Wann ist Web Scraping legal? Vier Fragen, vier getrennte Antworten

Ist Web Scraping legal?

Kein einzelnes Gesetz macht Web Scraping legal oder illegal, deshalb zerfällt die Frage in vier, die getrennte Rechtsgebiete unabhängig voneinander beantworten: Computerzugriffsrecht, Vertragsrecht, Urheberrecht und Datenbankrechte sowie Datenschutzrecht, wenn die Datensätze eine Person beschreiben. Jedes hat seinen eigenen Auslöser und seine eigene Rechtsfolge, deshalb übersteht ein Scrape die erste Frage und verliert die zweite. Beantworten Sie alle vier für Ihr Ziel, bevor Sie den Client schreiben.

Diese Seite beschreibt Entscheidungen namentlich genannter Gerichte und Aufsichtsbehörden, mit Datum. Sie ist keine Rechtsberatung.

Zuletzt geprüft: 8. September 2026

Was hat hiQ Labs v. LinkedIn zur CFAA entschieden?

Der Ninth Circuit bestätigte eine einstweilige Verfügung, die LinkedIn untersagte, hiQs Scraper zu blockieren, weil hiQ ernsthafte Zweifel daran aufgeworfen hatte, ob LinkedIn sich überhaupt auf die CFAA berufen kann. Die Entscheidung ist hiQ Labs, Inc. v. LinkedIn Corp., No. 17-16783, verfasst von Judge Berzon, eingereicht am 18. April 2022 nach Zurückverweisung durch den Supreme Court. Der Spruchkörper argumentierte, die Klausel "without authorization" (ohne Berechtigung) der CFAA erfasse womöglich keine Website, die von Besuchern keine Berechtigung verlangt und dann einen einzelnen Bot per Schreiben abweist.

Prüfen Sie die Verfahrenslage, bevor Sie die Entscheidung zitieren. Eine auf der sliding scale bestätigte einstweilige Verfügung fragt nur, ob die klagende Partei ernsthafte Zweifel aufgeworfen hat, während die Abwägung der Nachteile deutlich zu ihren Gunsten ausfiel, und entscheidet nichts in der Sache.

Was hat Van Buren an "exceeds authorized access" geändert?

Der Supreme Court entschied, dass eine Person "exceeds authorized access" (überschreitet den zulässigen Zugriff) nach der CFAA nur dann, wenn sie Informationen aus Bereichen eines Computers entnimmt, die ihr verschlossen sind, nicht aber Informationen, die sie erreichen durfte und zu einem verbotenen Zweck nutzte. Van Buren v. United States, No. 19-783 wurde am 3. Juni 2021 mit sechs zu drei Stimmen entschieden, das Votum verfasste Justice Barrett. Das Gericht fasste beide CFAA-Klauseln als "gates-up-or-down inquiry" (Prüfung, ob das Tor oben oder unten ist) und verwarf die Lesart der Regierung, weil sie "a breathtaking amount of commonplace computer activity." (eine atemberaubende Menge alltäglicher Computernutzung) mit Strafe bedrohen würde.

Ein Unterschied begrenzt, wie weit Van Buren einem Scraper hilft: Die Entscheidung legte "exceeds authorized access" in 18 U.S.C. 1030(e)(6) aus, was einen Nutzer erfasst, der mit Zugangsdaten bereits drinnen ist. Das Scrapen einer ausgeloggten Seite berührt die andere Klausel, "without authorization", zu der sich Van Buren nach Aussage des hiQ-Spruchkörpers nicht unmittelbar geäußert hat.

Kann ein Scrape nach der CFAA legal sein und trotzdem gegen die Nutzungsbedingungen verstoßen?

Ja, und hiQ beweist es: Die Klägerin, die den CFAA-Punkt gewann, verlor den Vertragspunkt im selben Verfahren. Judge Edward M. Chen vom Northern District of California entschied im summary judgment im Verfahren 17-cv-03301-EMC am 27. Oktober 2022, veröffentlicht am 4. November 2022. Er stellte fest, dass "the relevant language of the User Agreement unambiguously prohibits hiQ's scraping and unauthorized use of the scraped data," (die maßgebliche Formulierung des User Agreement hiQs Scraping und die unbefugte Nutzung der gescrapten Daten eindeutig verbietet) und dass hiQ dagegen verstieß, durch das Scraping und durch Auftragnehmer, die falsche Identitäten anlegten. Er sprach LinkedIn das Urteil zu den falschen Identitäten zu und behielt den Scraping-Verstoß dem Hauptverfahren vor, weil hiQs Einwände des Verzichts und des Estoppel streitige Tatsachen aufwarfen. Ein am 8. Dezember 2022 eingereichtes consent judgment setzte $500.000 gegen hiQ fest, dazu eine dauerhafte Unterlassungsverfügung gegen automatisierte Erhebung ohne LinkedIns schriftliche Erlaubnis.

