Web Scraping ist in Deutschland nicht grundsätzlich verboten. Ob ein konkretes Projekt zulässig ist, hängt davon ab, welche Daten Sie auslesen, wie Sie technisch vorgehen und was Sie mit den Daten anschließend tun. Dieser Ratgeber ordnet DSGVO, Urheber- und Datenbankrecht, Nutzungsbedingungen und UWG für den B2B-Vertrieb ein und endet mit einer Checkliste; er ersetzt keine Rechtsberatung im Einzelfall.
Was Web Scraping ist
Beim Web Scraping liest ein Programm Inhalte von Websites automatisiert aus und speichert sie strukturiert, etwa als Tabelle. Davon zu unterscheiden ist das Crawling, bei dem ein Programm Seiten vor allem findet und indexiert, sowie der Abruf über eine offizielle API, bei dem der Anbieter die Daten bewusst bereitstellt und die Bedingungen festlegt. Im Vertrieb geht es meist um Firmenlisten, Kontaktseiten, Branchenverzeichnisse, Stellenanzeigen oder Kartendienste. Werkzeuge wie Apify machen das ohne Programmierung möglich, die rechtliche Verantwortung bleibt jedoch beim Anwender.
Die vier rechtlichen Prüfebenen
Eine pauschale Antwort auf die Frage nach der Zulässigkeit gibt es nicht. Sinnvoller ist eine Prüfung in vier Ebenen:
| Ebene | Rechtsgrundlage | Kernfrage | Typisches Risiko |
|---|---|---|---|
| Datenschutz | DSGVO | Enthalten die Daten einen Personenbezug? | Maßnahmen und Bußgelder der Aufsichtsbehörden, Ansprüche Betroffener |
| Urheber- und Datenbankrecht | UrhG, insbesondere §§ 44b, 87a und 87b | Werden geschützte Werke oder wesentliche Teile einer Datenbank übernommen? | Unterlassung, Schadensersatz |
| Vertrag und Technik | Nutzungsbedingungen, technische Schutzmaßnahmen | Haben Sie zugestimmt, umgehen Sie Sperren? | Kontosperre, vertragliche Ansprüche, im Extremfall Strafrecht |
| Wettbewerb | UWG | Wie werden die Daten genutzt, etwa für Werbung? | Abmahnung durch Mitbewerber oder Verbände |
Ein Projekt kann auf einer Ebene unproblematisch und auf einer anderen unzulässig sein. Eine Liste mit Firmennamen und zentralen Telefonnummern ist datenschutzrechtlich meist harmlos, kann aber trotzdem gegen Nutzungsbedingungen verstoßen oder später für unzulässige E-Mail-Werbung missbraucht werden.
Datenschutz – wann die DSGVO greift
Personenbezogene Daten erkennen
Die DSGVO schützt Informationen über identifizierte oder identifizierbare natürliche Personen. Im B2B betrifft das mehr Daten, als viele annehmen:
- Namen von Geschäftsführern, Ansprechpartnern und Mitarbeitern
- Personalisierte E-Mail-Adressen nach dem Muster vorname.nachname@firma.de
- Durchwahlen und Mobilnummern
- Firmennamen von Einzelunternehmen und Freiberuflern, die den Personennamen enthalten
- Profile in sozialen Netzwerken sowie Namen von Rezensenten
Keine personenbezogenen Daten sind dagegen Name, Anschrift und zentrale Kontaktdaten einer juristischen Person wie einer GmbH, solange sie keiner Person zugeordnet werden können. Mehr zu den Grundlagen erklärt das Glossar DSGVO im B2B-Marketing.
Rechtsgrundlage berechtigtes Interesse
Für gescrapte Kontaktdaten kommt praktisch nur das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Direktwerbung kann laut Erwägungsgrund 47 der DSGVO ein berechtigtes Interesse sein. Entscheidend ist eine Abwägung, die Sie dokumentieren sollten:
- Interesse: Welches konkrete geschäftliche Ziel verfolgen Sie?
- Erforderlichkeit: Brauchen Sie genau diese Daten, oder genügt weniger?
