Web-Scraping für KI: EDSA-Leitfaden 03/2026 für KMU

Nach dem EDSA-Leitfaden 03/2026 dürfen europäische Unternehmen öffentlich zugängliche Internetdaten nicht als freien Rohstoff für generative KI-Modelle behandeln. Das Erfassen personenbezogener Online-Daten für Training, Fine-Tuning oder Retrieval-Augmented Generation (RAG) erfordert eine dokumentierte dreistufige Interessensabwägung nach Art. 6 Abs. 1 lit. f DSGVO, strenge Vorab-Filter für sensible Daten nach Art. 9 DSGVO sowie die Beachtung maschinenlesbarer Widersprüche.

Viele Entwicklungsteams nehmen an, dass frei abrufbare Webdaten rechtlich unbedenklich sind. Sie setzen Crawler auf Foren, Branchenverzeichnisse und Plattformen an, extrahieren Millionen Datensätze und speisen diese in Vektordatenbanken ein. Die europäischen Datenschutzbehörden haben dieser Praxis eine Absage erteilt. Der Europäische Datenschutzausschuss (EDSA) hat den Leitfaden 03/2026 verabschiedet, um die Anwendung der DSGVO beim kommerziellen Web-Scraping für generative KI verbindlich zu klären.

Hier erfahren europäische Gründer, CTOs und Compliance-Verantwortliche, welche Nachweise erforderlich sind, um KI-Pipelines prüfsicher aufzustellen.

Wer ist tatsächlich betroffen?

Der Leitfaden 03/2026 gilt für jedes Unternehmen, das personenbezogene Daten aus öffentlichen Online-Quellen erfasst, um generative KI-Systeme zu trainieren, anzupassen oder zu evaluieren.

Die datenschutzrechtliche Verantwortlichkeit greift bei drei typischen Architekturen:

• Eigene Web-Crawler: Der Betrieb interner Scraper oder Skripte auf öffentlichen Webseiten.
• Beauftragte Datenerfassung: Die Vergabe von Scraping-Aufträgen an externe Dienstleister oder Agenturen.
• Gekaufte Datensätze: Der Erwerb fertiger Web-Korpora von Datenbrokern oder der Download offener Web-Snapshots.

Der Zukauf vorgefertigter Datensätze entbindet Unternehmen nicht von ihrer Verantwortung. Nach Art. 4 Nr. 7 DSGVO gilt Ihr Unternehmen als Verantwortlicher für jeden einzelnen personenbezogenen Datenpunkt, der in Ihre Datenpipeline oder Modellgewichte einfließt. Wurden Daten von einem Dritten unrechtmäßig erfasst, überträgt sich dieser Mangel unmittelbar auf Ihr Modell.

Welche Dokumentation ist beim berechtigten Interesse erforderlich?

Die Einholung einer individuellen Einwilligung von Millionen Internetnutzern ist beim Web-Scraping praktisch unmöglich. Die meisten europäischen Entwickler stützen sich daher auf Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen).

Reine Behauptungen reichen den Aufsichtsbehörden nicht aus. Die Behörden fordern vor dem Start von Crawlern eine schriftliche dreistufige Interessensabwägung:

1. Zweckprüfung: Sie müssen einen konkreten, rechtmäßigen und klar umrissenen wirtschaftlichen oder wissenschaftlichen Zweck nachweisen. Abstrakte Formulierungen wie „Verbesserung von Algorithmen“ genügen nicht.
2. Erforderlichkeitsprüfung: Sie müssen belegen, dass das Ziel nicht mit synthetischen Daten, lizenzierten Inhalten oder anonymisierten Daten erreicht werden kann. Kann das System mit anonymen Daten arbeiten, ist das Scraping personenbezogener Profile unzulässig.
3. Abwägungsprüfung: Sie müssen nachweisen, dass Ihre wirtschaftlichen Interessen die Grundrechte, Freiheiten und vernünftigen Erwartungen der betroffenen Internetnutzer nicht überwiegen.

Jede strukturierte Datenerfassung muss in Ihrem internen Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentiert werden. Werden personenbezogene Daten in großem Umfang verarbeitet, ist vorab eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchzuführen.

Wie müssen KMU mit Artikel-9-Daten und Widersprüchen umgehen?

Öffentliche Webseiten enthalten regelmäßig sensible personenbezogene Daten. In Diskussionsforen, Bewertungsportalen und sozialen Netzwerken finden sich Angaben zu politischen Meinungen, religiösen Überzeugungen, Gewerkschaftszugehörigkeiten oder Gesundheitsdaten.

