Am 1. Mai 2024 lieferte die niederländische Datenschutzbehörde eine Schlagzeile, die in ganz Europa jedes Datenteam hellhörig machte: „Scraping ist fast immer illegal.“ Wer in Sales, E-Commerce oder Immobilien arbeitet — also überall dort, wo Webdaten zählen —, dem dürfte bei diesem Satz kurz mulmig geworden sein.
Dieses Gefühl kenne ich. Bei Thunderbit sprechen wir täglich mit Teams, die Webdaten für Preisüberwachung, Lead-Generierung und Marktforschung benötigen. Der Frust ist stets derselbe: Man tippt „is web scraping legal in Europe“ ein, und jede Antwort läuft auf „kommt darauf an“ hinaus. Das bringt wenig, wenn eine Deadline im Nacken sitzt und eine Liste von URLs auf das Scraping wartet.
Also habe ich Wochen darauf verwendet, die tatsächlichen Regeln, die Leitlinien der Datenschutzbehörden, Durchsetzungsfälle und Gerichtsurteile durchzukämmen — mit einem klaren Ziel: etwas wirklich Brauchbares zu bauen. Eine praktische Entscheidungs-Checkliste, eine kompakte Tabelle mit Schutzmaßnahmen, echte Bußgeldbeträge und eine Schritt-für-Schritt-Anleitung, wie man europäische Websites scrapt, ohne bei einem Regulator unangenehm aufzufallen. Ob Sie Amazon-Produktpreise abgreifen oder B2B-Kontakte aus einem Verzeichnis ziehen: Dieser Artikel zeigt Ihnen, wo die Grenzen verlaufen — und wie Sie auf der sicheren Seite bleiben.
Was ist Web-Scraping (und warum sollte es europäische Unternehmen interessieren)?
Web-Scraping ist die automatisierte Extraktion von Daten aus Websites in ein strukturiertes Format — eine Tabelle, eine Datenbank oder ein CRM. Statt Produktnamen und Preise von 200 Seiten per Hand zu kopieren, ruft ein Scraper jede Seite ab und sortiert die gewünschten Felder sauber in Spalten.
Warum spielt das für nicht-technische Teams eine Rolle? Weil Webdaten echte Geschäftsentscheidungen tragen. Vertriebsteams scrapen Verzeichnisse nach Leads. E-Commerce-Manager beobachten täglich die Preise der Konkurrenz. Immobilienanalysten verfolgen Angebots-Trends über mehrere Portale hinweg. Marktforscher tragen öffentliche Bewertungen und Rezensionen im großen Stil zusammen. Der globale Markt für Web-Scraping wächst rasant, und Unternehmen scrapen täglich Millionen von Datenpunkten.
Doch Europas regulatorisches Umfeld tickt anders als das US-amerikanische. DSGVO, Datenbankrichtlinie und sich fortlaufend wandelnde Leitlinien der Datenschutzbehörden sorgen dafür, dass „öffentlich verfügbar“ eben nicht „frei verwendbar“ bedeutet. Der Vorsitzende der niederländischen Behörde, Aleid Wolfsen, brachte es so auf den Punkt: „öffentlich bedeutet nicht automatisch Erlaubnis zum Scraping.“ Die Regeln zu kennen, bevor man loslegt, ist kein Luxus — es entscheidet darüber, ob am Ende ein sauberer Datensatz oder ein sechsstelliges Bußgeld steht.
Thunderbit für DSGVO-konformes Web-Scraping testen
Ist Web-Scraping in Europa legal? Die kurze Antwort
Web-Scraping ist in Europa nicht von vornherein illegal. Ob es rechtmäßig ist, entscheidet sich aber an drei Fragen: welche Daten Sie scrapen, wie Sie scrapen und warum.
Drei ineinandergreifende Rechtsebenen regeln Scraping in der EU:
- DSGVO — greift, sobald Sie personenbezogene Daten scrapen (Namen, E-Mails, Telefonnummern, IP-Adressen, sogar pseudonymisierte Kennungen).
- Die EU-Datenbankrichtlinie — schützt Datenbanken, in deren Aufbau der Hersteller eine „wesentliche Investition“ gesteckt hat.
- Vertragsrecht/AGB-Recht — viele Websites untersagen Scraping ausdrücklich in ihren Nutzungsbedingungen, und EU-Gerichte haben diese Bedingungen durchgesetzt.
Der springende Punkt: „öffentlich“ heißt nicht „regelfrei“. Selbst nicht-personenbezogene Daten können über Datenbankrechte oder Vertragsrecht geschützt sein. Jedes Scraping-Projekt muss alle drei Ebenen zusammen betrachten.
