Friendly Captcha
Zusammenfassung aus Eigentümerschaft und CLOUD-Act-Risiko.
-
EU-souverän In EU-/EWR-/Schweizer Eigentum und betrieben, ohne erkennbares CLOUD-Act-Risiko.
-
EU-ansässig EU-betrieben, mit höchstens geringfügigem oder vorübergehendem US-Bezug.
-
EU-gehostet Dieser Eintrag EU-Hosting verfügbar, aber ein US-Mutterkonzern oder Hyperscaler-Unterauftragsverarbeiter erzeugt ein materielles Risiko.
-
US-verbunden Von einem US-Unternehmen betrieben, direkt der US-Jurisdiktion unterworfen.
Friendly Captcha GmbH, Wörthsee, Germany (HRB 260542, Munich Local Court)
Deutsches cookiefreies Proof-of-Work-Captcha (Friendly Captcha GmbH) ab 9 EUR/Monat, doch AVV und Unterauftragsverarbeiter-Liste sind passwortgeschützt und reines EU-Hosting ist ein kostenpflichtiger Tarif.
Friendly Captcha bietet EU-Hosting in Deutschland, doch ein US-Mutterkonzern oder Unterauftragsverarbeiter hinterlässt ein materielles CLOUD-Act-Risiko. Gelistet unter Captcha & Bot-Schutz.
Bewertungsnotizen
Friendly Captcha is the best-known German name in this category, operated by Friendly Captcha GmbH in Wörthsee near Munich with no US parent or funding round found. It is also the listing where the marketing and the published documents diverge most. Three claims from the vendor's submission did not verify against its own pages: the DPA at friendlycaptcha.com/legal/dpa is password-protected, so no buyer can read it before signing; the named sub-processor list exists only as Appendix 3 of that DPA, behind the same password, while the public privacy policy names categories of recipients; and EU-only hosting is not the default, because the homepage states data centres in the EU, US, Asia and around the world, with dedicated EU-only data centres listed as an Advanced-plan feature rather than a baseline. With EU-only processing off by default and the operators of that worldwide network unnamed, CLOUD Act exposure is recorded as Erheblich. ISO/IEC 27001 (audited by TÜV SÜD, per the vendor) and WCAG 2.2 AA "certified by TÜV" are both claimed without a published certificate or report, so neither is recorded as a certification. The product itself is a solid cookie-free proof-of-work widget and the company is genuinely German. What is missing is the evidence, and every item on that list is fixable by publishing a page.
Befund
- CLOUD Act
- CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
-
- Eigentümer
- Eigentümerschaft
Wo die letztliche Kontrolle über das Betreiberunternehmen liegt.
-
EU-Eigentum Dieser Eintrag In der EU ansässig und EU-kontrolliert; keine nennenswerte US-Beteiligung.
-
EU-Sitz, US-finanziert EU-Hauptsitz, aber von US-Risikokapital oder -Private-Equity kontrolliert.
-
EU-Tochter, US-Mutter Europäische Betriebsgesellschaft im Eigentum einer US-Muttergesellschaft.
-
US-Eigentum Das Betreiberunternehmen selbst hat seinen Hauptsitz in den USA.
-
Sonstige Eine Nicht-EU-Jurisdiktion. Schweizer/EWR-Eigentum gilt hier als europäisch; UK und andere nicht.
-
- Unterauftragsverarbeiter
- — nicht offengelegt
Geprüfte Signale
-
EU-/Angemessenheits-Hosting: Ja
-
EU-/Angemessenheits-Betreiber: Ja
-
Keine US-CLOUD-Act-Exposition: Nein
-
Öffentlicher AVV: Nein
-
Unterauftragsverarbeiter offengelegt: Nein
-
Open-Source-Clients: Nein
-
Zertifizierung durch Dritte: Nein
Springen zu
Über Friendly Captcha
Friendly Captcha ist ein cookiefreies Proof-of-Work-Captcha der Friendly Captcha GmbH mit Sitz in Wörthsee bei München, eingetragen beim Amtsgericht München unter HRB 260542. Es ist wohl der bekannteste deutsche Eintrag dieser Kategorie, und das Produkt erledigt seine Kernaufgabe gut: Das Widget rechnet ein kryptografisches Rätsel im Browser der besuchenden Person, statt eine Aufgabe zu stellen, setzt keine Cookies und kommt ohne Eintrag im Consent-Banner aus. Die Preise reichen von einem kostenlosen Tarif für nichtkommerzielle Nutzung über Starter für 9 € und Growth für 39 EUR bis Advanced für 200 EUR pro Monat.
