EDPB konkretisiert DSGVO-Pflichten für GenAI-Scraping

Der Europäische Datenschutzausschuss (EDPB) konkretisiert, welche Datenschutzanforderungen beim Web Scraping für generative KI gelten. Die neuen Leitlinien behandeln Web Scraping im Kontext generativer KI sowie Anonymisierung. Beide Dokumente gehen bis zum 30. Oktober 2026 in die öffentliche Konsultation.

Im Mittelpunkt stehen Fälle, in denen Organisationen Daten aus externen Internetquellen selbst auslesen oder Dritte damit beauftragen. Die Leitlinien zu Web Scraping beziehen sich auf private Stellen und auf Scraping im Zusammenhang mit dem Training generativer KI. Nicht im Fokus stehen die Verarbeitung eigener personenbezogener Daten einer Organisation und Datenhändler, die lediglich bereits gescrapte Datensätze vorhalten.

DSGVO gilt bei personenbezogenen Daten

Web Scraping beschreibt der EDPB als automatisierte Extraktion großer Datenmengen aus öffentlich zugänglichen Webdiensten. Die DSGVO greift, wenn dabei personenbezogene Daten verarbeitet werden. Dazu zählen laut Leitlinien etwa Erhebung, Speicherung, Organisation oder Abruf solcher Daten.

Der EDPB hebt mehrere Grundsätze hervor, die beim Scraping für KI-Training relevant sind. Dazu gehören Zweckbindung, Transparenz, Datenminimierung, Richtigkeit und eine geeignete Rechtsgrundlage. Je nach konkreter Ausgestaltung kann es Fälle geben, in denen Betroffene nicht individuell informiert werden müssen, wenn dies unmöglich ist oder unverhältnismäßigen Aufwand erfordern würde.

Für die Datenminimierung nennt der EDPB Maßnahmen vor und nach der Datenerhebung. Dazu gehören präzise Auswahlkriterien, Datenkartierung, Filter zum Ausschluss bestimmter Datenkategorien und der Ausschluss von Quellen, die Scraping klar ablehnen. Nach der Erhebung können Filter, Pseudonymisierung, Anonymisierung oder synthetische Daten relevant sein.

Quellen, Zeitstempel und Rechtsgrundlage

Für die Richtigkeit der Daten empfiehlt der EDPB, nur aus verlässlichen Quellen zu scrapen, Daten mit Zeitstempeln zu versehen und sie vor dem Einsatz im KI-Training zu prüfen.

Außerdem behandelt der Ausschuss die Rechtsgrundlage des berechtigten Interesses. Diese werde von privaten Stellen beim Scraping für generative KI häufig herangezogen, setze aber drei Bedingungen voraus: ein berechtigtes Interesse, die Erforderlichkeit der Verarbeitung und eine Abwägung mit den Rechten der betroffenen Personen.

Besondere Kategorien personenbezogener Daten bleiben ein eigener Risikobereich. Der EDPB erinnert daran, dass ihre Verarbeitung grundsätzlich verboten ist. Wenn Scraping solche Daten umfasst, ist neben einer Rechtsgrundlage nach Artikel 6 DSGVO auch eine Ausnahme nach Artikel 9 Absatz 2 DSGVO erforderlich.

Drei Kriterien für Anonymisierung

Parallel hat der EDPB Leitlinien zur Anonymisierung angenommen. Sie sollen klären, wann Daten nicht mehr einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können. Die Bewertung kann laut EDPB je nach Akteur und Kontext unterschiedlich ausfallen.

Der Datenschutzausschuss nennt dafür drei Prüfkriterien: keine Isolierung einzelner Datensätze, keine Verknüpfbarkeit und keine Ableitbarkeit. Sind alle drei Kriterien erfüllt, können Daten laut EDPB als anonym betrachtet werden. Wird eines der Kriterien nicht erfüllt, ist eine weitere Prüfung nötig.

Für Unternehmen in Medien, Marketing und Plattformgeschäft sind die Leitlinien dort relevant, wo generative KI mit externen Webdaten, Trainingsdatensätzen oder KI-Werkzeugen in Berührung kommt. Der EDPB ändert damit keine bestehenden DSGVO-Pflichten, konkretisiert aber, welche Fragen bei Herkunft, Auswahl, Minimierung, Rechtsgrundlage und Dokumentation von Trainingsdaten zu prüfen sind.