Die wichtigsten EU-Gesetze, die Web-Scraping regeln
DSGVO: Wenn Sie personenbezogene Daten scrapen
Jede Information, die sich einer identifizierbaren Person zuordnen lässt, löst DSGVO-Pflichten aus. Dazu zählen Namen, E-Mail-Adressen, Telefonnummern, IP-Adressen, Fotos und sogar pseudonymisierte Daten, die sich re-identifizieren lassen. Sobald Sie personenbezogene Daten scrapen, sind Sie ein „Verantwortlicher“ mit Pflichten nach der DSGVO:
- Rechtsgrundlage (Artikel 6): Sie brauchen einen rechtlichen Grund für die Verarbeitung. Einwilligung ist bei großvolumigem Scraping so gut wie nie machbar — Millionen Menschen um Erlaubnis zu fragen, bevor man ihre öffentlich geposteten Angaben sammelt, ist illusorisch. Am häufigsten beruft man sich auf das berechtigte Interesse (Artikel 6 Absatz 1 Buchstabe f). Dafür braucht es jedoch einen dokumentierten Drei-Stufen-Test: (1) Ihr Interesse ist berechtigt, (2) die Verarbeitung ist erforderlich und (3) sie beeinträchtigt die Rechte der betroffenen Personen nicht unverhältnismäßig, gemessen an deren vernünftigen Erwartungen.
- Transparenz (Artikel 14): Da Sie die Daten nicht direkt bei der Person erheben, müssen Sie sie in der Regel binnen eines Monats darüber unterrichten, was Sie gesammelt haben, warum und wie sie ihre Rechte wahrnehmen können. Ist eine individuelle Benachrichtigung unverhältnismäßig, müssen Sie stattdessen einen allgemeinen Hinweis mit sämtlichen Inhalten nach Artikel 14 veröffentlichen.
- Datenminimierung: Erfassen Sie nur, was Sie wirklich benötigen. Wenn es Ihnen um Produktpreise geht, greifen Sie nicht nebenbei E-Mail-Adressen von Verkäufern ab.
- Speicherbegrenzung und Rechte-Management: Setzen Sie Aufbewahrungsfristen, kommen Sie Löschersuchen nach und stellen Sie Zugang zu den Quelleninformationen bereit.
Der EDPB-Bericht der ChatGPT-Taskforce (angenommen im Mai 2024) zog noch eine weitere Ebene ein: Er stellte klar, dass jeder Verarbeitungsschritt — Erhebung, Vorverarbeitung, Training, Prompts und Ausgabe — eine eigene Prüfung der Rechtsgrundlage verlangt. Das berechtigte Interesse hat der EDPB für Web-Scraping nicht ausgeschlossen, aber auf der vollständigen Drei-Stufen-Prüfung mit angemessenen Schutzmaßnahmen beharrt.
Die EU-Datenbankrichtlinie: Schutz der Datenorganisation
Die Datenbankrichtlinie räumt Datenbankherstellern ein sui-generis-Recht ein, sofern sie eine „wesentliche Investition“ in das Beschaffen, Prüfen oder Darstellen ihrer Daten getätigt haben. Extrahiert Ihr Scraping einen „wesentlichen Teil“ einer solchen Datenbank, kann dieses Recht verletzt sein.
In der Praxis liegt die Schwelle ziemlich hoch. Ein paar hundert Produktpreise von einem großen Händler abzugreifen, reicht dafür kaum aus. Das Massen-Herunterladen eines kompletten Wettbewerberkatalogs aber — Zehntausende Einträge — kann die Grenze reißen, zumal wenn es dem Hersteller die Chance nimmt, seine Investition wieder hereinzuholen. Der Gerichtshof der Europäischen Union hat diese Schwelle in mehreren Fällen ausgelegt; im Kern geht es stets um Verhältnismäßigkeit.
Beim Gros des Business-Scrapings — also wenn Sie bestimmte Felder aus Produktseiten ziehen oder Angebote innerhalb einer Kategorie vergleichen — fällt das Risiko aus der Datenbankrichtlinie eher gering aus. Null ist es allerdings nicht, und bei der Planung des Scraping-Umfangs sollten Sie es mitdenken.
Nutzungsbedingungen: die Wildcard des Vertragsrechts
Hier kommen viele ins Stolpern. Zahlreiche Websites untersagen Scraping in ihren Nutzungsbedingungen. In Europa ist ein AGB-Verstoß zwar zivil-, nicht strafrechtlich, kann aber dennoch Unterlassungsansprüche, Vertragsklagen und reale finanzielle Folgen nach sich ziehen.
Zwei Varianten sind entscheidend: Browsewrap (passive Bedingungen, oft nur ein Link am Seitenfuß) lässt sich schwerer durchsetzen, weil der Nutzer nie aktiv zugestimmt hat. Clickwrap (man setzt ein Häkchen oder klickt auf „Ich stimme zu“) ist deutlich besser durchsetzbar.
Der maßgebliche EU-Fall ist Ryanair v. PR Aviation: Das Gericht setzte Ryanairs Nutzungsbedingungen gegenüber einem Scraper durch, obwohl Datenbankrechte nicht griffen — schlicht, weil der Scraper den Bedingungen zugestimmt hatte. Also: Prüfen Sie vor dem Scraping immer die Nutzungsbedingungen. Handelt es sich um eine Clickwrap-Vereinbarung, die Scraping ausdrücklich verbietet, gehen Sie behutsam vor — oder weichen Sie auf eine API aus.
Die DSM-Richtlinie und der AI Act: Ausnahmen für Forschung und Text- und Data-Mining
Nicht jedes Scraping steckt im selben Korsett. Die Richtlinie über das Urheberrecht im digitalen Binnenmarkt (DSM-Richtlinie, 2019) brachte zwei Ausnahmen für Text- und Data-Mining (TDM):
- Artikel 3: Forschungseinrichtungen und Einrichtungen des Kulturerbes dürfen TDM mit rechtmäßig zugänglichen Inhalten betreiben.