- Abwägung: Muss die betroffene Person mit dieser Verarbeitung rechnen? Geschäftliche Kontaktdaten in beruflichem Kontext wiegen leichter als private Angaben.
Hinzu kommen die Grundsätze aus Art. 5 DSGVO, insbesondere Datenminimierung und Speicherbegrenzung. Legen Sie fest, wann ungenutzte Datensätze gelöscht werden.
Informationspflicht nach Art. 14
Wer Daten nicht bei der betroffenen Person selbst erhebt, muss sie nach Art. 14 DSGVO informieren. Die Information muss innerhalb einer angemessenen Frist erfolgen, spätestens nach einem Monat, und spätestens bei der ersten Kontaktaufnahme. Sie umfasst unter anderem Zweck, Rechtsgrundlage, Kategorien der Daten und die Quelle. Die Ausnahmen in Art. 14 Abs. 5 DSGVO sind eng. Widerspricht eine Person der Verarbeitung für Direktwerbung nach Art. 21 DSGVO, müssen Sie das ohne weitere Abwägung beachten.
Urheberrecht und Datenbankschutz
Einzelne Daten und geschützte Datenbanken
Reine Fakten wie Firmenname, Adresse oder Telefonnummer sind nicht urheberrechtlich geschützt. Texte, Fotos, Grafiken oder ausführliche Beschreibungen können es sehr wohl sein. Für Scraping besonders relevant ist der Schutz des Datenbankherstellers. Eine Datenbank im Sinne von § 87a UrhG liegt vor, wenn ihre Beschaffung, Überprüfung oder Darstellung eine wesentliche Investition erfordert hat, etwa bei Branchenverzeichnissen oder Bewertungsportalen.
Nach § 87b UrhG darf nur der Hersteller die Datenbank insgesamt oder einen nach Art oder Umfang wesentlichen Teil vervielfältigen. Gleichgestellt ist die wiederholte und systematische Entnahme unwesentlicher Teile, wenn sie der normalen Auswertung der Datenbank zuwiderläuft oder die berechtigten Interessen des Herstellers unzumutbar beeinträchtigt. Wer also ein Verzeichnis Stück für Stück vollständig nachbaut, bewegt sich auf dünnem Eis.
Text und Data Mining nach § 44b UrhG
§ 44b UrhG erlaubt Vervielfältigungen rechtmäßig zugänglicher Werke für das Text und Data Mining, also die automatisierte Analyse, um Muster, Trends und Korrelationen zu gewinnen. Die Kopien sind zu löschen, sobald sie nicht mehr erforderlich sind. Die Erlaubnis entfällt, wenn der Rechtsinhaber sich die Nutzung vorbehalten hat. Bei online zugänglichen Werken ist ein solcher Vorbehalt nur wirksam, wenn er maschinenlesbar erfolgt, etwa über die robots.txt oder entsprechende Metadaten. Ob ein Vorbehalt in natürlicher Sprache in den Nutzungsbedingungen genügt, ist noch nicht abschließend geklärt. Wichtig für den Vertrieb: Die Schranke deckt die Analyse, nicht automatisch jede spätere Verwendung der gewonnenen Inhalte.
Nutzungsbedingungen und technische Schutzmaßnahmen
Viele Websites verbieten automatisiertes Auslesen in ihren Nutzungsbedingungen. Haben Sie diesen Bedingungen zugestimmt, etwa bei einer Registrierung oder einem Login, sind sie vertraglich bindend. Ein Verstoß kann zur Sperrung des Kontos und zu Schadensersatz- oder Unterlassungsansprüchen führen. Bei frei zugänglichen Seiten ohne aktive Zustimmung ist die Bindungswirkung umstritten. Der EuGH hat allerdings entschieden, dass Betreiber einer Datenbank, die nicht unter den Datenbankschutz fällt, deren Nutzung vertraglich beschränken können.