Nach Art. 9 DSGVO ist die Verarbeitung besonderer Kategorien personenbezogener Daten grundsätzlich untersagt, sofern keine ausdrückliche Einwilligung oder ein enger gesetzlicher Ausnahmetatbestand vorliegt. Der EDSA hat klargestellt: Dass ein Nutzer Informationen in einem öffentlichen Forum teilt, bedeutet nicht automatisch, dass diese Daten für kommerzielles KI-Scraping im Sinne von Art. 9 Abs. 2 lit. e DSGVO offenkundig öffentlich gemacht wurden.

Entwicklungsteams in KMU müssen daher technische Sicherheitsmaßnahmen vor der Datenaufnahme etablieren:

• Automatisierte Bereinigungsfilter: Einsatz von Regex- und Klassifikations-Pipelines zur Erkennung und Löschung sensibler Merkmale vor der Vektorisierung.
• Ausschlusslisten: Sperrung von Gesundheitsforen, politischen Portalen und sensiblen Bewertungsseiten im Crawler-Targeting.
• Maschinenlesbare Widersprüche: Konfiguration der Scraper zur strikten Einhaltung von robots.txt-Vorgaben und HTTP-Headern (X-Robots-Tag: noindex, noarchive).
• Widerspruchsmanagement nach Art. 21 DSGVO: Einrichtung eines einfachen, öffentlich zugänglichen Prozesses, über den Betroffene der Weiternutzung ihrer Daten widersprechen können.

Welche Sanktionen drohen bei unzulässigem KI-Scraping?

Europäische Datenschutzbehörden kontrollieren KI-Datensätze zunehmend schärfer. Aufsichtsbehörden in Frankreich (CNIL), Italien (Garante), Spanien (AEPD) und Irland (DPC) haben bereits erhebliche Verfahren gegen unzulässige Datenverarbeitungen im KI-Bereich eingeleitet.

Nach Art. 83 Abs. 5 DSGVO führen Verstöße gegen grundlegende Verarbeitungsprinzipien oder die unrechtmäßige Verarbeitung von Art.-9-Daten zu Geldbußen von bis zu 20.000.000 EUR oder bis zu 4 % des weltweiten Jahresumsatzes.

Neben Geldbußen verfügen die Behörden über Abhilfebefugnisse nach Art. 58 Abs. 2 DSGVO. Sie können vorübergehende oder dauerhafte Verarbeitungsverbote verhängen, die Löschung ganzer Trainingskorpora anordnen oder verlangen, dass trainierte Modellgewichte vollständig vernichtet werden.

Wird die KI-Anwendung im Bereich HR, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur eingesetzt, greifen zusätzlich die Vorschriften der Verordnung (EU) 2024/1689 (KI-Verordnung). Werden fehlerhafte Trainingsdaten in Systemen eingesetzt, die als Hochrisiko-KI-System eingestuft sind, drohen parallele Prüfungen durch Datenschutz- und Marktüberwachungsbehörden.

Was sollten KMU jetzt tun?

Europäische Technologieunternehmen sollten fünf praktische Schritte umsetzen:

1. Trainingsdaten inventarisieren: Erfassen Sie alle externen Datensätze, Web-Korpora und Vektor-Indizes in Ihren Pipelines.
2. Berechtigtes Interesse dokumentieren: Erstellen Sie eine schriftliche Interessensabwägung für jeden aktiven Scraping- oder RAG-Workflow.
3. Crawler-Regeln auditieren: Stellen Sie sicher, dass Ihre Scraping-Tools die robots.txt-Vorgaben aller Zielseiten verbindlich beachten.
4. Art.-9-Filter aktivieren: Richten Sie automatisierte Prüfskripte ein, die sensible Attribute vor der Modellspeicherung aussortieren.
5. Regulatorische Überschneidungen prüfen: Überprüfen Sie mit EuroComply, welche wechselseitigen Verpflichtungen aus DSGVO, KI-Verordnung und NIS-2 für Ihre Systeme bestehen.

Haftungsausschluss: EuroComply bietet Tools und Nachweisentwürfe zur Vorbereitung auf die EU-Compliance. Dieser Leitfaden dient ausschließlich Informationszwecken und stellt keine rechtliche, regulatorische oder steuerliche Beratung dar. Technische Dokumentationen und Bewertungen sollten von qualifizierten Rechtsanwälten geprüft werden.