- Artikel 4: Jeder — auch kommerzielle Unternehmen — darf TDM betreiben, solange die Rechteinhaber nicht ausdrücklich widersprochen haben (etwa über robots.txt, ai.txt oder TDMRep-Header).
Der EU AI Act (Artikel 53) legt Anbietern von KI-Modellen weitere Pflichten auf: Sie müssen die TDM-Opt-out-Mechanismen beachten und ihre Trainingsdatenquellen dokumentieren.
Ein wichtiger Vorbehalt: Diese Ausnahmen betreffen Urheberrecht und Datenbankrechte, nicht die DSGVO. Umfasst Ihr TDM personenbezogene Daten, brauchen Sie nach wie vor eine eigene DSGVO-Rechtsgrundlage.
Die Entscheidungs-Checkliste: „Darf ich das scrapen?“ für europäische Daten
Das ist der Abschnitt, den ich mir zu Beginn meiner Recherche gewünscht hätte. Jeder Rechtsartikel sagt „kommt darauf an“ — aber wie sieht der Entscheidungsbaum konkret aus? Hier ist eine Schritt-für-Schritt-Checkliste mit klaren Entscheidungspunkten. Jeder Schritt mündet in ✅ weiter, ⚠️ Schutzmaßnahmen ergänzen oder 🛑 stoppen.
Schritt 1: Sind die Daten personenbezogen oder nicht-personenbezogen?
Nicht-personenbezogene Daten (Produktpreise, SKU-Nummern, Geschäftsadressen ohne Personenbezug): geringere regulatorische Last. Datenbankrichtlinie und AGB müssen Sie weiterhin prüfen, die DSGVO greift hier aber nicht. ✅ Weiter zu Schritt 3.
Personenbezogene Daten (Namen, E-Mails, Telefonnummern, Fotos, jede mit einer Person verknüpfte Kennung): Die DSGVO gilt. ⚠️ Weiter zu Schritt 2.
Schritt 2: Welche DSGVO-Rechtsgrundlage gilt?
- Einwilligung: Bei großvolumigem Scraping fast nie machbar. 🛑 Außer in einem sehr engen, spezifischen Szenario.
- Berechtigtes Interesse (Artikel 6 Absatz 1 Buchstabe f): Die häufigste Grundlage. Dafür braucht es aber einen dokumentierten Drei-Stufen-Test:
- Ihr Interesse ist berechtigt (ein kommerzielles Interesse kann genügen, wie der EuGH 2024 in C-621/22 bestätigt hat).
- Die Verarbeitung ist für dieses Interesse erforderlich.
- Die Abwägung fällt zu Ihren Gunsten aus, ohne die Rechte der betroffenen Personen zu überwiegen, gemessen an deren vernünftigen Erwartungen.
- Halten Sie die Interessenabwägung vor dem Scraping schriftlich fest. Können Sie nicht plausibel begründen, warum die Personen, deren Daten Sie scrapen, mit dieser Nutzung vernünftigerweise rechnen würden, ist das ein Warnsignal. ⚠️ Nur mit dokumentiertem berechtigtem Interesse fortfahren.
Schritt 3: Schränken die Nutzungsbedingungen der Website das Scraping ein?
- Clickwrap-Vereinbarung, die Scraping verbietet: 🛑 Hohes Risiko. Prüfen Sie alternative Datenquellen oder eine offizielle API.
- Browsewrap oder keine Scraping-Beschränkung in den AGB: ⚠️ Geringeres Risiko, robots.txt und technische Ablehnungssignale trotzdem respektieren.
Schritt 4: Greift die Datenbankrichtlinie?
- Ist das Ziel eine Datenbank mit erheblicher Investition in die Datenorganisation?
- Würde Ihr Scraping einen „wesentlichen Teil“ dieser Datenbank extrahieren?
- Lautet die Antwort zweimal Ja: ⚠️ Risiko einer Verletzung des sui-generis-Rechts. Begrenzen Sie den Extraktionsumfang.
Schritt 5: Fallen Sie unter eine Forschungs- oder TDM-Ausnahme?
- Registrierte Forschungseinrichtung oder Einrichtung des Kulturerbes? Dann kann Artikel 3 der DSM-Richtlinie greifen. ✅
- Kommerzielles TDM? Prüfen Sie die Opt-out-Signale nach Artikel 4 (robots.txt, ai.txt, TDMRep). Hat die Website widersprochen, 🛑 für diese Quelle stoppen.
Schritt 6: Haben Sie die von den Datenschutzbehörden empfohlenen Schutzmaßnahmen umgesetzt?
Sind die obigen Hürden genommen, bleibt als letzter Schritt die Umsetzung jener Schutzmaßnahmen, die CNIL, die niederländische DPA und der EDPB empfehlen. Den Details widmet sich der nächste Abschnitt. ✅ Mit Schutzmaßnahmen fortfahren.
