Datenschutz · KI-Training · Webscraping
Personenbezogene Daten im KI-Training: Was beim Webscraping zu prüfen ist
Stand: 1. November 2026
Wer öffentlich erreichbare Webseiten für das Training einer KI ausliest, kann dabei Namen, Fotos, Kontaktdaten oder persönliche Äußerungen erfassen. Die öffentliche Zugänglichkeit ersetzt keine datenschutzrechtliche Prüfung. Für Unternehmen ist deshalb vor der Datensammlung zu klären, welche personenbezogenen Daten sie benötigen und unter welchen Voraussetzungen sie diese verarbeiten dürfen. EDSA, Leitlinienentwurf 03/2026
EDSA-Konsultation beendet: Noch keine abschließende Fassung
Die öffentliche Konsultation zu den Leitlinien 03/2026 des Europäischen Datenschutzausschusses (EDSA) lief vom 8. Juli bis zum 30. Oktober 2026. Die Dokumentseite weist sie inzwischen als geschlossen aus. Konsultationsseite; aktueller Dokumentstatus
Die dort verfügbare Version 1.0 wurde am 7. Juli 2026 zur öffentlichen Konsultation angenommen. Auf den geprüften EDSA-Seiten ist am 1. November 2026 keine nach der Konsultation verabschiedete Endfassung ausgewiesen. Das Fristende darf daher nicht als Inkrafttreten neuer, abschließender Vorgaben dargestellt werden. Version und Anwendungsbereich
Welche Rechtsgrundlage trägt die Verarbeitung?
Eine Einwilligung ist nicht in jedem Fall zwingend. Art. 6 DSGVO kennt mehrere Rechtsgrundlagen. Welche davon einschlägig ist, hängt von der konkreten Verarbeitung ab. Unternehmen dürfen ein berechtigtes Interesse nicht allein deshalb annehmen, weil Trainingsdaten wirtschaftlich wertvoll sind.
Bei Art. 6 Abs. 1 Buchst. f DSGVO sind insbesondere drei Fragen zu beantworten:
- Welches konkrete berechtigte Interesse wird verfolgt?
- Ist die Verarbeitung dafür erforderlich, oder lässt sich der Zweck weniger eingriffsintensiv erreichen?
- Überwiegen Interessen oder Grundrechte der betroffenen Personen?
Gesundheitsdaten, religiöse Überzeugungen und andere besondere Datenkategorien erfordern zusätzlich die Prüfung einer Ausnahme nach Art. 9 Abs. 2 DSGVO. Ein berechtigtes Interesse allein genügt hierfür nicht. Die Ausnahme für offensichtlich selbst öffentlich gemachte Daten ist keine allgemeine Erlaubnis für sämtliche im Internet auffindbaren Angaben. Europäische Kommission zu Rechtsgrundlagen und besonderen Datenkategorien
Datenmenge, Zweck und Aufbewahrung begrenzen
Der Trainingszweck muss konkret beschrieben werden. Daraus folgt, welche Informationen tatsächlich erforderlich sind. Eine Datensammlung auf Vorrat lässt sich nicht allein mit möglichen späteren Einsatzmöglichkeiten rechtfertigen.
Unternehmen sollten Auswahlkriterien, ausgeschlossene Inhalte und Löschfristen vorab festlegen. Ebenso gehören Zugriffsschutz und die Prüfung der Datenqualität zum Konzept. Die Einhaltung dieser Grundsätze muss nachvollziehbar dokumentiert werden. DSGVO-Grundsätze: Zweckbindung, Datenminimierung und Rechenschaft
Transparenz gilt auch bei fremden Datenquellen
Wer personenbezogene Daten nicht unmittelbar bei den Betroffenen erhebt, muss insbesondere Art. 14 DSGVO berücksichtigen. Die Information betrifft unter anderem Verantwortlichen, Zweck, Rechtsgrundlage, Datenkategorien, Herkunft, Empfänger, Speicherdauer und Betroffenenrechte. Informationspflichten bei indirekter Datenerhebung
Eine Ausnahme wegen unmöglicher oder unverhältnismäßig aufwendiger Einzelinformation muss begründet werden. Sie ist kein pauschales Privileg großer Datensammlungen. Wird Art. 14 Abs. 5 Buchst. b DSGVO herangezogen, bleiben Schutzmaßnahmen erforderlich; dazu gehört die öffentliche Bereitstellung der Informationen. EDSA-Entwurf zur Transparenz
Auskunft, Löschung und Widerspruch praktisch ermöglichen
Betroffene können unter den jeweiligen gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung oder Einschränkung verlangen. Anträge sind grundsätzlich innerhalb eines Monats zu beantworten.
Bei einer Verarbeitung aufgrund berechtigter Interessen kommt ein Widerspruch aus Gründen der besonderen Situation nach Art. 21 Abs. 1 DSGVO in Betracht. Dann darf die Verarbeitung grundsätzlich nicht fortgesetzt werden, sofern der Verantwortliche keine vorrangigen zwingenden schutzwürdigen Gründe nachweist oder die Verarbeitung Rechtsansprüchen dient. Das ist von dem voraussetzungsloseren Widerspruch gegen Direktwerbung zu unterscheiden.