Deutlich riskanter wird es, wenn Sie technische Hürden überwinden: Logins mit fremden Zugangsdaten, das Umgehen von CAPTCHAs, IP-Sperren oder Zugriffsbeschränkungen. Das kann eine gezielte Behinderung im Sinne des § 4 UWG darstellen und bei geschützten Zugängen strafrechtlich relevant werden. Die robots.txt ist kein Gesetz, aber ein klares Signal des Betreibers und für den Nutzungsvorbehalt nach § 44b UrhG von Bedeutung. Halten Sie sich daran, begrenzen Sie die Abfragefrequenz und belasten Sie fremde Server nicht.
UWG – die Nutzung entscheidet
Im Vertrieb liegt das größte Risiko selten im Scraping selbst, sondern in der anschließenden Ansprache. § 7 UWG regelt unzumutbare Belästigungen:
- E-Mail-Werbung erfordert eine vorherige ausdrückliche Einwilligung des Adressaten, und zwar auch gegenüber Unternehmen. Für Newsletter hat sich als Nachweis das Double Opt-in etabliert.
- Werbeanrufe bei Unternehmen sind mit zumindest mutmaßlicher Einwilligung zulässig. Dafür braucht es konkrete Anhaltspunkte für ein Interesse am Angebot.
- Briefwerbung ist grundsätzlich zulässig, solange kein Widerspruch vorliegt.
Eine Ausnahme für E-Mails an Bestandskunden regelt § 7 Abs. 3 UWG unter engen Voraussetzungen. Für gescrapte Neukontakte greift sie nicht. Wie Sie gefundene Kontaktdaten rechtssicher nutzen, beschreibt der Ratgeber E-Mail-Adressen finden.
Was die Rechtsprechung bisher zeigt
Eine einheitliche Linie zu Web Scraping gibt es nicht, wohl aber einige Grundsätze aus Entscheidungen deutscher und europäischer Gerichte:
- Der Bundesgerichtshof hat das automatisierte Auslesen von Flugdaten durch ein Vermittlungsportal nicht als unlautere Behinderung gewertet, solange keine technischen Schutzmaßnahmen umgangen wurden.
- Der EuGH hat beim Datenbankschutz darauf abgestellt, ob die Entnahme die Investition des Datenbankherstellers gefährdet, etwa wenn eine Meta-Suchmaschine Inhalte fremder Jobportale systematisch übernimmt.
- Europäische Datenschutzbehörden haben wiederholt Bußgelder gegen Unternehmen verhängt, die massenhaft personenbezogene Daten aus dem Netz gesammelt haben.
Für die Praxis folgt daraus: Öffentlich zugänglich heißt nicht frei verwendbar. Je mehr Personenbezug, je größer der übernommene Anteil einer Datenbank und je aggressiver die Technik, desto höher das Risiko.
Drei typische Szenarien aus dem Vertrieb
Firmenliste aus einem Kartendienst. Sie sammeln Name, Kategorie, Adresse, zentrale Telefonnummer und Website von Betrieben einer Region. Datenschutzrechtlich ist das überwiegend unkritisch, solange keine Einzelunternehmer mit Personennamen oder Namen von Rezensenten enthalten sind. Zu prüfen bleiben die Nutzungsbedingungen des Dienstes und vor allem die spätere Ansprache. Werbe-E-Mails an diese Firmen scheiden ohne Einwilligung aus.
Impressumsdaten mit Geschäftsführernamen. Sie ergänzen eine Firmenliste um Vertretungsberechtigte aus dem Impressum. Diese Angaben sind gesetzlich vorgeschrieben und öffentlich, bleiben aber personenbezogene Daten. Sie brauchen eine dokumentierte Interessenabwägung, müssen die Personen nach Art. 14 DSGVO informieren und dürfen die Daten nur für vereinbare Zwecke nutzen. Ein Anruf mit mutmaßlicher Einwilligung oder ein Brief ist möglich, eine Werbe-E-Mail nicht.
Profile aus sozialen Netzwerken. Sie lesen Namen, Positionen und Werdegänge von Ansprechpartnern automatisiert aus. Hier kommen Personenbezug, Plattformbedingungen, technische Schutzmaßnahmen und häufig ein Login zusammen. Das ist das risikoreichste der drei Szenarien. Nutzen Sie stattdessen die offiziellen Such- und Kontaktfunktionen der Plattform.