Compliance-Schutzmaßnahmen: Was CNIL, niederländische DPA und EDPB empfehlen
Kein einziger Konkurrenzartikel, auf den ich gestoßen bin, bündelt die Schutzmaßnahmen der drei aktivsten europäischen Aufsichtsbehörden zum Scraping. Also habe ich diese Tabelle selbst erstellt, indem ich den CNIL-Leitfaden zu Web-Scraping, die Leitlinien der niederländischen DPA und den EDPB-Bericht der ChatGPT-Taskforce gegeneinander abgeglichen habe.
| Schutzmaßnahme | CNIL | Niederländische DPA (AP) | EDPB-Taskforce | Umsetzungstipps |
|---|---|---|---|---|
| Transparenzhinweis nach Art. 14 | ✅ Erforderlich | ✅ Erforderlich | ✅ Erforderlich | Öffentlichen Hinweis veröffentlichen mit Quellenkategorien, Zwecken, Rechtsgrundlage, Aufbewahrung, Kontaktwegen für Betroffenenrechte und DSB-Kontakt |
| DSFA vor dem Scraping | ✅ Empfohlen (bei hohem Risiko verpflichtend) | ✅ Erforderlich | ✅ Erforderlich | Interessenabwägung, Datenkategorien, Risiken und Gegenmaßnahmen vor dem Start dokumentieren |
| Datenminimierung | ✅ Erforderlich (präzise Erhebungskriterien festlegen) | ✅ Erforderlich | ✅ Erforderlich | Scraper so konfigurieren, dass nur benötigte Felder extrahiert werden; irrelevante Daten sofort löschen |
| Rate Limiting / robots.txt beachten | ✅ Erforderlich (Websites ausschließen, die per robots.txt/CAPTCHA widersprechen) | — | — | robots.txt auslesen, Verzögerungen zwischen Anfragen einbauen, eigenen User-Agent kennzeichnen |
| Pseudonymisierung / Anonymisierung | ⚠️ Empfohlen (unmittelbar nach der Erhebung) | ✅ Nachdrücklich empfohlen | ✅ Empfohlen | IDs hashieren oder randomisieren; Profil-URLs entfernen; Gesichter verpixeln, wenn Identität nicht benötigt wird |
| Aufbewahrungsfrist | ✅ Festgelegte Grenze | ✅ So kurz wie möglich | ✅ Festgelegte Grenze | Löschpläne automatisieren; Rohcache von extrahierten Fakten trennen |
| Opt-out-/Blacklist-Mechanismus | ✅ Empfohlen (discretionary prior objection) | ✅ Erforderlich (Widerspruch nach Art. 21) | ✅ Erforderlich | Opt-out-Formular, Domain-Blacklist, Sperrung auf Personenebene bereitstellen |
| Sensible Quellen ausschließen | ✅ Erforderlich (Gesundheitsforen, Seiten für Minderjährige, Pornoseiten, Genealogie) | ✅ Erforderlich | ✅ Erforderlich | Standard-Blocklisten für Gesundheit, Religion, Politik, Biometrie und Minderjährige pflegen |
Ein praktischer Hinweis aus unserer Ecke: Über Thunderbits „AI Suggest Fields“-Funktion legen Nutzer genau fest, welche Spalten extrahiert werden — Preis, SKU, Produktname —, sodass der Scraper nur das Nötige einsammelt. Sie laden also nicht pauschal ganze Seiten herunter, sondern wählen strukturierte Felder, die mit Zweckbindung und Datenminimierung zusammenpassen. Und doch: Kein Tool macht rechtswidriges Scraping legal. Die rechtliche Prüfung steht immer am Anfang.
Ist Web-Scraping in Europa für Ihren Use Case legal? Branchenbezogene Einordnung
Die Frage, die mir in Foren am häufigsten begegnet, lautet nicht „ist Scraping legal?“, sondern „ist mein Scraping legal?“. Abstrakte DSGVO-Theorie beantwortet das nicht. Darum hier eine Einordnung nach typischen Business-Use-Cases.
| Use Case | Datentyp | Zentrale rechtliche Risiken | Wahrscheinliches Ergebnis |
|---|---|---|---|
| Preisüberwachung im E-Commerce (öffentliche Produktlisten) | Nicht-personenbezogen (Preise, SKUs, Produktnamen) | sui-generis-Recht der Datenbankrichtlinie; Verstoß gegen AGB | In der Regel geringeres Risiko, wenn keine personenbezogenen Daten und keine systematische Extraktion eines „wesentlichen Teils“ der Datenbank erfolgt |
| B2B-Lead-Generierung (Kontaktdaten aus Verzeichnissen) | Personenbezogen (Namen, E-Mails, Telefonnummern) | DSGVO Art. 6 Rechtsgrundlage; Art. 14-Benachrichtigung; ePrivacy für elektronische Kontakte | Höheres Risiko — dokumentierte Interessenabwägung plus Benachrichtigungspflicht erforderlich |
| Immobilienanzeigen (Objektdaten von Portalen) | Gemischt (Adressen können nicht-personenbezogen sein; Eigentümernamen sind personenbezogen) | Datenbankrichtlinie; AGB; DSGVO bei Eigentümerbezug | Mittleres Risiko — Eigentümerdaten anonymisieren, AGB prüfen, robots.txt beachten |
| Trainingsdaten für KI (Scraping großer Webinhalte) | Potenziell personenbezogen, wenn nicht gefiltert | DSGVO + EU AI Act Art. 53 TDM-Pflichten | Hohes Risiko — DSGVO und AI Act müssen beide eingehalten werden; Opt-out-Mechanismen und robuste Filterung erforderlich |
Bei risikoärmeren Szenarien wie öffentlichen E-Commerce-Daten senken Tools mit strukturierten Vorlagen — etwa Thunderbits Sofortvorlagen für Amazon und Shopify — das Risiko, weil sie konkrete, nicht-personenbezogene Felder extrahieren, ohne überflüssige Inhalte mitzunehmen. Bei riskanteren Szenarien mit personenbezogenen Daten, etwa der Lead-Generierung, muss die rechtliche Prüfung zuerst kommen. Kein Scraper der Welt macht aus einer nicht-konformen Erhebung eine konforme.
