DSGVO-konformes Web Scraping in Deutschland: Was ist erlaubt?

Web Scraping hat einen schlechten Ruf. Viele Unternehmen denken, dass das Extrahieren von Daten aus dem Internet automatisch rechtswidrig ist. Die Realität ist differenzierter. Besonders beim DSGVO-konformen Web Scraping von öffentlich zugänglichen Firmendaten gibt es legale Wege – wenn man die rechtlichen Grenzen kennt.

Dieser Artikel räumt mit Mythen auf und zeigt, welche Daten Sie rechtssicher sammeln dürfen. Am Ende sehen Sie ein praktisches Code-Beispiel, wie automatisierte Datenextraktion richtig funktioniert.

Öffentliche Daten vs. personenbezogene Daten: Der entscheidende Unterschied

Das Missverständnis beginnt hier: Viele denken, dass Daten, die im Internet stehen, automatisch frei nutzbar sind. Das stimmt nicht. Die DSGVO unterscheidet zwischen zwei Kategorien:

• Öffentlich zugängliche Daten: Informationen, die jedermann einsehen kann (z.B. Firmennamen in Handelsregistern, Adressen auf Websites)
• Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierbare Person beziehen (z.B. Vor- und Nachname eines Geschäftsführers, private E-Mail-Adressen)

Der kritische Punkt: Selbst öffentliche Daten können personenbezogene Daten sein. Der Geschäftsführername im Impressum ist öffentlich – aber es ist trotzdem personenbezogen. Das macht DSGVO-konformes Web Scraping komplex, aber nicht unmöglich.

Die Lösung liegt in der rechtlichen Grundlage. Wenn Sie Daten rechtmäßig verarbeiten, brauchen Sie eine der sechs Rechtsgrundlagen aus Art. 6 DSGVO. Für Firmendaten aus öffentlichen Quellen ist meist berechtigtes Interesse (Art. 6 Abs. 1 f) DSGVO) die passende Grundlage.

Das Gesetz auf Ihrer Seite: §5 TMG und Impressum-Daten

Deutschland hat hier einen großen Vorteil: Das Telemediengesetz (TMG) §5 verpflichtet Webseitenbetreiber zur Veröffentlichung bestimmter Informationen. Das Impressum muss enthalten:

• Name und Anschrift des Unternehmens
• Kontaktmöglichkeiten (E-Mail, Telefon)
• Geschäftsführer oder Inhaber (Name, Titel)
• Handelsregister oder Vereinsregister-Einträge
• USt-Identifikationsnummer

Diese Daten müssen per Gesetz veröffentlicht sein. Das schafft die Basis für DSGVO-konformes Web Scraping: Wenn Unternehmen gesetzlich verpflichtet sind, diese Daten zu veröffentlichen, liegt ein klares berechtigtes Interesse vor, diese zu erfassen und zu strukturieren.

Das gilt besonders für geschäftliche Zwecke wie Kundenakquisition, Marktforschung oder Compliance-Überprüfungen. Der Webseitenbetreiber hat sich bewusst für eine öffentliche Veröffentlichung entschieden – ein Abweichen von dieser Entscheidung ist nicht möglich, weil es Pflicht ist.

Berechtigtes Interesse nach Art. 6 DSGVO: Die praktische Grundlage

Art. 6 Abs. 1 f DSGVO erlaubt Datenverarbeitung, wenn berechtigte Interessen des Verantwortlichen überwiegen. Das ist nicht unbegrenzt – es braucht eine Interessensabwägung.

Für Firmendaten-Scraping sprechen mehrere Faktoren für ein berechtigtes Interesse:

Wichtig: Das berechtigte Interesse ist schwächer, wenn Sie Daten an Dritte verkaufen oder für zweckfremde Nutzung verwenden. Dann kann die Abwägung kippen.

Praktische Grenzen beim Web Scraping

Nicht alles, was rechtlich möglich ist, ist auch praktisch sinnvoll. Beim DSGVO-konformen Web Scraping sollten Sie folgende Grenzen beachten:

1. Server-Last vermeiden: Scraping sollte die Zielwebsite nicht überlasten. Rate-Limiting und Delays sind Standard.
2. Keine persönlichen Daten von Privatpersonen: Der Name eines Geschäftsführers ist geschäftlich relevant. Die Namen von Mitarbeitern aus einer Mitarbeiterliste nicht – das wäre Übergriff.
3. Transparenz gewährleisten: Sie sollten in Ihrer Datenschutzerklärung dokumentieren, welche Daten Sie woher sammeln und zu welchem Zweck.
4. Zu Unrecht veröffentlichte Daten respektieren: Wenn jemand verständlicher Weise private Daten ins öffentliche Impressum gepackt hat, sollten Sie das nicht automatisch erfassen.
5. 30-Tage-Caching nutzen: Regelmäßiges Abfragen derselben Website braucht ein Cache-System, um nicht jedes Mal neu zu scrapen.

Code-Beispiel: DSGVO-konformes Firmendaten-Scraping

So sieht praktisches, rechtlich sauberes Scraping aus. Mit der DACH Enrichment API brauchen Sie keine eigenen Parser zu bauen:

#!/usr/bin/env python3
import requests
import json

# DACH Enrichment API aufruf
api_endpoint = "https://api.dach-enrichment.de/api/enrich"
api_key = "YOUR_API_KEY"  # Aus dem Dashboard

# Website die Sie extrahieren möchten
domain = "example-company.de"

payload = {
    "domain": domain,
    "cache": True  # 30-Tage-Cache nutzen (DSGVO-konform)
}

headers = {
    "Authorization": f"Bearer {api_key}",
    "Content-Type": "application/json"
}

response = requests.post(api_endpoint, json=payload, headers=headers)

if response.status_code == 200:
    data = response.json()
    print(json.dumps(data, indent=2, ensure_ascii=False))
    
    # Beispiel-Output:
    # {
    #   "company_name": "Beispiel GmbH",
    #   "email": "info@example-company.de",
    #   "phone": "+49 123 456789",
    #   "managing_director": "Max Mustermann",
    #   "legal_form": "GmbH",
    #   "registration_number": "HRB 123456",
    #   "vat_id": "DE123456789",
    #   "address": "Musterstraße 1, 10115 Berlin",
    #   "cached": True,
    #   "cache_age_days": 5
    # }
else:
    print(f"Fehler: {response.status_code}")
    print(response.text)

Dieses Vorgehen ist DSGVO-konform, weil:

• Die API nur Daten aus öffentlichen Impressum-Seiten extrahiert
• Das 30-Tage-Caching verhindert wiederholtes Scr