Checkliste für rechtssicheres Scraping im B2B
- Zweck festlegen: Wofür genau brauchen Sie die Daten?
- Datenkategorien prüfen: Firmendaten oder personenbezogene Daten?
- Datenminimierung: Nur die Felder erheben, die Sie wirklich nutzen.
- Interessenabwägung dokumentieren, sofern Personenbezug besteht.
- Informationspflicht nach Art. 14 DSGVO einplanen, spätestens beim Erstkontakt.
- Löschfristen für ungenutzte Datensätze festlegen.
- Nutzungsbedingungen und robots.txt der Quelle prüfen.
- Keine technischen Sperren umgehen und die Abfragefrequenz begrenzen.
- Keine wesentlichen Teile geschützter Datenbanken übernehmen.
- Kanäle nach UWG wählen: keine Werbe-E-Mails ohne Einwilligung, Anrufe nur mit mutmaßlicher Einwilligung.
Wie diese Punkte in einem konkreten Projekt aussehen, zeigt die Anleitung zum Google Maps Scraper.
Fazit
Web Scraping ist ein legitimes Werkzeug für die Leadgenerierung, solange Sie die vier Prüfebenen ernst nehmen. Firmendaten aus offenen Quellen sind meist unproblematisch, personenbezogene Daten erfordern eine saubere DSGVO-Grundlage, und geschützte Datenbanken dürfen Sie nicht im Wesentlichen kopieren. Die wichtigste Grenze zieht im Vertrieb jedoch das UWG: Gescrapte E-Mail-Adressen sind keine Einwilligung. Wer das berücksichtigt, kann Scraping als Baustein einer sauberen B2B-Leadgenerierung einsetzen. Dieser Ratgeber ersetzt keine Rechtsberatung; bei größeren Projekten lohnt sich die Prüfung durch eine Fachanwältin oder einen Fachanwalt.
Häufige Fragen
Ist Web Scraping in Deutschland legal?
Web Scraping ist in Deutschland nicht grundsätzlich verboten. Ob ein konkretes Projekt zulässig ist, hängt von der Art der Daten, der Quelle, der technischen Vorgehensweise und der späteren Nutzung ab. Reine Firmendaten sind meist unkritischer als personenbezogene Daten, und technische Schutzmaßnahmen sollten Sie nie umgehen.
Darf ich personenbezogene Daten scrapen?
Nur mit einer Rechtsgrundlage nach der DSGVO, im B2B meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f nach dokumentierter Interessenabwägung. Sie müssen sich auf notwendige Daten beschränken, die Betroffenen nach Art. 14 DSGVO informieren und Widersprüche beachten. Besondere Kategorien wie Gesundheitsdaten sind tabu.
Was bedeutet § 44b UrhG für Scraping?
Die Vorschrift erlaubt Vervielfältigungen rechtmäßig zugänglicher Werke für automatisierte Analysen, das sogenannte Text und Data Mining. Das gilt nicht, wenn der Rechtsinhaber sich die Nutzung in maschinenlesbarer Form vorbehalten hat. Die Kopien sind zu löschen, sobald sie für die Analyse nicht mehr erforderlich sind.
Sind Scraping-Verbote in den Nutzungsbedingungen verbindlich?
Wenn Sie den Bedingungen zugestimmt haben, etwa bei einer Registrierung, sind sie vertraglich bindend. Bei frei zugänglichen Seiten ohne Zustimmung ist die Wirkung umstritten. Ein Verstoß kann zur Sperrung des Kontos und zu Ansprüchen führen, das Umgehen technischer Sperren erhöht das rechtliche Risiko deutlich.
Darf ich gescrapte E-Mail-Adressen für Werbung nutzen?
Nein, nicht ohne vorherige ausdrückliche Einwilligung des Empfängers. Das schreibt § 7 Abs. 2 Nr. 2 UWG auch für Unternehmen als Empfänger vor. Dass eine Adresse öffentlich im Netz steht, ersetzt keine Einwilligung.
