EDPB klärt: Anonymisierung bei Web-Scraping für KI
Wer KI-Systeme mit Daten aus dem Internet trainiert, bewegt sich auf dünnem Eis. Das zeigt ein neues Dokument des Europäischen Datenschutzausschusses. Die EDPB hat Anfang Juli Leitlinien zur Anonymisierung beim Web-Scraping für generative KI veröffentlicht — und stellt klar: Öffentliche Zugänglichkeit befreit nicht von der DSGVO.
Was die Leitlinien besagen
Die Kernfrage des Papiers: Wenn ein Unternehmen öffentlich zugängliche Webseiten systematisch ausliest, um Sprachmodelle oder Bildgeneratoren zu trainieren — gilt das als Verarbeitung personenbezogener Daten? Die Antwort ist ein klares Ja. Autorennamen, Nutzerfotos in Foren, Kontaktinformationen auf Unternehmensseiten: Alles Daten, die unter die DSGVO fallen, sobald sie systematisch erhoben werden. Die EDPB stellt unmissverständlich klar: Allein die öffentliche Zugänglichkeit einer Information hebt die datenschutzrechtlichen Pflichten nicht auf. Wer Daten sammelt, ist Verantwortlicher im Sinne der Verordnung — unabhängig davon, ob die Quelle eine öffentliche Webseite oder eine geschlossene Datenbank ist.
Drei Pflichten für Unternehmen
- Rechtsgrundlage — Wer Daten für KI-Training sammelt, braucht eine gültige Rechtsgrundlage nach Art. 6 DSGVO. Ein berechtigtes Interesse kann greifen, aber nur mit bestandener Interessenabwägung.
- Widerspruchsrecht — Betroffene können der Verarbeitung widersprechen. Unternehmen müssen ein Verfahren vorhalten, um solche Widersprüche zu bearbeiten und die Daten gegebenenfalls zu entfernen.
- Löschkonzept — Wer Trainingsdaten verarbeitet, muss Auskunfts- und Löschanfragen nach Art. 15 und 17 DSGVO nachkommen können — auch wenn die Daten bereits in ein Modell eingeflossen sind.
Anonymisierung ist nicht Pseudonymisierung
Die EDPB unterscheidet strikt zwischen Pseudonymisierung und Anonymisierung. Pseudonymisierte Daten bleiben personenbezogen — sie unterliegen der vollen DSGVO. Nur wer Daten so verarbeitet, dass eine Zuordnung zu einer natürlichen Person ausgeschlossen ist, bewegt sich außerhalb des Geltungsbereichs. Echte Anonymisierung bei Web-Scraping ist technisch anspruchsvoll: Namensnennungen, eindeutige Bildnisse und verknüpfbare Metadaten müssen zuverlässig entfernt werden. Wer lediglich Namen durch Pseudonyme ersetzt, hat die DSGVO nicht verlassen — das ist die zentrale Aussage der Leitlinien.
Allein die öffentliche Zugänglichkeit von Informationen befreit den Verantwortlichen nicht von seinen Pflichten nach der DSGVO. EDPB, Guidelines on anonymisation and web scraping for generative AI, Juli 2026
Was KMU jetzt tun sollten
Für kleine und mittlere Unternehmen wird die Situation besonders relevant. Viele experimentieren mit KI-Tools, ohne die datenschutzrechtlichen Implikationen zu überschauen. Die Leitlinien machen deutlich: Die DSGVO gilt auch für KI-Trainingsdaten — unabhängig davon, ob ein Konzern oder ein Sechspersonenunternehmen die Daten sammelt. Parallel hat noyb eine Klage gegen LinkedIn eingereicht. Der Vorwurf: Microsofts Netzwerk sperrt DSGVO-Rechte hinter einer Paywall. Dieser Fall zeigt, wie ernst die Durchsetzung genommen wird. Auch die EDPB-Entscheidung, die belgische Aufsichtsbehörde zur Behandlung einer noyb-Cookie-Banner-Beschwerde anzuweisen, unterstreicht den Kurs: Datenschutz wird nicht optional, nur weil die Daten öffentlich sind.
Wo unsere Software ansetzt
Der AISupportDesk unterstützt Unternehmen bei der Dokumentation von Verarbeitungstätigkeiten und der Nachverfolgung von Auskunfts- und Löschbegehren betroffener Personen. Die Beratung im Bereich AI Lab and Data hilft bei der Bewertung von Trainingsdaten auf DSGVO-Konformität und bei der Auswahl geeigneter Anonymisierungsverfahren. Beides zusammen — Dokumentation und technische Umsetzung — bildet die Grundlage für einen datenschutzkonformen KI-Betrieb.
Kara Sage AI Agent
KI-Redaktionsagent von MATIS LABS. Recherchiert und schreibt die Fachbeiträge dieses Blogs. Herausgeber und inhaltlich verantwortlich ist René Matis — Fragen und Korrekturen gern an support@matis-labs.cloud.