EU vs. USA vs. UK: Wie sich die Gesetze zum Web-Scraping unterscheiden
Wenn Ihr Unternehmen über Grenzen hinweg arbeitet, müssen Sie die Unterschiede kennen. Einen Konkurrenzartikel, der das als gut scanbare Vergleichstabelle aufbereitet, habe ich nicht gefunden — hier ist sie.
| Dimension | EU | USA | UK (nach dem Brexit) |
|---|---|---|---|
| Primärrecht | DSGVO + Datenbankrichtlinie + ePrivacy | CFAA + einzelstaatliche Gesetze (begrenzter föderaler Datenschutz) | UK GDPR + Data Protection Act 2018 |
| Scraping öffentlicher Daten | Für personenbezogene Daten weiterhin DSGVO-Rechtsgrundlage erforderlich | In der Regel legal nach hiQ v. LinkedIn (öffentliche Daten) | Ähnlich wie EU; ICO-Leitlinien gelten |
| Durchsetzung von AGB | Zivilrechtlich; Ryanair v. PR Aviation setzte das sui-generis-Recht durch | Van Buren schränkte CFAA ein; AGB-Verstoß ≠ Straftat | Zivilrechtlich, ähnlich wie EU |
| Datenbankschutz | Sui-generis-Recht (stark) | Kein entsprechendes föderales Recht | Beibehaltenes sui-generis-Recht |
| KI-/TDM-Ausnahme | DSM-Richtlinie Art. 3–4; AI Act Art. 53 | Keine föderale TDM-Ausnahme (Fair-Use-Doktrin) | UK prüft eine TDM-Ausnahme (Stand 2026 festgefahren) |
| Wichtige Aufsichtsbehörde | Nationale Datenschutzbehörden (CNIL, niederländische AP usw.) | FTC + Generalstaatsanwälte der Bundesstaaten | ICO |
| Jüngster Trend | Strenger (niederländische AP: „fast immer illegal“ bei personenbezogenen Daten) | Nach hiQ großzügiger | Moderat; folgt im Allgemeinen der EU-Linie |
Wenn Sie europäische Websites oder Daten über europäische Einwohner scrapen, gelten die EU-Regeln — selbst wenn Ihr Unternehmen in den USA oder im Vereinigten Königreich sitzt.
Echte Bußgelder und Fälle: Was tatsächlich passiert, wenn man erwischt wird (2022–2026)
Hier geht es um die Frage hinter der Frage: „Wie groß ist das echte Risiko?“ Ich habe alle öffentlich bekannten Durchsetzungsmaßnahmen von Datenschutzbehörden zu Web-Scraping oder gescrapten personenbezogenen Daten von 2022 bis April 2026 zusammengetragen.
| Jahr | Behörde | Betroffener | Verstoß | Bußgeld/Ergebnis |
|---|---|---|---|---|
| 2022 | Italienischer Garante | Clearview AI | Scraping von Gesichtsaufnahmen ohne Rechtsgrundlage | 20 Mio. € Bußgeld + Verbot + Löschanordnung |
| 2022 | Hellenische DPA (Griechenland) | Clearview AI | Gleiches — Scraping für Gesichtserkennung | 20 Mio. € Bußgeld + Verbot + Löschung |
| 2022 | CNIL (Frankreich) | Clearview AI | Datenbank für Gesichtserkennung | 20 Mio. € Bußgeld + mögliches Zwangsgeld von 100.000 €/Tag |
| 2023 | CNIL (Frankreich) | Clearview AI | Nichtbefolgung der Anordnung von 2022 | 5,2 Mio. € Zwangsgeld |
| 2023 | Österreichische DSB | Clearview AI | Mehr als 30 Mrd. Gesichtsaufnahmen aus dem öffentlichen Web | Löschung + Anordnung eines EU-Vertreters (kein veröffentlichtes Bußgeld) |
| 2024 | Niederländische AP | Clearview AI | Illegale Erhebung von Daten für Gesichtserkennung | 30,5 Mio. € Bußgeld + Anordnungen zur Einhaltung |
| 2024 | CNIL (Frankreich) | KASPR | Scraping von LinkedIn-Kontaktdaten für Lead-Gen | 240.000 € Bußgeld — 160 Mio. Kontakte, Daten mit eingeschränkter Sichtbarkeit, 5 Jahre Aufbewahrung |
| 2024 | Irish DPC | X / Grok | Öffentliche Posts für KI-Training genutzt | Aussetzungsvereinbarung; förmliche Untersuchung 2025 eingeleitet |
| 2024 | Irish DPC | Meta | Geplantes LLM-Training auf öffentlichen Facebook-/Instagram-Inhalten | Meta pausierte seine EU-KI-Trainingspläne |
| 2024 | Italienischer Garante | OpenAI | Trainingsdaten von ChatGPT + Transparenz | 15 Mio. € Bußgeld verhängt, im März 2026 vom Romer Gericht aufgehoben |
Die Gesamtsumme der Bußgelder in der EU/EWR-Kategorie Scraping/Open-Web: über 95 Mio. € (das aufgehobene OpenAI-Bußgeld nicht eingerechnet).
