Web Scraping für KI-Training: Was europäische Leitlinien verlangen
Der Europäische Datenschutzausschuss hat mit den Leitlinien 03/2026 erstmals ein konkretes Prüfraster dafür vorgelegt, wie sich das automatisierte Scraping öffentlich zugänglicher Webinhalte für das Training generativer KI-Modelle mit der DSGVO verträgt.
Web Scraping, also das automatisierte Extrahieren großer Datenmengen aus öffentlich zugänglichen Internetquellen, ist eine der zentralen Methoden zur Beschaffung von Trainingsdaten für generative KI-Modelle. Bislang fehlte eine EU-weit abgestimmte Orientierung, wie sich diese Praxis mit der Datenschutz-Grundverordnung (DSGVO) verträgt, obwohl praktisch jedes größere Trainingsvorhaben in Europa davon betroffen ist. Der Europäische Datenschutzausschuss (EDSA) schließt diese Lücke nun mit einem Prüfraster (siehe ix.de/z3jz), das an seine frühere Stellungnahme 28/2024 zu KI-Modellen anknüpft. In ihr geht es um strenge Voraussetzungen für eine Anonymisierung von Trainingsdaten, berechtigtes Interesse als Rechtsgrundlage und rechtliche Konsequenzen bei rechtswidrig erhobenen Daten.
Zentral ist zunächst die Frage der Rollenverteilung. Wer das Web Scraping vornimmt, ist nach Ansicht des EDSA nicht automatisch verantwortlich im Sinne der DSGVO. Entscheidend ist vielmehr, wer Zwecke und Mittel der Verarbeitung festlegt. Beauftragt ein KI-Entwickler einen Dienstleister mit dem Scraping nach dokumentierten Weisungen, gilt dieser als Auftragsverarbeiter, während der Entwickler die Verantwortung trägt. Wird ein bereits bestehender gescrapter Datensatz von einem anderen KI-Entwickler nachgenutzt, sind Scraper und nachnutzender Entwickler jeweils getrennt für ihre eigene Verarbeitung verantwortlich. Eine gemeinsame Verantwortlichkeit kommt nur in Betracht, wenn beide Seiten Zwecke und Mittel gemeinsam festlegen.
