Für das Training und die Weiterentwicklung generativer KI werden enorme Datenmengen benötigt. Eine Möglichkeit, diese zu gewinnen, ist Web-Scraping: Inhalte öffentlich zugänglicher Webseiten werden automatisiert ausgelesen und gespeichert.

Doch öffentlich zugänglich bedeutet nicht automatisch frei verwendbar. Werden dabei personenbezogene Daten erfasst, gelten die Anforderungen der DSGVO.

Die neuen Guidelines 03/2026 des Europäischen Datenschutzausschusses (EDSA) zeigen, worauf Unternehmen beim Web-Scraping im Kontext generativer KI achten sollten. Die Leitlinien befinden sich derzeit noch in der öffentlichen Konsultation.

Wann wird Web-Scraping zum Datenschutzthema?

Beim Scraping können neben Texten und anderen Inhalten auch Namen, Bilder, Kontaktdaten oder weitere personenbezogene Informationen erfasst werden.

Wer solche Daten verarbeitet, benötigt eine Rechtsgrundlage. In Betracht kommt insbesondere das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Dafür muss jedoch unter anderem geprüft werden, ob die Verarbeitung erforderlich ist und ob die Interessen und Rechte der betroffenen Personen überwiegen.

Wichtig: Das Fehlen einer robots.txt-Datei ist keine Einwilligung in das Scraping personenbezogener Daten.Technische Maßnahmen, die Scraping ausdrücklich einschränken sollen, sollten entsprechend berücksichtigt werden.

Was sollten Unternehmen beachten?

Der EDSA empfiehlt unter anderem, bereits vor dem Scraping festzulegen, welche Daten tatsächlich benötigt werden und aus welchen Quellen sie stammen dürfen. Sammel- und Ausschlusskriterien sollten definiert, sensible Webseiten möglichst ausgeschlossen und personenbezogene Daten nach Möglichkeit anonymisiert oder pseudonymisiert werden.

Besondere Vorsicht gilt bei sensiblen personenbezogenen Daten nach Art. 9 DSGVO. Hier sind zusätzliche Schutz- und Filtermechanismen erforderlich.

Auch die Transparenz gegenüber Betroffenen bleibt relevant. Unternehmen sollten daher nachvollziehbar dokumentieren, welche Daten sie zu welchem Zweck und aus welchen Quellen verarbeiten.

Fazit: Öffentlich heißt nicht frei verfügbar

Web-Scraping kann für KI-Anwendungen wertvoll sein. Unternehmen sollten jedoch nicht davon ausgehen, dass öffentlich erreichbare Daten automatisch uneingeschränkt für KI-Training oder andere Zwecke genutzt werden dürfen.

Die zentrale Frage sollte deshalb nicht nur lauten: „Können wir diese Daten scrapen?“, sondern auch: „Dürfen wir sie für diesen Zweck verarbeiten?“

Die EDSA-Guidelines befinden sich aktuell noch in der Konsultationsphase. Unternehmen, die Web-Scraping für KI einsetzen oder entsprechende Datensätze beziehen, sollten die weitere Entwicklung daher im Blick behalten.