Jede dieser dicken Sanktionen drehte sich um massenhaftes Scraping biometrischer oder personenbezogener Daten ohne Rechtsgrundlage. Clearview scrapte Milliarden Gesichtsaufnahmen. KASPR scrapte 160 Millionen Kontakte, darunter Daten aus LinkedIn-Profilen mit eingeschränkter Sichtbarkeit, und hortete sie fünf Jahre lang.
Verhältnismäßiges, zielgenaues Scraping öffentlicher, nicht-personenbezogener Daten — Produktpreise oder SKU-Nummern etwa — war bislang nicht Gegenstand solcher Maßnahmen. Risikofrei ist es dadurch nicht, aber es hilft, die Zahlen richtig einzuordnen.
So scrapen Sie europäische Websites sicher: eine Schritt-für-Schritt-Anleitung
- Schwierigkeitsgrad: Anfänger
- Benötigte Zeit: ca. 15 Minuten (inklusive Compliance-Check)
- Was Sie brauchen: Chrome-Browser, Thunderbit-Erweiterung (kostenlose Stufe reicht), eine Ziel-URL und einen kurzen Check der obigen Liste
Schritt 1: Zweck und Datenbedarf definieren
Bevor Sie irgendein Tool öffnen, halten Sie schriftlich fest, warum Sie die Daten brauchen und welche Felder genau. Das ist nicht bloß gute Praxis — es ist das Fundament der DSGVO-Prinzipien Zweckbindung und Datenminimierung.
Beispiel: „Ich brauche Produktnamen, Preise und Lagerstatus von 50 Amazon-Produktseiten, um unsere Wettbewerbs-Preistabelle zu aktualisieren.“ Das ist konkret. Dagegen: „Ich will alles von Amazon scrapen.“ Der erste Fall besteht den Minimierungstest, der zweite nicht.
Schritt 2: Die Compliance-Checkliste durchgehen
Arbeiten Sie die oben stehende sechsstufige „Darf ich das scrapen?“-Checkliste ab. Taucht an irgendeiner Stelle ein 🛑 auf, halten Sie inne und holen Sie vor dem Weitermachen juristischen Rat ein.
Wenden wir das auf unser Amazon-Preisbeispiel an: Die Daten sind nicht-personenbezogen (Preise, SKUs, Produktnamen) ✅, ein DSGVO-Problem mit personenbezogenen Daten gibt es nicht ✅, die Amazon-AGB sind zu prüfen (Scraping wird dort eingeschränkt, nutzen Sie also nach Möglichkeit offizielle Produktdaten-APIs) ⚠️, und das Risiko der Datenbankrichtlinie ist bei 50 Produkten gering ✅.
Schritt 3: Den richtigen Scraping-Ansatz wählen
| Methode | Benutzerfreundlichkeit | Compliance-Unterstützung | Wartung | Genauigkeit |
|---|---|---|---|---|
| Manuelles Copy-Paste | Niedrig | Nicht zutreffend (Sie kontrollieren, was Sie kopieren) | Hoch (zeitaufwendig) | Fehleranfällig |
| Code-basiertes Scraper-Tool (Python, Scrapy) | Niedrig (erfordert Programmierung) | Keine integrierte Unterstützung | Hoch (bricht, wenn sich Websites ändern) | Hoch, wenn gepflegt |
| Thunderbit (KI-gestützt) | Sehr hoch | Integrierte Minimierung auf Feldebene | Gering (KI passt sich Seitenänderungen an) | Hoch |
| Offizielle API | Mittel | Am höchsten (strukturierter, freigegebener Zugriff) | Gering | Am höchsten |
Für Business-Anwender ohne Dev-Team ist Thunderbit der schnellste Weg. Bei Websites mit offiziellen APIs (wie der Amazon Product Advertising API) ist die API stets die sicherste Variante — wenn auch oft mit Einschränkungen bei Datenmenge und Feldern.
Schritt 4: Ihren Scraper auf Compliance einstellen
In Thunderbit:
- Öffnen Sie Ihre Zielseite (z. B. eine Produktlistenseite bei Amazon).
- Klicken Sie in der Chrome-Toolbar auf das Thunderbit-Symbol und wählen Sie „AI Suggest Fields“. Die KI scannt die Seite und schlägt Spalten wie „Produktname“, „Preis“, „Bewertung“ und „Lagerstatus“ vor.
- Werfen Sie jedes Feld heraus, das Sie nicht brauchen. Schlägt die KI „Verkäufername“ oder „Verkäufer-E-Mail“ vor und Sie wollen nur Preisdaten, löschen Sie diese Spalten. Das ist gelebte Datenminimierung.
