Web Scraping heißt, öffentlich zugängliche Daten aus Webseiten auszulesen, zu speichern und zu Datensätzen zusammenzustellen. Das ist in der Regel zulässig — aber es gibt Grenzen, und die verlaufen nicht dort, wo viele sie vermuten.
Was Web Scraping ist
Eine Webseite kommt als HTML. Beim Scraping liest ein Programm dieses HTML, holt die gewünschten Felder heraus und legt sie in einem verwertbaren Format ab — als JSON, CSV oder in einer Datenbank. Mehr passiert technisch nicht; die rechtliche Frage betrifft nicht das Auslesen, sondern die Daten selbst und ihre spätere Verwendung.
Die entscheidende Trennlinie
Öffentlich zugängliche Daten zu erheben, ist grundsätzlich zulässig. Vier Dinge ändern das:
- Daten hinter einer Anmeldung. Was erst nach dem Login sichtbar wird, ist nicht öffentlich — unabhängig davon, wie leicht sich ein Konto anlegen lässt.
- Personenbezogene Daten. Sie unterliegen eigenen Regeln, dazu unten mehr.
- Urheberrechtlich geschützte Inhalte. Texte, Bilder, Logos und redaktionelle Beiträge dürfen nicht ohne Weiteres übernommen und weiterverbreitet werden.
- Die Nutzungsbedingungen der Seite. Viele große Portale und Marktplätze untersagen automatisierte Abrufe ausdrücklich. Ein Blick in die Bedingungen und in die
robots.txtgehört deshalb an den Anfang jedes Vorhabens, nicht ans Ende.
Der Punkt lässt sich so zusammenfassen: Dass das Erheben zulässig ist, sagt noch nichts darüber, was Sie mit den Daten anschließend tun dürfen.
Die Lage in einzelnen Rechtsordnungen
USA
US-Gerichte haben wiederholt entschieden, dass öffentlich zugängliche Daten frei erhoben werden dürfen. Die Grenzen ziehen der Computer Fraud and Abuse Act (CFAA), das Urheberrecht und Datenschutzgesetze wie der California Consumer Privacy Act (CCPA). Was hinter einer Anmeldung liegt, fällt nicht unter „öffentlich“.
Europäische Union
Ähnlich: Öffentlich zugängliche Daten dürfen erhoben werden, solange dabei weder die Datenschutz-Grundverordnung (DSGVO) noch die Datenbank-Richtlinie oder die Richtlinie über das Urheberrecht im digitalen Binnenmarkt verletzt werden.
Vereinigtes Königreich
Auch hier gilt der Grundsatz. Zu beachten sind der Data Protection Act, der Copyright, Designs and Patents Act und der Computer Misuse Act — und damit wieder: keine Daten hinter einer Anmeldung, keine personenbezogenen Daten ohne Grundlage, kein geschütztes Material.
Türkiye
Ein eigenes Scraping-Gesetz gibt es nicht; der Grundsatz entspricht dem in der EU, den USA und Großbritannien. Zwei Dinge sind dort besonders wichtig: Die Nutzungsbedingungen der Zielseite sind bindend — mehrere große türkische Portale untersagen automatisierte Abrufe ausdrücklich — und die Last, die Sie erzeugen, kann eigenständig zum Problem werden. Wer eine Seite mit so vielen Anfragen belegt, dass ihr Betrieb leidet, bewegt sich unabhängig von den Daten im strafrechtlich relevanten Bereich.
Personenbezogene Daten
Lange hat sich kaum jemand um personenbezogene Daten geschert. Heute gilt in der EU, in Kalifornien und in vielen weiteren Rechtsordnungen das Gegenteil. Wenn Sie solche Daten erheben, kommen Sie an DSGVO und CCPA nicht vorbei.
Die DSGVO definiert personenbezogene Daten als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Die Definition ist bewusst weit. Einige Beispiele:
- Angaben zur Person: Vor- und Nachname, Geburtsdatum, Anschrift, Ausweis- und Sozialversicherungsnummern, Angaben zum Arbeitsverhältnis
- Kontaktdaten: Telefonnummer, E-Mail-Adresse, IP-Adresse, Konten in sozialen Netzen
- Von Anwendungen erhobene Daten: Standort über Adresse oder GPS, Kaufverhalten, Verhaltensdaten
- Aufnahmen und biometrische Daten
- Besondere Kategorien: Geschlecht und sexuelle Orientierung, ethnische Herkunft, religiöse Überzeugungen, politische Meinungen, Gesundheitsdaten
Praktisch jede Angabe, die sich einer bestimmten Person zuordnen lässt, fällt darunter. Im Zweifel gehen Sie von personenbezogenen Daten aus.
Was die Gerichte entschieden haben
Große Plattformen sind wiederholt gegen Scraping-Dienste vorgegangen. Ein vielbeachteter Fall: Meta verklagte Bright Data, weil das Unternehmen Daten von Facebook und Instagram erhoben habe — und unterlag.
Das Gericht befand, Meta habe nicht belegen können, dass nicht-öffentliche Daten erhoben wurden, also solche hinter einer Anmeldung oder einem Passwort. Für das Erheben öffentlich sichtbarer Nutzerdaten sah es weder einen unbefugten Zugriff noch einen Verstoß gegen die Nutzungsbedingungen als hinreichend dargelegt an.
Die Linie ist damit ziemlich klar: Öffentlich sichtbare Daten zu erheben, wird von US-Gerichten getragen. Konten anzulegen, um an Inhalte zu kommen, die nur angemeldeten Nutzern gezeigt werden, wird es nicht.
Fazit
Ist Web Scraping legal? In aller Regel ja — mit den oben genannten Grenzen. Halten Sie sich an drei Dinge, und die meisten Probleme entstehen gar nicht erst:
- Bleiben Sie bei dem, was ohne Anmeldung sichtbar ist.
- Lesen Sie die Nutzungsbedingungen und die
robots.txt, bevor Sie anfangen. - Belasten Sie die Zielseite nicht über Gebühr — verteilen Sie die Anfragen und halten Sie das Tempo niedrig.
Zum dritten Punkt gehört die Technik dahinter: Über einen Proxy verteilen sich die Anfragen auf mehrere Adressen, statt eine Seite von einer einzigen IP aus zu überlasten. Das ist nicht nur eine Frage der Erfolgsquote, sondern auch der Rücksicht auf den Betrieb der Gegenseite.
