CaptchaFox ist ein Bot-Schutz- und Captcha-Dienst der Scoria Labs GmbH aus Hallbergmoos bei München. Das Widget prüft Besucher ohne Cookies und ohne dauerhafte Speicherung im Browser, und genau das ist der praktische Grund, von reCAPTCHA wegzugehen: kein Eintrag im Cookie-Banner, keine Einwilligungsabhängigkeit für das Funktionieren des Formulars und eine Grundlage im berechtigten Interesse nach Art. 6 Abs. 1 lit. f statt einer Einwilligung. Über die Prüfung hinaus bietet die Plattform Bot-Erkennung mit Risikosignalen, Proxy- und VPN-Erkennung, eigene Regeln, Geolocation-Regeln und Widget-Gestaltung, dazu Integrationen und Plugins für WordPress, React und Angular.
Was den Dienst in dieser Kategorie heraushebt, ist die Dokumentation, nicht die Technik. CaptchaFox veröffentlicht eine namentliche Unterauftragsverarbeiter-Tabelle auf einer öffentlichen Seite, was hier fast niemand sonst tut, und die für das Widget gültige Tabelle nennt genau zwei Unternehmen: die Hetzner Online GmbH in Deutschland für die Infrastruktur und die BunnyWay d.o.o. in Slowenien für die Auslieferung. Beide sind EU-eingetragen, die Kette, durch die die IP-Adresse einer besuchenden Person tatsächlich läuft, enthält also überhaupt kein US-Glied. Die Richtlinie für Dienstnutzer ergänzt Simple Analytics B.V. (Niederlande) für die Website-Analyse des Anbieters und Stripe Payments Europe Ltd. (Irland) für die Kartenabrechnung; Stripes irische Einheit steht unter einer US-Mutter, was der einzige Grund ist, warum das Risiko als gering statt als keins erfasst ist: Gering.
Die Preise beginnen bei 15 € pro Monat für 10.000 Anfragen auf 2 Domains, dann Growth für 39 EUR (30.000 Anfragen), Team für 85 EUR (100.000 Anfragen plus Intelligence-APIs) und ein individueller Enterprise-Tarif mit 99,95 % Uptime-SLA. Es gibt eine kostenlose Testphase, aber keinen dauerhaft kostenlosen Tarif. Die eine Lücke für Beschaffungsleser ist der Auftragsverarbeitungsvertrag: CaptchaFox sagt, ein AVV sei in jedem Tarif enthalten, man muss ihn aber per E-Mail anfordern, und die aktuelle Unterauftragsverarbeiter-Liste sowie die technischen Maßnahmen kommen damit statt veröffentlicht zu sein. Nach unserer Bewertungslogik deckelt ein AVV, den man vor der Anmeldung nicht lesen kann, den Score bei 3/5, und das ist das Einzige, was diesen Eintrag von der Spitze der Kategorie trennt.