Trust Center

captchaapi.eu wird als Einzelunternehmen nach tschechischem Recht betrieben. Dieselbe Rechtsperson ist Verantwortlicher für registrierte Nutzer, Verkäufer bei B2B-Transaktionen und Ansprechpartner für Sicherheitsmeldungen.

Federführende Aufsichtsbehörde in Datenschutzfragen ist das tschechische Úřad pro ochranu osobních údajů (ÚOOÚ) - www.uoou.cz. Für Streitigkeiten sind ausschließlich die zuständigen Gerichte Tschechiens berufen, unbeschadet zwingender Verbraucherschutzvorschriften in Ihrem Wohnsitzland.

Es ist kein Datenschutzbeauftragter (DSB) bestellt. Die derzeitigen Verarbeitungstätigkeiten erreichen die Schwellen des Art. 37 Abs. 1 DSGVO nicht (keine Behördeneigenschaft, keine umfangreiche regelmäßige und systematische Überwachung betroffener Personen, keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten). Ich überprüfe diese Einstufung jährlich mit dem Wachstum des Dienstes. Datenschutzanfragen richten Sie bitte an die oben genannte Kontaktadresse.

Ein Ein-Personen-Betrieb wirft eine berechtigte Frage auf: Was passiert mit Ihrer Integration, wenn ich nicht mehr da bin, um den Dienst zu betreiben? Hier ist die ehrliche Antwort, so aufbereitet, wie sie ein Kontinuitätsprüfer erwartet. Der Schutz liegt nicht in dem Versprechen, dass ich niemals verschwinde. Er liegt darin, dass ein Wechsel Sie einen Nachmittag kostet und nicht ein Quartal.

Die ehrliche Grenze: Solange der Dienst läuft, erfolgt die Ausstellung der Challenges auf meiner Infrastruktur, und das ist eine Abhängigkeit, die Sie eingehen. Bei den Punkten oben geht es darum, diese Abhängigkeit günstig verlassen zu können - nicht darum, so zu tun, als gäbe es sie nicht.

Sämtliche Anwendungsdaten, einschließlich des flüchtigen CAPTCHA-Challenge-Zustands und der operativen Datenbank, liegen ausschließlich auf Infrastruktur der Hetzner Online GmbH in Nürnberg, Deutschland. Es ist keine Replikation oder Failover auf Hetzner-Regionen außerhalb des EWR eingerichtet. CAPTCHA-Verifizierungsdaten werden nicht absichtlich aus der EU/dem EWR übermittelt. Die Datenflüsse der Zahlungsanbieter (Stripe / Lemon Squeezy) sind gesondert auf der Seite Unterauftragsverarbeiter dokumentiert.

Der minimale Fußabdruck an Unterauftragsverarbeitern ist eine bewusste Entscheidung. Die vollständige Liste wird auf der Seite Unterauftragsverarbeiter geführt; es folgt die Kurzfassung.

• Hetzner Online GmbH - Cloud-Infrastruktur (Nürnberg, Deutschland, EU - exklusiv). Verarbeitet sämtliche Anwendungsdaten.
• WEDOS, a.s. - Mailhosting für transaktionale E-Mails (Hluboká nad Vltavou, Tschechien, EU). Verarbeitet ausschließlich Empfängeradresse und Nachrichtentext für Kontobenachrichtigungen.
• Stripe Payments Europe Ltd. - Zahlungsabwickler für B2B-Kunden (captchaapi.eu bleibt Verkäufer). Eigenständiger Zahlungsanbieter für Verbrauchertransaktionen: Lemon Squeezy LLC (tritt als Merchant of Record unter eigenen Bedingungen auf - eigenständiger Verantwortlicher, kein Unterauftragsverarbeiter im strengen Sinne der DSGVO).

Die Ausstellung der Steuerrechnungen übernehmen hauseigene Tools, die auf der bei Hetzner gehosteten Anwendung laufen; kein Dritter erhält Rechnungsdaten.

