Kurz gesagt: Die DSGVO verbietet Web Scraping nicht. Sobald ein Scraper jedoch Informationen über identifizierbare Personen erhebt, speichert, organisiert oder weiterverwendet, verarbeitet er personenbezogene Daten. „Es war öffentlich“ ist noch keine Compliance-Strategie.
Genau dieser Unterschied lässt sich inzwischen kaum noch ignorieren. Im Juli 2026 stellte der Europäische Datenschutzausschuss (EDPB) klar, dass die DSGVO beim Scraping greift, wenn dabei Verarbeitungsvorgänge mit personenbezogenen Daten stattfinden, und hob insbesondere Zweckbindung und Transparenz als zentrale Themen hervor. Die neuen Leitlinien zum Web Scraping stehen zwar noch zur Konsultation offen, die Richtung ist jedoch eindeutig: Das technische Einsammeln einer Seite ist erst der Anfang der Compliance-Frage. EDPB-Update
Dieser Leitfaden versteht sich als praxistaugliches Arbeitsmodell, nicht als Rechtsberatung. Nutzen Sie ihn, um bessere Produkt- und Engineering-Entscheidungen zu treffen, und ziehen Sie bei echten Risiken zusätzlich Ihre Datenschutzrechtsberatung oder den DSB hinzu.
Zuerst: „Darf man scrapen?“ von „Darf man die Daten nutzen?“ trennen
Oft werden drei unterschiedliche Fragen in einen Topf geworfen:
| Frage | Was damit gemeint ist |
|---|---|
| Zugriff | Sind Sie berechtigt, auf die Website zuzugreifen und das Material zu erfassen? |
| Datenschutz | Wenn Personen identifizierbar sind, dürfen Sie die Daten nach DSGVO verarbeiten? |
| Weiterverwendung | Dürfen Sie die Daten aufbewahren, anreichern, verkaufen, für Trainings nutzen, veröffentlichen oder zur Kontaktaufnahme verwenden? |
Eine dieser Hürden zu nehmen, heißt nicht, auch die anderen überwunden zu haben. Eine Seite kann öffentlich einsehbar sein und ihre Inhalte trotzdem personenbezogene Daten enthalten. Ein technisch erfolgreicher Crawl kann dennoch DSGVO-, Vertrags-, Urheberrechts-, Datenbankrecht-, Verbraucherschutz- oder Marketingrechtsthemen auslösen.
Behandeln Sie Compliance deshalb als Prozess, bevor Sie starten – nicht als nachträglichen Absatz in der Datenschutzerklärung.
1. Prüfen, ob die DSGVO überhaupt einschlägig ist
Beginnen Sie mit zwei Fragen.
Enthält das Datenset personenbezogene Daten?
Personenbezogene Daten sind weiter zu verstehen als nur Name oder E-Mail-Adresse. Gemeint sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen – etwa Profilbild, nutzungsbezogener Username, Standortdaten, IP-Adresse, beruflicher Werdegang, Bewertungen oder die Kombination mehrerer an sich unauffälliger Angaben. EDPB-Definition
Daten auf Unternehmensebene können in manchen Fällen unkritisch sein. Ein „Business-Kontakt“ wird jedoch schnell zu personenbezogenen Daten, wenn darin ein Einzelunternehmer mit Namen, eine direkte Mitarbeiter-E-Mail, eine Mobilnummer oder ein verknüpftes Profil enthalten ist. Planen Sie für das realistische Datenset, nicht für die theoretisch ideale Version.
Gilt die DSGVO für Ihr Unternehmen und den Zweck?
Die DSGVO kann anwendbar sein, wenn die Verarbeitung mit einer Niederlassung in der EU verbunden ist. Sie kann auch für Organisationen außerhalb der EU gelten, wenn diese Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten. Überblick der Europäischen Kommission
Wenn beide Antworten „ja“ lauten, sollte der Scrape grundsätzlich einem dokumentierten DSGVO-Prozess folgen. Ist die Lage unklar, nehmen Sie Unsicherheit nicht als Freifahrtschein – eskalieren Sie den Fall.
