DSGVO und das Scraping öffentlicher Daten: Praxis 2026

Was sich an der Auslegung der DSGVO nach Schrems II und Meta v. Bright Data geändert hat. Rechtsgrundlage für Scraping, Pflichten von Verantwortlichem/Auftragsverarbeiter, reale Bußgelder 2024-2025.

Warum das gerade jetzt wichtig ist

Die DSGVO gilt seit 2018, aber ihre Haltung zum Scraping entwickelt sich stetig weiter. In den Jahren 2024–2025 haben mehrere wegweisende Entscheidungen die Praxis erheblich verändert:

• Meta v. Bright Data (2024) — ein US-Gericht gab Bright Data bei öffentlichen Daten teilweise recht, zwang das Unternehmen aber, das Sammeln aus authentifizierten Sitzungen einzustellen.
• Clearview AI (2024) — ein Bußgeld von €30.5M in den Niederlanden für das Scraping öffentlicher Gesichtsfotos ohne Einwilligung.
• OpenAI (2025) — die italienische Datenschutzbehörde (DPA) warf die unrechtmäßige Nutzung von per Web-Scraping gewonnenen Daten für das Training vor. Die Untersuchung läuft noch.

Die Erkenntnis: Die DSGVO verbietet Scraping nicht, setzt aber eine hohe Hürde für die Rechtmäßigkeit — besonders bei kommerziellen Use-Cases.

Rechtsgrundlage für das Scraping öffentlicher Daten

Artikel 6 DSGVO nennt 6 Rechtsgrundlagen. Für Scraping sind 2 realistisch:

1. Berechtigtes Interesse (Art. 6(1)(f))

Am häufigsten beim B2B-Scraping. Voraussetzungen:

• Ein klares „berechtigtes Interesse“ Ihres Unternehmens (Lead-Generierung, Preisüberwachung, Marktforschung)
• Erforderlichkeit — das Scraping ist zur Erreichung des Zwecks wirklich notwendig
• Eine Abwägung — Ihr Interesse überwiegt die Rechte der betroffenen Person
• Ein Transparenzhinweis — Sie müssen die betroffenen Personen über die Verarbeitung informieren

Dokumentieren Sie das Ergebnis der Abwägung. Im Falle einer Beschwerde müssen Sie es der Datenschutzbehörde (DPA) vorlegen.

2. Einwilligung (Art. 6(1)(a))

Für das Scraping öffentlicher Daten nicht anwendbar — Sie können von den Millionen Menschen, deren Profile Sie scrapen, keine ausdrückliche Einwilligung einholen.

Pflichten des Verantwortlichen

Wenn Sie personenbezogene Daten scrapen (Name, E-Mail, Foto, Berufsbezeichnung, Telefon), sind Sie ein Verantwortlicher mit dem vollen Pflichtenkatalog:

1. Datenschutzhinweis — auf Ihrer Website, mit Datenquellen, Verarbeitungszwecken, Rechtsgrundlage, Speicherdauer.
2. Auskunftsrecht — stellen Sie auf Anfrage eine Kopie der Daten einer betroffenen Person bereit (1 Monat).
3. Recht auf Löschung — löschen Sie Daten auf Anfrage (1 Monat).
4. Widerspruchsrecht — ermöglichen Sie das Opt-out aus Ihrer Datenbank.
5. Verzeichnis von Verarbeitungstätigkeiten (Art. 30) — Dokumentation aller Verarbeitungstätigkeiten.
6. DPIA — verpflichtend, wenn die Verarbeitung ein hohes Risiko birgt (großflächig, automatisiert, Scoring).
7. Bestellung eines DPO — verpflichtend, wenn Sie regelmäßig PII in großem Umfang verarbeiten.
8. Meldung von Datenschutzverletzungen — 72 Stunden an die DPA + Benachrichtigung der betroffenen Personen.

Reale Bußgelder 2024–2025

Unternehmen	Bußgeld	Jurisdiktion	Grundlage
Clearview AI	€30.5M	NL	Scraping von Fotos ohne Einwilligung
OpenAI (ausstehend)	Untersuchung	IT	Per Web-Scraping gewonnene Trainingsdaten
Voodoo Sàrl	€3M	FR	Tracking-IDs ohne berechtigtes Interesse
Meta (Irland)	€1.2B	IE	Grenzüberschreitende Datentransfers (eine Folge von Schrems II)
TikTok	€345M	IE	Verarbeitung von Kinderdaten

Sichere Praktiken für 2026

1. Aggregieren Sie keine PII aus mehreren Quellen — selbst wenn jede für sich legal ist, entsteht durch die Aggregation ein „umfassendes Profil“, das eine eigene Rechtsgrundlage erfordert.
2. Vermeiden Sie sensible Daten — Religion, politische Ansichten, sexuelle Orientierung, Gesundheit (Art. 9). Die Bußgelder sind dort 4× höher.
3. Bevorzugen Sie B2B-Daten gegenüber B2C — die E-Mail und Berufsbezeichnung eines CEO sind risikoärmer als das persönliche Profil eines Studenten.
4. Setzen Sie Datenminimierung um — erfassen Sie keine Felder, die Sie für die geschäftliche Aufgabe nicht benötigen.
5. Pseudonymisieren Sie frühzeitig — ersetzen Sie PII bei der Erfassung durch einen Hash und arbeiten Sie anschließend mit anonymisierten Daten.
6. Vermeiden Sie Profile von Kindern — Kinderdaten genießen besonderen Schutz (Art. 8).
7. Arbeiten Sie mit compliance-fähigen Anbietern für Enterprise-Fälle — Bright Data und Oxylabs bieten DPA-Vorlagen.

Dieser Text ist ein Überblick, keine Rechtsberatung. Besprechen Sie konkrete Fragen mit einem Fachanwalt in Ihrer Jurisdiktion — besonders bei B2C-Projekten und kommerzieller PII-Aggregation.