Das CAPTCHA-Widget, das auf den Geräten Ihrer Besucher läuft, ist bewusst minimal gehalten. Alle technischen Details stehen in der Datenschutzerklärung; die zentralen Zusagen sind:

Das exakte Bundle, das an Ihre Besucher ausgeliefert wird, ist öffentlich unter /captcha.js einsehbar - minifiziert, aber nicht obfuskiert, ohne Anti-Debugger- oder Anti-Tamper-Schicht, und der Proof-of-Work-Worker-Code liegt wortgetreu samt Kommentaren im Bundle. Formatieren Sie es und Sie können Byte für Byte prüfen, was auf den Geräten der Besucher läuft.

Vergleich mit den drei gängigsten CAPTCHA-Alternativen, jede Aussage abgeglichen mit der veröffentlichten Dokumentation des jeweiligen Anbieters.

Was diese Tabelle nicht zeigt. Den größten Kompromiss bildet die Tabelle nicht ab: wie die zugrunde liegende Abwehr eigentlich funktioniert.

reCAPTCHA, hCaptcha und Turnstile betreiben fortlaufend trainiertes ML-Risk-Scoring gegen eine globale Sicht auf den Datenverkehr. Wirkt der Besucher unauffällig, kommt er still durch - keine Challenge, keine Reibung. Dieses unsichtbare Scoring ist bei Endkunden-Traffic ein echter Gewinn für die Nutzererfahrung und bei Hochvolumen-E-Commerce kaum zu schlagen.

captchaapi.eu macht das nicht. Die Abwehr ist ein deterministischer Proof-of-Work: Jede Anfrage zahlt auf dem Gerät des Besuchers dieselben Rechenkosten, egal ob das Modell den Besucher markiert hätte oder nicht. Der Kompromiss: Besucher durchlaufen eine kurze PoW-Berechnung statt eines unsichtbaren Scoring-Durchlaufs; dafür bleiben die Kosten auch unter koordinierten Angriffen mit hohem Volumen vorhersehbar (sie hängen nicht davon ab, dass die Erkennungsgenauigkeit hält), und die Entscheidungslogik ist nachprüfbar statt undurchsichtig.

Wenn Sie auf möglichst geringe Reibung bei Endkunden-Traffic optimieren und mit Risk-Scoring außerhalb der EU einverstanden sind, passen die Alternativen womöglich tatsächlich besser. Wenn Sie auf DSGVO-Sauberkeit, Nachvollziehbarkeit oder eine Abwehr setzen, deren Kosten Sie durchdenken können, dann ist das der Kompromiss, für den dieses Produkt gebaut wurde.

Die Zusagen, nach denen eine Due-Diligence-Prüfung üblicherweise fragt, an einem Ort. Jede Zeile ist die verbindliche Angabe aus dem daneben verlinkten Dokument; im Zweifel ist dieses Dokument maßgeblich.

Aufbewahrungsfristen für einzelne Datenkategorien (Logs, Abrechnungsunterlagen, VIES-Audit-Trail) sind in der Aufbewahrungstabelle der Datenschutzerklärung und im AVV Abschnitt 8 einzeln aufgeführt.

Jedes von dieser Seite referenzierte Rechtsdokument ist öffentlich verfügbar und mit Versionsstand versehen:

Vermutete Schwachstelle, Bedenken zur Datenverarbeitung oder Sicherheitsfrage? Nutzen Sie den eigenen Meldekanal - er geht direkt an mich, nicht in eine Support-Warteschlange:

Bitte geben Sie mir vor einer öffentlichen Offenlegung ein angemessenes Zeitfenster zur Einordnung und Behebung; koordinierte Offenlegung weiß ich zu schätzen und erwidere sie mit Nennung (sofern der Meldende zustimmt) im Changelog oder in den Release Notes.