2. Vor dem Crawl ein einseitiges Erhebungskonzept schreiben
Die einfachste Maßnahme ist zugleich die wichtigste: Festlegen, was Sie brauchen, bevor Sie Daten sammeln.
Das Konzept sollte folgende Fragen beantworten:
- Zweck: Welche konkrete Entscheidung, welcher Service oder welche Analyse benötigt diese Daten?
- Personen und Felder: Welche Personengruppen können vorkommen, und welche Felder sind tatsächlich notwendig?
- Quelle und Zugriff: Ist der Inhalt frei zugänglich? Wehrt sich die Quelle über AGB, Robots-Regeln, Login-Schranken oder andere technische Hürden?
- Nutzung und Empfänger: Wer sieht die Ergebnisse? Werden die Daten angereichert, exportiert, weitergegeben, für Direktmarketing oder für Model-Training verwendet?
- Aufbewahrung: Wann werden Rohdaten, Arbeitskopien und abgeleitete Datensätze gelöscht oder überprüft?
- Zuständigkeit: Wer ist Verantwortlicher, wer Auftragsverarbeiter, und wer bearbeitet Auskunfts- und Löschanfragen?
Das ist keine Bürokratie um ihrer selbst willen. Die DSGVO verlangt einen klar bestimmten Zweck sowie Daten, die angemessen, relevant und auf das Notwendige beschränkt sind. Grundsätze der Europäischen Kommission
3. Eine Rechtsgrundlage festlegen und dokumentieren – nicht vermuten
Für jede Verarbeitung personenbezogener Daten braucht es eine Rechtsgrundlage. Einwilligung kann in manchen Produkten passen, ist aber nicht die Standardantwort für öffentlich verfügbare Webdaten. Für manche Unternehmen kann berechtigtes Interesse eine mögliche Grundlage sein – allerdings nur bei eng begrenztem Scraping und mit echten Schutzmaßnahmen. Automatisch ist das keineswegs.
Eine belastbare Interessenabwägung prüft drei Punkte:
- Ist das Interesse rechtmäßig, konkret, real und aktuell?
- Ist diese Erhebung für den Zweck erforderlich, oder gibt es eine weniger eingreifende Alternative?
- Überwiegen die Interessen, Rechte oder vernünftigen Erwartungen der betroffenen Person Ihr Interesse?
Die CNIL weist darauf hin, dass öffentlich zugängliche Daten, die per Scraping erhoben werden, in der Regel unter dem Blickwinkel berechtigter Interessen betrachtet werden, dabei aber zusätzliche Maßnahmen nötig sind, um die Auswirkungen auf Betroffene zu verringern. Außerdem betont sie die Einzelfallprüfung statt einer pauschalen Erlaubnis. CNIL-Leitlinie
Dokumentieren Sie die Analyse, ihre Annahmen und die gewählten Schutzmaßnahmen. „Das Profil war öffentlich“ ist ein Kontext für die Abwägung – nicht die Abwägung selbst.
4. Datenminimierung technisch erzwingen
Der beste konforme Datensatz ist oft der, den Ihr Scraper gar nicht erst erfasst hat.
Bauen Sie folgende Leitplanken direkt in den Erhebungsjob ein:
- Feld-Whitelist. Definieren Sie genau, welche Felder Sie brauchen; scrapen Sie nicht einfach alles Sichtbare, nur weil es möglich ist.
- Sensible Kategorien ausschließen. Schließen Sie Gesundheitsdaten, politische, religiöse, gewerkschaftliche, sexuelle, biometrische und andere besondere Kategorien aus, sofern nicht eine konkrete Rechtsgrundlage rechtlich sauber aufgesetzt wurde. Auch gewöhnlicher Text kann solche Kategorien unbeabsichtigt offenbaren.
- Hochriskante Quellen ausschließen. Führen Sie standardmäßig eine Ausschlussliste für Selbsthilfegruppen, Gesundheitsforen, Bereiche mit Kindern und andere Kontexte, in denen eine Weiterverwendung überraschend oder schädlich sein kann.
