DSGVO & Web Scraping: Personenbezogene Daten, Bußgelder & eine Checkliste

Die DSGVO verbietet Scraping nicht – sie regelt personenbezogene Daten. Hier erfahren Sie genau, wann sie gilt, warum berechtigtes Interesse Ihre einzige realistische Grundlage ist, was die jüngsten EU-Bußgelder bestraften und eine Checkliste, die Ingenieure tatsächlich durchlaufen können.

Die DSGVO verbietet Web Scraping nicht. Sie regelt die Verarbeitung personenbezogener Daten, und Scraping kollidiert nur dann damit, wenn die von Ihnen gesammelten Daten eine Person identifizieren können. Verstehen Sie diesen Unterschied richtig, und die meisten Compliance-Fragen beantworten sich von selbst; verstehen Sie ihn falsch, und Sie übernehmen das Risiko, das die jüngste EU-Durchsetzung sehr konkret gemacht hat. Dies ist ein Leitfaden für Ingenieure, keine Vorlesung: wann die DSGVO tatsächlich auf ein Scraping zutrifft, warum berechtigtes Interesse realistisch Ihre einzige rechtmäßige Grundlage ist, die Regeln zur Datenminimierung und Benachrichtigung, für deren Missachtung die Regulierungsbehörden Menschen weiterhin bestrafen, und eine Checkliste, die Sie vor Beginn eines Jobs durchlaufen können. Es ist eine informative Anleitung und keine Rechtsberatung – für ein spezifisches Projekt ziehen Sie einen Datenschutzanwalt hinzu.

Die einzige Frage, die zuerst zählt: Sind es personenbezogene Daten?

Die DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, und sie gilt für die Daten von EU-Bürgern, unabhängig davon, wo Ihre Server stehen. Die praktische Grenze für Scraper ist klar. Scraping nicht-personenbezogener Daten fällt im Allgemeinen vollständig außerhalb der DSGVO: Produktpreise und -spezifikationen, Aktien- und Marktdaten, Nachrichten- und Bloginhalte, Immobilienanzeigen, öffentliche Regierungsstatistiken. Sobald Ihr Datensatz Namen, E-Mail-Adressen, Telefonnummern, Fotos, Profile – oder die weniger offensichtlichen Kennungen wie IP-Adressen, Cookie-IDs und Geräte-Fingerabdrücke enthält – verarbeiten Sie personenbezogene Daten und das volle Gewicht der Verordnung greift. Gesundheits-, biometrische und ähnliche 'besondere Kategorien' von Daten erhöhen die Anforderungen weiter, erfordern in der Regel eine ausdrückliche Zustimmung. Wenn Ihr Ziel Preise und Katalogdaten sind, sind Sie größtenteils im klaren; das breitere rechtliche Bild jenseits der DSGVO finden Sie in ist web scraping legal in 2026.

Warum berechtigtes Interesse Ihre einzige realistische Grundlage ist

Artikel 6 der DSGVO listet sechs rechtmäßige Grundlagen auf, aber nur eine passt zu groß angelegtem Scraping. Zustimmung ist unpraktisch – Sie können keine informierte Zustimmung von Millionen von Menschen erhalten, deren Daten Sie noch nicht gesammelt haben. Vertragliche Notwendigkeit scheitert, weil Sie keine Beziehung zu den betroffenen Personen haben. Das lässt berechtigtes Interesse, und sowohl die ChatGPT-Taskforce des EDPB als auch die französische CNIL bestätigen es als Standardgrundlage – mit Bedingungen. Es erfordert einen dokumentierten dreiteiligen Test: Das Interesse ist wirklich berechtigt, die Verarbeitung ist notwendig und nicht übermäßig, und es überwiegt nicht die Rechte und berechtigten Erwartungen der Personen, deren Daten Sie erfassen. Schreiben Sie diese Bewertung des berechtigten Interesses nieder, bevor Sie scrapen; 'wenn Sie die Einhaltung nicht nachweisen können, sind Sie nicht konform' ist das Betriebsprinzip, das die Regulierungsbehörden anwenden.

