Web Scraping und generative KI: der DSGVO-Leitfaden

Sind Sie betroffen?

• Entwickeln Sie ein KI-Modell mit allgemeinem Verwendungszweck oder ein generatives Modell und sammeln Sie Webinhalte in großem Umfang?
• Extrahieren Sie als Scraping-Dienstleister oder Datensatz-Anbieter Daten im Auftrag Ihrer Kunden?
• Verwenden Sie einen bereits gescrapten Datensatz weiter, um Ihr KI-System zu trainieren oder zu verfeinern?
• Betreiben Sie Monitoring, Aggregation, Vergleichsportale, Marketing oder Recruiting mit öffentlich zugänglichen Daten?

Dann gelten die Leitlinien für Sie — und mit ihnen die Frage, wo Sie anfangen sollen.

Was der Leitfaden zu Web Scraping und DSGVO behandelt

Dieser Leitfaden, verfasst von Dastra und Vigo Avocats für Datenschutzbeauftragte, Jurist:innen, CISOs, KI-Verantwortliche und Compliance-Teams, behandelt:

• die vier Etappen des Scrapings — und weshalb sich die Konformität schon bei der ersten entscheidet, den Erhebungskriterien;
• die Grundsätze des Artikels 5 DSGVO beim Scraping in großem Umfang: Datenminimierung, Richtigkeit und Transparenz;
• die Information der betroffenen Personen: wann die Befreiung von der individuellen Benachrichtigung greift (Art. 14 Abs. 5 lit. b DSGVO) — und welche öffentliche Information Sie im Gegenzug bereitstellen müssen;
• das berechtigte Interesse als Rechtsgrundlage für das KI-Training: die drei kumulativen Bedingungen und die Garantien, die bei der Abwägung ausschlaggebend sind;
• eine Maßnahmen-Checkliste nach Funktion: für DSB und Jurist:innen, CISOs und Datenteams, KI-Verantwortliche und die Geschäftsleitung.

Die Kernaussage: möglich, aber nie beiläufig

Der EDSA verbietet Web Scraping nicht — er knüpft es an Bedingungen. Die Einwilligung scheidet bei massenhafter indirekter Erhebung praktisch aus; online zu veröffentlichen heißt nicht einzuwilligen. Bleibt das berechtigte Interesse, und das trägt nur mit Garantien: präzise Erhebungskriterien, Ausschluss sensibler Quellen, Respekt für robots.txt und ai.txt, Pseudonymisierung, erleichterter Widerspruch. Ohne solche Maßnahmen gibt es kein berechtigtes Interesse — und damit keine Rechtsgrundlage.

Für die Governance heißt das: Scraping-Projekte gehören ins KI-Register und in die Risikobewertung, bevor der erste Crawler läuft — wie jeder andere KI-Anwendungsfall auch. Die Prüffragen dafür liefert unsere KI-Governance-Checkliste.

Was in Deutschland zusätzlich gilt

Die EDSA-Leitlinien betreffen nur die DSGVO — andere Regelwerke sind parallel zu prüfen. In Deutschland sind das insbesondere: die Strafvorschriften des § 42 BDSG und der §§ 202a ff. StGB, die Text-und-Data-Mining-Ausnahme des § 44b UrhG mit ihrem maschinenlesbaren Nutzungsvorbehalt, das Leistungsschutzrecht der Presseverleger und das Datenbankherstellerrecht (§§ 87a ff. UrhG) — sowie der AI Act mit dem Verbot des ungezielten Auslesens von Gesichtsbildern und den Transparenzpflichten für Trainingsdaten.

Die deutsche Rechtsprechung hat erste Pflöcke eingeschlagen: Das LG Hamburg hielt 2024 im LAION-Verfahren das Scraping für einen Forschungs-Trainingsdatensatz für zulässig (Urt. v. 27.09.2024 – 310 O 227/23) — und deutete zugleich an, dass Nutzungsvorbehalte in natürlicher Sprache maschinenlesbar sein können. Schon 2014 hatte der BGH Screen Scraping nicht per se als unlauter eingestuft, die Grenze aber bei der Überwindung technischer Schutzmaßnahmen gezogen („Flugvermittlung im Internet", I ZR 224/12). Der Leitfaden ordnet diese Ebenen ein.

Häufige Fragen

Ist Web Scraping legal?

Es kommt darauf an — ein pauschales Verbot gibt es nicht. Sobald personenbezogene Daten extrahiert, bereinigt, strukturiert oder gespeichert werden, gilt die DSGVO: Dann braucht es eine Rechtsgrundlage, Transparenz und dokumentierte Schutzmaßnahmen. Daneben können Urheberrecht, Datenbankrecht, AGB der Websites und Strafrecht Grenzen ziehen. Der Leitfaden zeigt, welche Bedingungen der EDSA für zulässiges Scraping formuliert.

Gilt die DSGVO auch für öffentlich zugängliche Daten?

Ja. Dass Daten frei im Web stehen, macht ihre Verarbeitung nicht frei. Öffentliche Verfügbarkeit ist keine Einwilligung — und das Fehlen einer robots.txt ebenso wenig.

Was ändern die EDSA-Leitlinien 03/2026?

Sie schaffen erstmals einen europaweiten Maßstab dafür, wie die DSGVO auf Web Scraping für KI-Training anzuwenden ist: von der Rollenverteilung zwischen Scraper und KI-Entwickler über die Transparenzpflichten bis zur Abwägung beim berechtigten Interesse. Noch ist es ein Entwurf — die Konsultation lief bis Ende Oktober 2026. Die Richtung ist aber gesetzt, und die Aufsichtsbehörden werden sich daran orientieren.

Leitfaden kostenlos herunterladen

Sobald Daten in ein Modell integriert wurden, lassen sie sich nicht ohne Weiteres wieder entfernen. Treffen Sie die richtigen Entscheidungen vor dem ersten Crawl.