- Streudaten schnell löschen. Wenn irrelevante personenbezogene Daten mit erfasst wurden, isolieren und löschen Sie sie statt sie „für alle Fälle“ heimlich aufzubewahren.
- Herkunft dokumentieren. Speichern Sie pro Datensatz die Quell-URL, das Erhebungsdatum und die relevante Erhebungskonfiguration. Das unterstützt Richtigkeit, Löschung und Rechtebearbeitung.
Die CNIL empfiehlt ausdrücklich, relevante Kategorien vorher festzulegen, unnötige oder sensible Daten herauszufiltern, irrelevante Daten zu löschen und technische oder rechtliche Einwände gegen die Erhebung zu respektieren. CNIL-Schutzmaßnahmen
5. Transparenz als Teil des Produkts verstehen
Aus einer Website erhobene Daten werden in der Regel indirekt erhoben. Damit können die Transparenzpflichten nach Artikel 14 relevant sein: Wer Sie sind, zu welchem Zweck Sie verarbeiten, welche Datenkategorien und Quellen betroffen sind, welche Rechtsgrundlage gilt, wie lange gespeichert wird, wer Empfänger ist, ob Übermittlungen stattfinden und welche Rechte Betroffene haben.
Die Zusammenfassung der Europäischen Kommission sagt: Wenn Daten aus einer anderen Quelle stammen, ist die Information grundsätzlich innerhalb eines Monats, bei der ersten Kommunikation oder bei der ersten Offenlegung zu erteilen – je nachdem, was anwendbar ist. Es gibt Ausnahmen, etwa wenn eine Benachrichtigung unmöglich ist oder einen unverhältnismäßigen Aufwand bedeuten würde, aber diese sind bedingt und sollten geprüft sowie dokumentiert werden, statt sie einfach anzunehmen. Pflichten laut Europäischer Kommission
Bei umfangreichen Erhebungen können ein klarer öffentlicher Hinweis, eine Datensatzseite, ein dedizierter Kontaktweg sowie leicht auffindbare Hinweise zu Widerspruch, Auskunft, Berichtigung und Löschung sinnvoller sein als eine versteckte Rechtsseite. Das richtige Format hängt von der Verarbeitung und dem Risiko ab.
6. Lösch- und Rechteprozess vor dem Start aufsetzen
Scraping in großem Maßstab macht spätere Bereinigungen teuer. Geben Sie den Daten eine eindeutige Kennung, führen Sie eine kontrollierte Zuordnung von Quelle zu Datensatz und stellen Sie sicher, dass Sie eine Person über Rohdaten, Datenbanken, Exporte, Indizes und nachgelagerte Systeme hinweg finden und entfernen oder sperren können.
Mindestens sollten Sie festlegen:
- wer Rechteanfragen erhält und prüft;
- wie ein Datensatz gefunden wird, ohne unnötig zusätzliche Informationen abzufragen;
- wie Löschung oder Widerspruch an nachgelagerte Systeme weitergereicht werden;
- wie eine Sperrung eine versehentliche Neuerhebung verhindert;
- wie lange Protokolle und Backups den Datensatz enthalten und welches Ausnahmverfahren gilt.
Wenn der Datensatz für ein Modell, ein Anreicherungsnetzwerk, Profiling oder Direktmarketing genutzt werden soll, muss dieser Plan noch strenger sein. Je weiter die Daten wandern, desto schwieriger wird es, Rechte wirksam umzusetzen.
7. Datensatz absichern und Hochrisikofälle früh prüfen
Die DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind – einschließlich Schutz vor unbefugtem Zugriff, Verlust, Zerstörung und unrechtmäßiger Verarbeitung. Privacy by Design und Privacy by Default bedeutet, diese Kontrollen von Anfang an zu wählen, nicht erst nach einem Vorfall. Pflichten laut Europäischer Kommission
Sinnvolle Basismaßnahmen sind rollenbasierter Zugriff, Verschlüsselung bei Übertragung und im Ruhezustand, Secret-Management, Audit-Logs, Vendor-Prüfung, Exportkontrollen und ein getesteter Incident-Prozess. Pseudonymisierung kann das Risiko senken, ist aber nicht dasselbe wie Anonymisierung und nimmt in der Regel die DSGVO-Pflichten nicht einfach weg.