Was die jüngsten Bußgelder tatsächlich bestraften

Die Durchsetzung der letzten zwei Jahre zeigt Ihnen genau, wo sich das Risiko konzentriert. Die niederländische Datenschutzbehörde verhängte 2024 eine Geldstrafe von 30,5 Millionen EUR gegen Clearview AI für den Aufbau einer Gesichtserkennungsdatenbank aus gescrapten öffentlichen Bildern, ohne die Menschen zu informieren oder Zugang und Löschung anzubieten – die italienische Regulierungsbehörde hatte für dasselbe Modell bereits 20 Millionen EUR verhängt. Die französische CNIL verhängte im Dezember 2024 eine Geldstrafe von 240.000 EUR gegen KASPR für das Scraping von LinkedIn-Kontaktdaten, einschließlich von Benutzern, die ihre Sichtbarkeit eingeschränkt hatten, über eine Datenbank von etwa 160 Millionen Kontakten. Die polnische Datenschutzbehörde verhängte 220.000 EUR gegen einen Datenbroker, der öffentliche Unternehmensregister scrapte, die Millionen von Menschen abdeckten, und dann argumentierte, dass die Benachrichtigung dieser Personen ein 'unverhältnismäßiger Aufwand' sei – die Regulierungsbehörde wies dies entschieden zurück. Die Obergrenze für all dies ist das DSGVO-Maximum von 20 Millionen EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Lesen Sie diese Fälle und das Muster ist konsistent: Die Verstöße bestanden darin, Menschen nicht zu informieren, ihre Rechte zu ignorieren, eingeschränkte oder übermäßige personenbezogene Daten zu sammeln und weiterzumachen, nachdem man aufgefordert wurde, aufzuhören. Keiner von ihnen drehte sich um 'Scraping ist illegal' – sie drehten sich darum, wie personenbezogene Daten gehandhabt wurden.

Die Checkliste für Ingenieure

Übersetzen Sie die Prinzipien in Schritte, die Sie ausführen, nicht in eine Richtlinie, die Sie ablegen. Vor und während eines jeden Jobs, der personenbezogene Daten berührt:

• Minimieren Sie beim Sammeln. Behalten Sie nur die Felder, die Sie tatsächlich für Ihren dokumentierten Zweck benötigen. Wenn Sie Kommentartext benötigen, speichern Sie nicht den Namen und das Pseudonym des Kommentators daneben.
• Beschränken Sie sich auf frei zugängliche Daten. Die CNIL-Richtlinien besagen, dass Sie auf öffentlichen Seiten bleiben sollen, die keine Anmeldung erfordern – scrapen Sie nicht hinter Authentifizierung oder über eingeschränkte Sichtbarkeitseinstellungen hinaus.
• Respektieren Sie technische Einwände. robots.txt und CAPTCHA sind Signale, dass eine Website keine automatisierte Sammlung wünscht; sie zu ignorieren, schwächt Ihre rechtliche Position. Details in robots.txt in der Praxis.
• Legen Sie Aufbewahrungsfristen fest. Löschen Sie personenbezogene Daten, sobald sie ihren Zweck erfüllt haben; unbegrenzte Speicherung ist ein Verstoß gegen die Speicherbegrenzung.
• Planen Sie für Artikel 14 und DSARs. Seien Sie in der Lage, betroffene Personen zu informieren und Zugriffs- und Löschanfragen zu bearbeiten – das Versäumnis, das die Clearview- und Polen-Fälle versenkte.
• Führen Sie eine DPIA durch für groß angelegte oder risikoreichere Sammlungen und halten Sie die Dokumentation bereit.

Zwei dieser Punkte sind buchstäblich Code. Minimierung ist ein Filter, der PII entfernt, die Sie nicht zu sammeln beabsichtigt haben:

KEEP = {"product", "price", "currency", "rating", "review_text"}
PII  = {"reviewer_name", "email", "user_id", "ip"}

def minimize(record):
    # keep only declared fields; never persist PII you did not need
    return {k: v for k, v in record.items() if k in KEEP and k not in PII}

Und das Respektieren der erklärten Wünsche der Website ist eine Überprüfung, die Sie vor der ersten Anfrage durchführen, mit der Standardbibliothek:

import urllib.robotparser as rp

def allowed(url, ua="MyResearchBot"):
    r = rp.RobotFileParser()
    r.set_url(url.rstrip("/").split("/", 3)[0] + "//" +
              url.split("/")[2] + "/robots.txt")
    r.read()
    return r.can_fetch(ua, url)

