Informationspflichten beim Web Scraping für KI

Wer Webdaten für das Training generativer KI sammelt, muss betroffene Personen grundsätzlich informieren. Bei sehr großen Datenmengen ist eine persönliche Mitteilung jedoch oft kaum möglich. Dieser Beitrag erklärt die Vorgaben des Art. 14 DSGVO, die Ausnahme nach Art. 14 Abs. 5 lit. b DSGVO und die Anforderungen der EDSA-Leitlinien 03/2026.

Öffentlich zugänglich bedeutet nicht datenschutzfrei

Crawler sammeln etwa Namen, Berufs- und Ortsangaben, Meinungen oder ganze Gesprächsverläufe. Diese Informationen lassen sich häufig Personen zuordnen, auch besonders geschützte Daten nach Art. 9 DSGVO können erfasst werden. Für diese Daten genügt ein berechtigtes Interesse allein nicht; zusätzlich ist eine Ausnahme nach Art. 9 Abs. 2 DSGVO erforderlich.

In der Praxis wird die Verarbeitung meist auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt. Dafür sind drei Fragen zu prüfen:

1. Gibt es ein konkretes und rechtmäßiges Interesse des Verantwortlichen?
2. Ist die Verarbeitung dafür wirklich notwendig, oder gibt es eine datensparsamere Lösung?
3. Überwiegt dieses Interesse die Rechte und Interessen der betroffenen Personen?

Entscheidend ist insbesondere, ob Betroffene vernünftigerweise mit der Verarbeitung rechnen mussten und wie stark ihre Rechte beeinträchtigt werden. Öffentlich zugängliche Informationen sind nicht datenschutzfrei. Weil Webdaten nicht direkt bei den Betroffenen erhoben werden, gelten grundsätzlich die Informationspflichten des Art. 14 DSGVO.

Welche Informationen verlangt Art. 14 DSGVO?

Nach Art. 14 Abs. 1 und 2 DSGVO müssen Verantwortliche insbesondere informieren über:

• ihre Identität und Kontaktdaten sowie gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten,
• die Zwecke der Verarbeitung und die Rechtsgrundlage sowie bei Art. 6 Abs. 1 lit. f DSGVO die verfolgten berechtigten Interessen,
• die Arten der verarbeiteten personenbezogenen Daten,
• Empfänger oder Empfängergruppen sowie geplante Übermittlungen in Drittländer,
• die Speicherdauer oder die Kriterien, nach denen sie festgelegt wird,
• die Rechte der betroffenen Personen, insbesondere das Widerspruchs- und Beschwerderecht, und
• die Quelle der Daten.

Nach Art. 14 Abs. 3 DSGVO müssen die Informationen innerhalb einer angemessenen Frist nach Erlangung der Daten vorliegen, längstens jedoch innerhalb eines Monats. Werden die Daten zur Kommunikation mit der betroffenen Person verwendet, ist spätestens bei der ersten Mitteilung zu informieren; werden sie an Dritte offengelegt, spätestens bei der ersten Offenlegung.

Wann kann die Informationspflicht nach Art. 14 Abs. 5 lit. b DSGVO entfallen?

Die persönliche Information kann entfallen, wenn sie unmöglich wäre oder unverhältnismäßigen Aufwand verursachen würde. Die „Guidelines 03/2026 on web scraping in the context of generative AI“ erkennen an, dass eine individuelle Benachrichtigung bei sehr großen Datenmengen schwierig, undurchführbar oder objektiv unmöglich sein kann. Eine automatische Befreiung für Web Scraping folgt daraus nicht.

Schon die ChatGPT Taskforce des EDSA erklärte 2024, die Ausnahme könne gelten, wenn alle gesetzlichen Voraussetzungen erfüllt sind. Nach den Leitlinien 03/2026 sollen sich Verantwortliche außerhalb von Archivzwecken im öffentlichen Interesse sowie wissenschaftlichen, historischen oder statistischen Zwecken jedoch nicht routinemäßig darauf berufen.

Verantwortliche müssen dokumentieren, warum der Aufwand einer persönlichen Information außer Verhältnis zu den Folgen für Betroffene steht. Geprüft wird der gesamte Datensatz, nicht jedes einzelne Datum. Zu berücksichtigen sind insbesondere:

• die Zahl der betroffenen Personen,
• das Alter der Daten und
• die eingesetzten Schutzmaßnahmen.

Was müssen Verantwortliche veröffentlichen?

Greift die Ausnahme, entfällt die Pflicht nicht vollständig. Verantwortliche müssen nach Art. 14 Abs. 5 lit. b DSGVO geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Personen ergreifen, einschließlich der Bereitstellung der Informationen für die Öffentlichkeit.

Nach Ansicht des EDSA muss die Veröffentlichung stets erfolgen, etwa in der Datenschutzerklärung oder einem eigenen Website-Hinweis. Neben allen genannten Pflichtangaben ist zu erklären:

• wie der eingesetzte Crawler arbeitet und welche Eigenschaften er hat, und
• ob die Daten aus öffentlich oder nicht öffentlich zugänglichen Quellen stammen.

Die Datenquellen sind möglichst genau zu beschreiben. Ist eine vollständige Liste unmöglich, muss sie so umfassend wie möglich sein und die fehlenden Quellentypen sowie die Gründe für ihre Auslassung nennen.

Der EDSA empfiehlt, Domainnamen und Internetadressen durchsuchbar sowie den Erhebungszeitraum anzugeben. Wer bereits gesammelte Datensätze von Dritten erhält, sollte außerdem einen Kontakt zum ursprünglichen Verantwortlichen nennen und die Erhebungsbedingungen klar und einfach erläutern. Alle Angaben müssen leicht auffindbar und verständlich sein.

Weitere Maßnahmen können die Transparenz verbessern und Risiken mindern. Die EDSA-Stellungnahme 28/2024 nennt etwa:

• öffentliche Hinweise mit zusätzlichen Angaben zu Auswahlkriterien und Datensätzen,
• Informationskampagnen in Medien oder per E-Mail,
• Grafiken und andere leicht verständliche Darstellungen,
• FAQ, Transparenzsiegel und Modellkarten sowie
• freiwillige jährliche Transparenzberichte.

Warum die Qualität der veröffentlichten Informationen entscheidend ist

Die DSGVO verlangt beim Web Scraping nicht um jeden Preis eine persönliche Benachrichtigung. Verantwortliche müssen jedoch begründen, warum sie unmöglich oder unverhältnismäßig aufwendig ist, und eine verlässliche öffentliche Alternative bereitstellen.

Nach den Leitlinien 03/2026 genügt es nicht, hohen Aufwand nur zu behaupten. Entscheidend sind eine dokumentierte Abwägung und aussagekräftige öffentliche Angaben, vor allem zu Quellen, Datenarten und Crawler. Wie Behörden und Gerichte dies anwenden, bleibt abzuwarten.

Die „Guidelines 03/2026 on web scraping in the context of generative AI“ sind ein Entwurf in öffentlicher Konsultation. Stellungnahmen sind bis 30. Oktober 2026 über das Formular auf der EDSA-Website möglich. Weil sich der Text noch ändern kann, sollte die Dokumentation leicht anpassbar sein.