EDPB legt Leitlinien für Web-Scraping und generative KI vor — Konsultation bis 30. Oktober

Der Europäische Datenschutzausschuss (EDPB) hat auf seiner Plenarsitzung am 8. Juli 2026 drei Leitliniendokumente auf den Weg gebracht — zwei davon betreffen unmittelbar, wie generative KI mit persönlichen Daten umgehen darf.

Web-Scraping für KI-Training. Der Entwurf stellt klar, dass die DSGVO greift, sobald beim Absammeln des Webs persönliche Daten anfallen — vom Erfassen über das Speichern bis zum Abruf. Die Behörden verlangen besondere Aufmerksamkeit für Zweckbindung und Transparenz und empfehlen, nur aus zuverlässigen Quellen zu scrapen, Zeitstempel zu dokumentieren und Daten vor dem Training zu validieren. Wer sich auf berechtigtes Interesse als Rechtsgrundlage stützt, muss die Vorgaben aus der früheren EDPB-Stellungnahme zu KI-Modellen erfüllen. Besondere Datenkategorien — etwa Gesundheit, politische Meinung oder Religion — bleiben grundsätzlich tabu: Hier braucht es zusätzlich zur Rechtsgrundlage nach Artikel 6 eine Ausnahme nach Artikel 9(2) DSGVO, die beim ungezielten Scrapen kaum je vorliegt.

Anonymisierung. Die zweiten Leitlinien schärfen den Begriff auf Basis des EuGH-Urteils C-413/23 P (4. September 2025). Daten gelten nur dann als anonym, wenn sie sich nicht auf eine identifizierte oder identifizierbare Person beziehen — geprüft an drei Kriterien: keine Einzelperson lässt sich herausfiltern (Isolierung), keine Datensätze lassen sich verknüpfen, und es lassen sich keine Rückschlüsse ziehen (Inferenz). Erst wenn alle drei Hürden genommen sind, sind Daten sicher anonym und fallen aus dem DSGVO-Regime.

Beide Entwürfe stehen bis zum 30. Oktober 2026 zur öffentlichen Konsultation. Endgültig verabschiedet wurden dagegen die Blockchain-Leitlinien, die Organisationen bei der DSGVO-Konformität dezentraler Systeme helfen sollen.

Für die KI-Branche ist vor allem der Scraping-Entwurf einschlägig: Er beschreibt keine neuen Verbote, verdichtet aber die bestehenden Pflichten zu einer Prüfschablone, an der sich Modellbetreiber künftig messen lassen müssen — und macht das wahllose Abgrasen des offenen Webs rechtlich anspruchsvoller.