptchaFox
CaptchaFox ist ein Bot-Schutz- und Captcha-Dienst der Scoria Labs GmbH aus Hallbergmoos bei München. Das Widget prüft Besucher ohne Cookies und ohne dauerhafte Speicherung im Browser, und genau das ist der praktische Grund, von reCAPTCHA wegzugehen: kein Eintrag im Cookie-Banner, keine Einwilligungsabhängigkeit für das Funktionieren des Formulars und eine Grundlage im berechtigten Interesse nach Art. 6 Abs. 1 lit. f statt einer Einwilligung. Über die Prüfung hinaus bietet die Plattform Bot-Erkennung mit Risikosignalen, Proxy- und VPN-Erkennung, eigene Regeln, Geolocation-Regeln und Widget-Gestaltung, dazu Integrationen und Plugins für WordPress, React und Angular.
Was den Dienst in dieser Kategorie heraushebt, ist die Dokumentation, nicht die Technik. CaptchaFox veröffentlicht eine namentliche Unterauftragsverarbeiter-Tabelle auf einer öffentlichen Seite, was hier fast niemand sonst tut, und die für das Widget gültige Tabelle nennt genau zwei Unternehmen: die Hetzner Online GmbH in Deutschland für die Infrastruktur und die BunnyWay d.o.o. in Slowenien für die Auslieferung. Beide sind EU-eingetragen, die Kette, durch die die IP-Adresse einer besuchenden Person tatsächlich läuft, enthält also überhaupt kein US-Glied. Die Richtlinie für Dienstnutzer ergänzt Simple Analytics B.V. (Niederlande) für die Website-Analyse des Anbieters und Stripe Payments Europe Ltd. (Irland) für die Kartenabrechnung; Stripes irische Einheit steht unter einer US-Mutter, was der einzige Grund ist, warum das Risiko als gering statt als keins erfasst ist: Gering.
Die Preise beginnen bei 15 € pro Monat für 10.000 Anfragen auf 2 Domains, dann Growth für 39 EUR (30.000 Anfragen), Team für 85 EUR (100.000 Anfragen plus Intelligence-APIs) und ein individueller Enterprise-Tarif mit 99,95 % Uptime-SLA. Es gibt eine kostenlose Testphase, aber keinen dauerhaft kostenlosen Tarif. Die eine Lücke für Beschaffungsleser ist der Auftragsverarbeitungsvertrag: CaptchaFox sagt, ein AVV sei in jedem Tarif enthalten, man muss ihn aber per E-Mail anfordern, und die aktuelle Unterauftragsverarbeiter-Liste sowie die technischen Maßnahmen kommen damit statt veröffentlicht zu sein. Nach unserer Bewertungslogik deckelt ein AVV, den man vor der Anmeldung nicht lesen kann, den Score bei 3/5, und das ist das Einzige, was diesen Eintrag von der Spitze der Kategorie trennt.
Unterauftragsverarbeiter-Karte · 4
-
Stripe Payments Europe Ltd. USIrland
Card payments and billing (service-user path)
-
BunnyWay d.o.o. (bunny.net) EUSlowenien
Content delivery network (widget path; Ljubljana, Slovenia)
-
Hetzner Online GmbH EUDeutschland
Infrastructure hosting (widget path; Industriestr. 25, Gunzenhausen, Germany)
-
Simple Analytics B.V. EUNiederlande
Web analytics on the vendor's own website (service-user path)
| Anbieter | Land | Zweck | Eigentümer |
|---|---|---|---|
| Stripe Payments Europe Ltd. | Irland | Card payments and billing (service-user path) | US |
| BunnyWay d.o.o. (bunny.net) | Slowenien | Content delivery network (widget path; Ljubljana, Slovenia) | EU |
| Hetzner Online GmbH | Deutschland | Infrastructure hosting (widget path; Industriestr. 25, Gunzenhausen, Germany) | EU |
| Simple Analytics B.V. | Niederlande | Web analytics on the vendor's own website (service-user path) | EU |
Quelle: veröffentlichte Unterauftragsverarbeiter-Liste des Anbieters, gelesen am 10 Aug 2026.
Rahmenwerke & Zertifizierungen · keine gelistet
Funktionsmatrix
Tabelle 2Funktionen von CaptchaFox
Integration & Zugriff
Compliance & Governance
Preise & Tarife
Öffentliche Dokumente
Alternativen in dieser Kategorie
-
TschechienEU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Nein Open Source: Ja -
-
Belgien · 2 $/Mt.EU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein -
-
Österreich · 9 €/Mt.EU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein -
| Produkt | Souveränität | CLOUD Act | Signale | Ab |
|---|---|---|---|---|
ALTCHA
Tschechien
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Nein
Open Source: Ja
|
— |
Botpoison
Belgien
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nein
Subprozessoren: Ja
Open Source: Nein
|
2 $/Mt. |
captcha.eu
Österreich
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nein
Subprozessoren: Ja
Open Source: Nein
|
9 €/Mt. |