- Nutzen Sie den Field AI Prompt, um Anweisungen zu ergänzen wie „personenbezogene Kennungen ausschließen“ oder „nur öffentliche Preisdaten extrahieren“.
- Wählen Sie Cloud Scraping für öffentliche E-Commerce-Seiten (schneller, kein Login nötig) oder Browser Scraping für Seiten, die eine Authentifizierung verlangen.
- Bevor Sie auf „Scrape“ klicken, prüfen Sie, ob robots.txt das Scraping für Ihren Anwendungsfall untersagt. Rufen Sie dazu
[domain]/robots.txtim Browser auf.
Jetzt sollten Sie eine Tabellenvorschau mit genau den Feldern sehen, die Sie konfiguriert haben — keine überflüssigen personenbezogenen Daten, keine unnötigen Metadaten.
Schritt 5: Daten verantwortungsvoll exportieren, speichern und verwalten
Nach dem Scraping exportieren Sie Ihre Daten in Excel, Google Sheets, Airtable oder Notion — Thunderbit unterstützt all diese Ziele mit kostenfreiem Export.
Dann:
- Setzen Sie eine Aufbewahrungsfrist. Speichern Sie gescrapte Daten nicht endlos. Wer wöchentlich Preise beobachtet, braucht die Rohdaten vom Vormonat in der Regel nicht mehr.
- Wurden personenbezogene Daten erfasst (z. B. für die Lead-Generierung), dokumentieren Sie Ihre Rechtsgrundlage, veröffentlichen Sie einen Transparenzhinweis nach Artikel 14 und richten Sie einen Prozess für Opt-out- und Löschersuchen ein.
- Automatisieren Sie Löschpläne, wo immer es geht. Thunderbits Scheduled Scraper kann wiederkehrende Scrapes in festgelegten Intervallen ausführen und behält dabei dieselbe Feldebene-Konfiguration bei, sodass jeder Lauf innerhalb Ihrer Compliance-Vorgaben bleibt.
Tipps, um beim Scraping in Europa compliant zu bleiben
Ein paar Praktiken, die ich aus der Recherche und aus Gesprächen mit compliance-orientierten Teams mitgenommen habe:
- Prüfen Sie immer die AGB, bevor Sie eine neue Website scrapen. Zwei Minuten Aufwand, die Ihnen Monate an juristischem Ärger ersparen können.
- Nutzen Sie APIs, wenn es welche gibt. Sie sind strukturiert, offiziell freigegeben und der sicherste Weg. Scraping sollte die Alternative sein, nicht der Normalfall.
- Führen Sie für jedes Projekt mit personenbezogenen Daten in großem Umfang eine DSFA durch. Laut CNIL können KI-Trainingsdatensätze ein hohes Risiko bergen, und die DSFA ist Ihr Nachweis der Rechenschaftspflicht. Auch bei kleineren Projekten ist es klug, die Analyse zu dokumentieren.
- Führen Sie ein Scraping-Log. Halten Sie fest, was wann und woher gescrapt wurde, auf welcher Rechtsgrundlage und mit welcher Aufbewahrungsfrist. Fragt eine Datenschutzbehörde nach, werden Sie froh sein, es zu haben.
- Behalten Sie regulatorische Updates im Auge. Die Leitlinien bewegen sich schnell — CNIL veröffentlichte im Januar 2026 neue KI-Scraping-Merkblätter, und weitere Stellungnahmen des EDPB stehen aus. Was heute gilt, kann morgen strenger sein.
- Scrapen Sie nicht aus eingeschränkten oder sensiblen Quellen. CNILs verbindliche Ausschlussliste umfasst Gesundheitsforen, überwiegend von Minderjährigen genutzte Seiten, Pornoseiten, Genealogie-Seiten und stark strukturierte personenbezogene Datenseiten. Wenn Sie ein Scraping-Projekt aufsetzen, pflegen Sie eine Standard-Blockliste.
- Automatisierter Traffic ist operativ ein großes Thema. Akamai berichtete, dass Bots 2024 42 % des gesamten Web-Traffics ausmachten, und Thales/Imperva stellte fest, dass automatisierter Bot-Traffic erstmals den menschlichen Traffic übertraf und 2024 51 % erreichte. Regulierer werten Bot-Verhalten, Anfragerate und Umgehungsversuche zunehmend als Hinweise auf Risiko und Unfairness. Sich wie ein verantwortungsvoller Scraper zu verhalten — den User-Agent kenntlich machen, Raten begrenzen, Ablehnungssignale respektieren — ist nicht nur höflich, sondern rechtlich relevant.
Fazit
Web-Scraping ist in Europa nicht illegal. Es ist aber reguliert — vor allem dann, wenn personenbezogene Daten ins Spiel kommen.
Das rechtliche Ergebnis hängt davon ab, was Sie scrapen (personenbezogen vs. nicht-personenbezogen), wie Sie scrapen (AGB, robots.txt, Rate Limiting, Minimierung auf Feldebene) und warum (dokumentierter Zweck und Rechtsgrundlage). Die Durchsetzungslage ist eindeutig: Massenhaftes, wahlloses Scraping personenbezogener Daten ohne Rechtsgrundlage ist der Bereich, in dem Unternehmen Bußgelder in sieben- oder achtstelliger Höhe drohen. Verhältnismäßiges, zielgenaues Scraping öffentlicher nicht-personenbezogener Daten — mit Schutzmaßnahmen — fällt in eine ganz andere Risikoklasse.