Wo Proxies passen – und nicht

Proxies sind Infrastruktur, um öffentliche Daten zuverlässig und aus der richtigen Geografie zu erreichen; sie sind keine Abkürzung zur Compliance. Das Routing eines Scrapes durch eine Scraper API oder Residential IPs ändert nichts daran, ob Sie eine rechtmäßige Grundlage haben, und es wäscht keine personenbezogenen Daten, die Sie nicht sammeln sollten. Wo sie wirklich helfen, ist, Sie auf dem konformen Weg zu halten: nur öffentliche, nicht-personenbezogene Daten in großem Maßstab zu sammeln – Preise, Kataloge, Marktsignale – was genau die risikoarme Arbeit ist, die die meisten Teams tatsächlich benötigen. Wenn Ihr Projekt die Daten von Personen berührt, wie z.B. B2B-Kontaktforschung, behandeln Sie Compliance von Anfang an als Designbeschränkung, wie wir es in LinkedIn öffentliche Daten und Compliance formulieren.

Häufig gestellte Fragen

Ist Web Scraping unter der DSGVO legal?

Scraping wird von der DSGVO nicht verboten, aber die Verarbeitung personenbezogener Daten von EU-Bürgern erfordert eine rechtmäßige Grundlage und die Einhaltung der Prinzipien der Verordnung. Wenn Sie nur nicht-personenbezogene Daten scrapen – Preise, Lagerbestände, Nachrichten – gilt die DSGVO im Allgemeinen nicht. Wenn Ihre Daten Personen identifizieren, benötigen Sie eine dokumentierte Grundlage (in der Regel berechtigtes Interesse), Datenminimierung, Aufbewahrungsfristen und eine Möglichkeit, die Rechte der betroffenen Personen zu achten.

Welche personenbezogenen Daten kann ich scrapen, ohne gegen die DSGVO zu verstoßen?

Die sicherste Position ist, personenbezogene Daten ganz zu vermeiden: Produkt-, Preis-, Lager-, Markt-, Nachrichten- und öffentliche statistische Daten fallen typischerweise außerhalb der DSGVO. Wenn Sie personenbezogene Daten verarbeiten müssen, beschränken Sie sich auf frei zugängliche öffentliche Informationen, sammeln Sie nur das, was Ihr dokumentierter Zweck erfordert, und seien Sie bereit, Menschen zu informieren und Löschanfragen zu bearbeiten. Vermeiden Sie Daten besonderer Kategorien wie Gesundheitsinformationen, es sei denn, Sie haben eine ausdrückliche Zustimmung.

Gilt die DSGVO, wenn mein Unternehmen außerhalb der EU ist?

Ja. Die DSGVO gilt basierend darauf, wessen Daten Sie verarbeiten, nicht darauf, wo Sie sich befinden. Wenn Sie personenbezogene Daten von Personen in der EU oder dem EWR scrapen, gilt die Verordnung unabhängig vom Land Ihres Unternehmens. Das Scraping von Daten, die nur nicht-EU-Personen betreffen, unterliegt stattdessen den Gesetzen dieser Gerichtsbarkeiten, aber die EU-Fälle zeigen, dass Regulierungsbehörden ausländische Betreiber verfolgen werden, die Daten von EU-Bürgern verarbeiten.

Was ist die maximale DSGVO-Bußgeldhöhe für Scraping?

Die Obergrenze der DSGVO liegt bei 20 Millionen EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Tatsächliche Scraping-Strafen reichten von sechsstelligen Beträgen – 220.000 EUR für ein Register-Scraping, 240.000 EUR für LinkedIn-Kontakt-Scraping – bis zu 30,5 Millionen EUR gegen Clearview AI. Der gemeinsame Nenner ist der unsachgemäße Umgang mit personenbezogenen Daten: keine Benachrichtigung, ignorierte Rechte und übermäßige Sammlung.

Der konforme Weg ist enger als 'alles Öffentliche scrapen' und viel breiter als 'Scraping ist illegal'. Bleiben Sie bei nicht-personenbezogenen Daten, wo Sie können, dokumentieren Sie berechtigtes Interesse und minimieren Sie, wo Sie es nicht können, respektieren Sie die Signale, die Websites Ihnen geben, und behalten Sie die Belege. Tun Sie das, und die DSGVO ist eine Designbeschränkung, keine Bedrohung.

Sammeln Sie öffentliche, nicht-personenbezogene Daten mit der Scraper API