Webseiten-Scraping: Was die neuen EDSA-Guidelines für Unternehmen bedeuten

Webseiten-Scraping – also das automatisierte Auslesen von Inhalten aus dem Internet – wird immer häufiger, besonders durch generative KI. Doch was ist dabei datenschutzrechtlich erlaubt? Die Europäische Datenschutzaufsichtsbehörde (EDSA) hat mit ihren Guidelines 03/2026 klare Regeln für Unternehmen und Entwickler festgelegt. Die Richtlinien unterscheiden dabei zwischen zwei Arten von Scraping: gezieltem und ungezieltem Scraping.

Was ist Webseiten-Scraping?

Webseiten-Scraping bezeichnet den automatisierten Prozess, bei dem ein Programm (ein so genannter Scraper) Daten von Webseiten extrahiert. Das kann z. B. das Sammeln von Produktpreisen, Nachrichtenartikeln oder Kontaktinformationen sein. Generative KI nutzt solche Daten oft, um Antworten zu trainieren oder Inhalte zu erstellen.

Die beiden Scraping-Arten im Fokus

Die EDSA unterteilt Scraping in zwei Kategorien:

• Gezieltes Scraping: Hier werden gezielt bestimmte Webseiten oder Datenquellen ausgewertet, z. B. um Preise von Wettbewerbern zu vergleichen. Die EDSA sieht dies als weniger problematisch an, solange die Daten öffentlich zugänglich sind und keine personenbezogenen Daten betroffen sind.

• Ungezieltes Scraping: Dabei werden große Mengen an Daten von vielen verschiedenen Webseiten gesammelt, oft ohne klare Auswahlkriterien. Dies ist aus Datenschutzsicht kritischer, da hier leicht personenbezogene Daten (z. B. Namen, E-Mail-Adressen) erfasst werden können – selbst wenn sie nicht direkt gesucht wurden.

Wann ist Scraping datenschutzkonform?

Die EDSA betont, dass Scraping nur dann zulässig ist, wenn:

1. Keine personenbezogenen Daten verarbeitet werden – oder die Betroffenen ihre Einwilligung gegeben haben.
2. Die Daten öffentlich zugänglich sind und keine technischen Schutzmaßnahmen (z. B. robots.txt-Dateien, die das Scraping verbieten) umgangen werden.
3. Der Zweck des Scrapings transparent ist und die Betroffenen darüber informiert werden, falls ihre Daten betroffen sind.
4. Die Daten nicht für unbestimmte Zwecke gespeichert oder weiterverarbeitet werden.

Zusätzlich müssen Unternehmen sicherstellen, dass sie keine urheberrechtlich geschützten Inhalte ohne Erlaubnis nutzen. Das gilt besonders, wenn die gescrapeten Daten für die Entwicklung von KI-Modellen verwendet werden.

Was bedeutet das konkret für Ihr Unternehmen?

Wenn Ihr Unternehmen Webseiten-Scraping nutzt – sei es für Marktanalysen, KI-Training oder andere Zwecke – müssen Sie sicherstellen, dass Sie die EDSA-Guidelines einhalten. Praktisch bedeutet das:

• Prüfen Sie, ob die gescrapeten Daten personenbezogen sind. Falls ja, benötigen Sie eine rechtliche Grundlage (z. B. Einwilligung der Betroffenen).
• Vermeiden Sie das Umgehen von Schutzmaßnahmen wie robots.txt oder Captchas.
• Dokumentieren Sie den Zweck des Scrapings und informieren Sie Betroffene, falls nötig.
• Nutzen Sie Scraping-Tools, die DSGVO-konform arbeiten und keine unnötigen Daten sammeln.

Falls Sie unsicher sind, ob Ihr Scraping-Prozess den Anforderungen entspricht, sollten Sie rechtliche Beratung einholen. Die EDSA-Guidelines sind verbindlich und Verstöße können zu Bußgeldern führen.

Was das für Nutzer bedeutet

Die Cloud-Dateien-Komponente in xynap ermöglicht das Speichern und Verwalten von Daten in einer DSGVO-konformen Umgebung. Wenn Sie gescrapete Daten in xynap verarbeiten, können Sie sicherstellen, dass diese lokal und kontrolliert gespeichert werden – ohne Abhängigkeit von externen Anbietern.