Eine DSFA sollte vor Verarbeitung in Betracht gezogen werden, die voraussichtlich ein hohes Risiko erzeugt – insbesondere wenn mehrere dieser Faktoren zusammenkommen:
- großflächige Erhebung oder Überwachung;
- Profiling oder Entscheidungen mit Auswirkungen auf Personen;
- besondere Kategorien oder besonders persönliche Daten;
- Kinder oder andere vulnerable Personen;
- Zusammenführung mehrerer Datensätze, um neue Erkenntnisse abzuleiten;
- dauerhafte Identifikation, Standortdaten oder Weiterverwendung ähnlich eines Datenhändlers;
- KI-Training oder ein Modell, das personenbezogene Daten memorieren oder offenlegen könnte.
Die Kommission nennt systematische, umfangreiche automatisierte Bewertungen, groß angelegte Verarbeitung sensibler Daten und groß angelegte systematische Überwachung als Fälle, in denen eine DSFA erforderlich ist. DSFA-Leitlinie
Launch-Checkliste für Web-Scraping-Teams
Bevor Sie einen produktiven Job starten, sollten Sie Folgendes bestätigt haben:
- Wir wissen, ob die Erhebung personenbezogene Daten umfasst und warum die DSGVO anwendbar ist oder nicht.
- Wir haben einen präzisen schriftlichen Zweck und eine Whitelist der benötigten Felder.
- Wir haben eine Rechtsgrundlage dokumentiert und, falls relevant, eine Interessenabwägung vorgenommen.
- Wir schließen sensible und hochriskante Quellen oder Kategorien standardmäßig aus.
- Wir haben Quellbeschränkungen geprüft und umgehen keine Zugriffskontrollen.
- Wir haben eine transparente öffentliche Erklärung und einen praktikablen Weg für Rechteanfragen und Widersprüche.
- Wir kennen die Rollen von Verantwortlichem und Auftragsverarbeiter und haben passende Vertragsbedingungen.
- Wir haben Prozesse für Aufbewahrung, Löschung, Sperrung und Weitergabe an nachgelagerte Systeme.
- Wir haben angemessene Sicherheitsmaßnahmen und eine klare Zuständigkeit für Vorfälle.
- Wir haben eine DSFA und eine Prüfung grenzüberschreitender Übermittlungen durchgeführt – oder bewusst dokumentiert, warum das nicht erforderlich ist.
Die praktische Quintessenz
DSGVO-Compliance für Web-Scraper bedeutet nicht, eine magische Zeile in einer robots-Datei zu finden oder einen Disclaimer ins Produkt zu kopieren. Es bedeutet, Erhebung auf einen klar benannten Zweck zu begrenzen, Betroffenen nachvollziehbare Transparenz und Kontrolle zu geben und später nachweisen zu können, warum Sie sich so entschieden haben.
Fangen Sie eng an. Sammeln Sie weniger. Bewahren Sie Quellen und Zeitstempel auf. Verankern Sie Löschbarkeit direkt im Datenmodell. Eskalieren Sie sensible, groß angelegte, profiling- oder KI-trainingsbezogene Nutzung, bevor Daten weiterfließen. Solche Gewohnheiten machen einen Scraper vertrauenswürdiger – und im Alltag deutlich einfacher zu betreiben, wenn die erste Datenschutzfrage kommt.
Dieser Artikel dient nur allgemeinen Informationszwecken und stellt keine Rechtsberatung dar. Holen Sie für die konkreten Fakten, Rechtsordnungen, Datenkategorien und den geplanten Einsatz qualifizierten Rat ein.
Mehr erfahren
- Ist Web Scraping in den USA legal? Was das Gesetz tatsächlich sagt
- So starten Sie ein Web-Data-Extraction-Tutorial mit Thunderbit
- 10 Web-Scraping-APIs im Praxisvergleich (2026)
- Die 10 besten Proxy-Browser für Online-Privatsphäre
- Wichtige Statistiken zum Datenschutz bei KI-Daten, die Sie 2026 kennen sollten