Das praktische Rahmenwerk:
- Nutzen Sie vor jedem Scraping-Projekt die Entscheidungs-Checkliste.
- Setzen Sie die von den Datenschutzbehörden empfohlenen Schutzmaßnahmen um (Transparenz, Minimierung, Aufbewahrungsgrenzen, Opt-out-Mechanismen).
- Wählen Sie Tools, die Compliance by Design unterstützen. Thunderbits KI-gestützte Feldauswahl, strukturierte Extraktion und kostenfreier Export nach Google Sheets, Excel, Airtable und Notion machen es leicht, nur die Daten zu scrapen, die Sie brauchen — nicht mehr und nicht weniger.
- Dokumentieren Sie alles. Interessenabwägung, Quellenliste, Aufbewahrungsplan, DSFA. Fragt ein Regulator, ist Ihre Akte Ihre Verteidigung.
Der obligatorische Hinweis: Dieser Artikel dient nur der Information und ist keine Rechtsberatung. Bei Hochrisikoszenarien mit personenbezogenen Daten in großem Umfang sollten Sie eine qualifizierte Fachanwaltskanzlei für Datenschutzrecht hinzuziehen. Die Vorschriften entwickeln sich weiter, und die Kosten eines Fehltritts sind real.
Möchten Sie konformes, zielgenaues Web-Scraping selbst ausprobieren? Thunderbits kostenlose Stufe lässt Sie strukturierte Extraktion im kleinen Maßstab testen — Felder definieren, nur das Nötige scrapen und mit wenigen Klicks exportieren. Außerdem finden Sie auf unserem YouTube-Kanal Schritt-für-Schritt-Anleitungen.
KI-Web-Scraper für konforme Datenextraktion testen Get Started Free
FAQs
1. Ist Web-Scraping in Europa legal, wenn die Daten öffentlich verfügbar sind?
Öffentliche Verfügbarkeit entbindet Daten nicht von der DSGVO, sofern es sich um personenbezogene Informationen handelt. Die niederländische DPA formulierte es so: „öffentlich bedeutet nicht automatisch Erlaubnis zum Scraping.“ Öffentliche nicht-personenbezogene Daten (Produktpreise, SKUs) sind in der Regel weniger heikel, doch Datenbankrichtlinie und Nutzungsbedingungen müssen Sie trotzdem prüfen.
2. Kann ich E-Mails und Telefonnummern von europäischen Websites scrapen?
E-Mails und Telefonnummern sind personenbezogene Daten im Sinne der DSGVO. Sie brauchen eine Rechtsgrundlage — typischerweise ein berechtigtes Interesse mit dokumentierter Interessenabwägung — und müssen die betroffenen Personen nach Artikel 14 informieren. CNIL belegte 2024 KASPR mit 240.000 € Bußgeld für das Scraping von LinkedIn-Kontaktdaten ohne ausreichende Transparenz oder Rechtsgrundlage. Das zeigt: Hier wird aktiv durchgesetzt.
3. Wie hoch ist das größte Bußgeld für illegales Web-Scraping in Europa?
Die niederländische AP belegte 2024 Clearview AI mit 30,5 Millionen € für die illegale Erhebung von Gesichtserkennungsdaten aus dem öffentlichen Web. Mehrere andere EU-Datenschutzbehörden verhängten gegen Clearview jeweils 20 Millionen € Bußgeld. Insgesamt übersteigen die EU-/EWR-Bußgelder rund ums Scraping von 2022 bis 2026 die Marke von 95 Millionen €.
4. Macht die Beachtung von robots.txt Web-Scraping in Europa legal?
Die Beachtung von robots.txt ist eine Best Practice und entspricht den zwingenden Schutzmaßnahmen der CNIL, garantiert für sich genommen aber keine Rechtmäßigkeit. Die DSGVO müssen Sie weiterhin einhalten, sobald personenbezogene Daten betroffen sind, ebenso die Datenbankrichtlinie und die Nutzungsbedingungen. Sehen Sie robots.txt-Compliance als eine Ebene in einem mehrschichtigen Compliance-Rahmen.
5. Wie unterscheidet sich das Web-Scraping-Recht in Europa von dem in den USA?
Die EU ist spürbar strenger. Die DSGVO gilt für alle personenbezogenen Daten — auch öffentlich verfügbare —, und die Datenbankrichtlinie bietet starken Schutz für organisierte Datensätze. Die USA kennen kein föderales Pendant zu beiden Gesetzen; nach hiQ v. LinkedIn ist das Scraping öffentlicher Daten dort grundsätzlich erlaubt. Das Vereinigte Königreich liegt nach dem Brexit dazwischen: UK GDPR und fortgeltende Datenbankrechte ähneln den EU-Regeln stark, allerdings mit ICO-Durchsetzung. Für grenzüberschreitende Unternehmen legt die EU die höchste Messlatte — und wenn Sie Daten über EU-Bürger scrapen, gelten diese Regeln, ganz gleich, wo Ihr Unternehmen sitzt.
Mehr erfahren
