Die Sammlung von Trainingsdaten durch Scraping war in der Stellungnahme 28/2024 ausdrücklich ausgeklammert; auch die Orientierungshilfe der DSK vom Juni 2025 nimmt diesen Bereich aus. Mit den Leitlinien 03/2026 liegt dazu erstmals ein eigener Rahmen vor.
Anwendungsbereich
Erfasst wird das Scraping durch private Stellen aus organisationsexternen Internetquellen — unmittelbar, über beauftragte Dritte oder durch Bezug bereits gescrapter Datensätze von Datenhändlern. Die Leitlinien gelten, sobald personenbezogene Daten betroffen sind, einschließlich gemischter Datensätze, und decken den gesamten Lebenszyklus von der Erhebung bis zum Einsatz des Modells ab.
Als Quellen nennt der EDSA öffentliche Register, Open-Data-Portale, Nachrichtenangebote, soziale Netzwerke, Diskussionsforen und persönliche Websites. Unterschieden wird zwischen gezieltem Scraping nach mehr oder weniger einschränkenden Kriterien und ungezieltem Scraping.
Kernaussagen nach der Fachdarstellung
Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO wird als bei großflächigem Scraping regelmäßig nicht tragfähig beschrieben. Als primärer Weg gilt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, das eine dreistufige Prüfung erfordert.
Zur Transparenz: Eine individuelle Information kann nach Art. 14 Abs. 5 lit. b DSGVO entbehrlich sein, wenn sie unverhältnismäßig wäre. Verantwortliche müssen nach der Darstellung gleichwohl ausführliche öffentliche Datenschutzhinweise veröffentlichen und Betroffenenrechte ermöglichen, einschließlich Widerspruchsmöglichkeiten vor der Erhebung.
Technische Signale werden als datenschutzrechtlich relevant behandelt: robots.txt, ai.txt, CAPTCHAs und Anmeldeschranken gelten als Anhaltspunkte für die vernünftigen Erwartungen betroffener Personen und wirken damit auf die Interessenabwägung.
Die Leitlinien behandeln ferner die Bedingungen, unter denen besondere Kategorien personenbezogener Daten in diesem Zusammenhang verarbeitet werden dürfen, sowie die Einordnung der Beziehungen zwischen Scraper und KI-Entwickler entlang der Rollen des Verantwortlichen und des Auftragsverarbeiters.
Stand
Die Leitlinien sind nicht verbindlich und liegen in der Entwurfsfassung vor. Änderungen bis zur Endfassung sind möglich. Der EDSA verweist auf seine Leitlinien 1/2024 zum berechtigten Interesse und auf die Stellungnahme 28/2024 als ergänzende Maßstäbe.
Verlauf
Korrektur Der Eintrag ist als Zeitraum gekennzeichnet (termin_art: zeitraum). Das bereits gesetzte gilt_bis wurde bis dahin nicht ausgewertet — die Zeitleiste führte den Eintrag unter dem 7. Juli 2026 als vergangenes Ereignis, statt die bis zum 30. Oktober 2026 laufende Konsultation als solche zu zeigen.
Pressemitteilung des EDSA zur Plenarsitzung.
QuelleAnnahme der Leitlinien 03/2026, Version 1.0, zur öffentlichen Konsultation.
QuelleDer EDSA kündigt in der Stellungnahme 28/2024 Leitlinien unter anderem zum Web Scraping an.
Quelle