In dieses Verzeichnis kam der Dienst über eine Anbietereinreichung, und diese Einreichung ist der Grund, warum der Eintrag so ausfällt. Drei der vier Compliance-Aussagen darin hielten am Prüftag den eigenen öffentlichen Seiten von Friendly Captcha nicht stand. Der Auftragsverarbeitungsvertrag unter friendlycaptcha.com/legal/dpa liefert eine Seite mit dem Hinweis, der Inhalt sei passwortgeschützt, eine kaufinteressierte Person kann den Vertrag also vor der Anmeldung nicht lesen. Die namentliche Unterauftragsverarbeiter-Liste gibt es zwar, als Anlage 3 ("Approved Sub-Processors") dieses Vertrags, sie liegt aber hinter demselben Passwort; die öffentliche Datenschutzerklärung beschreibt nur Empfängerkategorien wie IT-Dienstleister, Datenspeicherung und Hosting. Und reines EU-Hosting ist nicht die Grundeinstellung: Die Startseite nennt Rechenzentren in der EU, den USA, Asien und weltweit, die Datenschutzerklärung für Dienstnutzer spricht von über 200 Rechenzentren weltweit, wobei Anfragen an ein nahe gelegenes Rechenzentrum geleitet werden, und die Preistabelle führt dedizierte Rechenzentren ("z. B. nur EU") als Funktion des Advanced-Tarifs für 200 EUR im Monat sowie von Enterprise, nicht der Einstiegstarife. Da reine EU-Verarbeitung nicht voreingestellt ist und die Betreiber dieses Netzes nicht genannt werden, lautet die Einstufung der CLOUD-Act-Exposition: Erheblich.
Das Security Center nennt eine Zertifizierung nach ISO/IEC 27001:2022, auditiert von TÜV SÜD und gültig bis August 2029, und die Barrierefreiheitsseite behauptet eine WCAG-2.2-AA-Konformität "zertifiziert durch TÜV". Zu keinem von beiden sind Zertifikat, Bericht oder Prüfdatum veröffentlicht, daher wird hier keines als Zertifizierung geführt. Nichts davon ist ein Urteil darüber, wie gut das Widget Bots abwehrt, und das Unternehmen ist deutsch, ohne in öffentlichen Registern auffindbare US-Mutter oder US-Finanzierungsrunde. Der Eintrag hält fest, was eine kaufende Person vor Vertragsschluss überprüfen kann. Jede dieser Lücken lässt sich durch die Veröffentlichung einer Seite schließen, und der Eintrag wird dann aktualisiert.
Unterauftragsverarbeiter-Karte · nicht offengelegt
Rahmenwerke & Zertifizierungen · keine gelistet
Funktionsmatrix
Tabelle 1Funktionen von Friendly Captcha
Integration & Zugriff
Compliance & Governance
Preise & Tarife
Öffentliche Dokumente
-
fehltAuftragsverarbeitungsvertrag (AVV)— fehlt
-
fehltListe der Unterauftragsverarbeiter— fehlt
-
ÖffnenNutzungsbedingungenfriendlycaptcha.com/legal…
Alternativen in dieser Kategorie
-
TschechienEU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Nein Open Source: Ja -
-
Belgien · 2 $/Mt.EU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein -
-
Österreich · 9 €/Mt.EU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein -
| Produkt | Souveränität | CLOUD Act | Signale | Ab |
|---|---|---|---|---|
ALTCHA
Tschechien
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Nein
Open Source: Ja
|
— |
Botpoison
Belgien
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nein
Subprozessoren: Ja
Open Source: Nein
|
2 $/Mt. |
captcha.eu
Österreich
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nein
Subprozessoren: Ja
Open Source: Nein
|
9 €/Mt. |