Für KI-Projekte empfiehlt sich ein klarer Ablauf: zuständige Stelle benennen, Anfragen dem betroffenen Datenbestand zuordnen und die Entscheidung dokumentieren. Ob Daten zu löschen sind und welche Maßnahmen dafür erforderlich sind, bedarf einer konkreten Prüfung. Europäische Kommission zu Betroffenenrechten und Widerspruch
Websitebetreiber: Datenschutz und Urheberrecht getrennt prüfen
Ein datenschutzrechtlich zulässiger Verarbeitungsvorgang beantwortet noch nicht, ob Texte oder Bilder urheberrechtlich genutzt werden dürfen. Umgekehrt ersetzt eine urheberrechtliche Erlaubnis keine DSGVO-Prüfung.
§ 44b UrhG erlaubt unter seinen Voraussetzungen Vervielfältigungen rechtmäßig zugänglicher Werke für Text und Data Mining. Rechtsinhaber können diese Nutzung vorbehalten; bei online zugänglichen Werken verlangt die Vorschrift einen maschinenlesbaren Vorbehalt. Ob eine konkrete KI-Nutzung unter die Regelung fällt und ob ein Vorbehalt wirksam ist, muss gesondert geprüft werden. § 44b UrhG
Praktische Empfehlung für Websitebetreiber: Halten Sie fest, welche Inhalte und Rechte betroffen sind. Sichern Sie bei einem konkreten Scraping-Verdacht die betroffenen URLs, Zeitpunkte und vorhandenen technischen Nachweise. Unterscheiden Sie dabei zwischen eigenen Urheberrechten und den Datenschutzrechten abgebildeter oder genannter Personen.
Vier Schritte vor dem nächsten KI-Projekt
- Projekt beschreiben: Datenquellen, Trainingsziel und beteiligte Dienstleister in einer kurzen Projektakte zusammenführen.
- Prüfung vorbereiten: Die tatsächlich benötigten Informationen und mögliche Alternativen benennen.
- Betrieb organisieren: Informationswege, Löschabläufe und die Bearbeitung von Anfragen vor dem Start praktisch testen.
- Entscheidung festhalten: Offene Rechtsfragen einer verantwortlichen Person zur Prüfung vorlegen, statt die Freigabe allein aus einer technischen Checkliste abzuleiten.
Diese Schritte sind eine Arbeitsgrundlage, keine automatische Bestätigung der Rechtmäßigkeit.
Häufige Fragen
Sind öffentlich zugängliche Daten frei für KI-Training verwendbar?
Nein. Die Zugänglichkeit allein ist keine Freigabe für jede weitere Verarbeitung. Entscheidend bleiben unter anderem Personenbezug, Zweck und Rechtsgrundlage. EDSA-Entwurf
Braucht jedes KI-Training eine Einwilligung?
Nein. Es muss eine passende Rechtsgrundlage vorliegen. Auch ein berechtigtes Interesse kommt nur nach einer tragfähigen Prüfung in Betracht. Rechtsgrundlagen nach der DSGVO
Verbietet ein Widerspruch automatisch jedes weitere Training?
Das lässt sich nicht pauschal beantworten. Maßgeblich sind die Rechtsgrundlage, der konkrete Antrag und die Voraussetzungen des einschlägigen Betroffenenrechts. Umgang mit Widersprüchen
Ist ein maschinenlesbarer Nutzungsvorbehalt ein Datenschutz-Widerspruch?
Beide Instrumente betreffen unterschiedliche Rechte. Ein urheberrechtlicher Vorbehalt nach § 44b UrhG ersetzt nicht die Prüfung eines datenschutzrechtlichen Betroffenenantrags. Urheberrechtlicher Nutzungsvorbehalt; Datenschutzrechtlicher Widerspruch
Ihr Ansprechpartner
Kanzlei Wrase
Weitere Informationen finden Sie zur anwaltlichen Beratung im Datenschutzrecht, zum KI-Recht und AI Act sowie zur Prüfung urheberrechtlicher Ansprüche.
Rechtsanwalt Björn Wrase
Kanzlei Wrase
Am Kaiserkai 69
20457 Hamburg · Deutschland
Konkretes Scraping-Vorhaben oder betroffene Website prüfen lassen
Sie planen die Verwendung von Webdaten für ein KI-Projekt oder vermuten, dass Inhalte Ihrer Website dafür übernommen wurden? Für eine rechtliche Prüfung sind insbesondere Datenquellen, Verwendungszweck, betroffene Inhalte und vorhandene Nachweise hilfreich. Kanzlei Wrase kann anhand des konkreten Sachverhalts klären, welche datenschutz- und urheberrechtlichen Fragen zu prüfen sind.
Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Prüfung des Einzelfalls.