Die beiden Ansprüche kosten unterschiedlich viel in der Geltendmachung: Eine zivilrechtliche CFAA-Klage nach 18 U.S.C. 1030(g) verlangt nach (c)(4)(A)(i)(I) mindestens $5.000 Schaden binnen eines Jahres, während der Vertragsbruch keine Schwelle kennt. Das EU-Recht trennt sie ebenfalls. In Ryanair Ltd v. PR Aviation BV, Case C-30/14, entschieden am 15. Januar 2015, hielt der Court of Justice fest, dass Directive 96/9/EC es "not preclude the author of such a database from laying down contractual limitations on its use by third parties" (den Urheber einer solchen Datenbank nicht daran hindert, ihrer Nutzung durch Dritte vertragliche Beschränkungen zu setzen), wenn die Datenbank weder Urheberrechtsschutz noch das sui generis-Recht genießt.

Schützt das Urheberrecht die Daten, die Sie scrapen?

Das Urheberrecht schützt originäre Ausdrucksform und niemals die zugrunde liegenden Tatsachen, deshalb gehört ein Preis, ein Zeitstempel oder eine Stimmenzahl niemandem. Feist Publications, Inc. v. Rural Telephone Service Co., 499 U.S. 340, entschieden am 27. März 1991, Votum von Justice O'Connor, verwarf die Doktrin "sweat of the brow" (Schweiß der Stirn) und beschränkte das Urheberrecht an einer Sammlung auf deren originäre Auswahl, Koordination oder Anordnung. Der Wortlaut eines Beitrags ist ein anderes Gut als die Tatsache, dass er existiert, und er gehört dem, der ihn geschrieben hat.

Das Training eines Modells mit gescraptem Material macht aus der Vervielfältigung keinen fair use. In Thomson Reuters v. Ross Intelligence, No. 1:20-cv-613-SB überarbeitete Circuit Judge Bibas, im Auftrag in Delaware tätig, am 11. Februar 2025 seine frühere Entscheidung und gab Thomson Reuters im summary judgment zum fair use recht, es ging um Westlaw-headnotes, die zum Aufbau eines konkurrierenden Rechercheprodukts kopiert worden waren, und er hielt die Nutzung für nicht transformativ. Die EU fügt eine Ebene hinzu, die den Vereinigten Staaten fehlt: Das sui generis-Datenbankrecht schützt die wesentliche Investition in den Inhalt einer Datenbank.

Was ändert sich, wenn die Datensätze eine Person beschreiben?

Öffentliche Sichtbarkeit liefert keine Rechtsgrundlage, und die höchsten Bußgelder stehen hier. Die französische CNIL verhängte gegen Clearview AI in Beschluss SAN-2022-019 vom 17. Oktober 2022 20 Millionen Euro dafür, dass das Unternehmen aus im offenen Web gescrapten Bildern eine Gesichtsdatenbank aufbaute, und stellte Verstöße gegen Artikel 6 mangels Rechtsgrundlage sowie gegen die Artikel 12, 15 und 17 zu den Betroffenenrechten fest. Die Behörde entschied, dass öffentliche Zugänglichkeit Daten nicht davon abhält, personenbezogen zu sein, und keine pauschale Erlaubnis zu ihrer Weiterverwendung schafft.

Artikel 83(5) ordnet einen Verstoß gegen die Rechtsgrundlage der obersten Bußgeldstufe zu, wo die Obergrenze eine Formel ist:

Maximum fine = the higher of EUR 20,000,000 and 4% of total worldwide annual turnover in the preceding financial year

Ein Unternehmen mit einem Umsatz von 300 Millionen Euro kommt mit 4% auf 12 Millionen Euro, also gewinnt der feste Betrag und seine Obergrenze liegt bei 20 Millionen Euro. Ein Unternehmen mit einem Umsatz von 1,2 Milliarden Euro kommt mit 4% auf eine Obergrenze von 48 Millionen Euro. Arbeiten Sie heraus, welche Felder in Ihrem Datensatz personenbezogene Daten sind und welche anonyme Datensätze, und dokumentieren Sie dann eine Rechtsgrundlage nach Artikel 6, bevor die erste Anfrage rausgeht.

Wie prüfen Sie ein Ziel, bevor Sie es scrapen?

Lesen Sie vier Dinge: die Nutzungsbedingungen auf eine Klausel, die automatisierte Erhebung verbietet, die robots-Datei auf die Pfade, die der Betreiber gesperrt hat, die API-Dokumentation auf eine Lizenz, die Ihre Nutzung deckt, und einen Beispieldatensatz auf Felder, die eine Person identifizieren. Die Nutzungsbedingungen tragen das Risiko, an dem hiQ scheiterte, deshalb zählt ein Konto, das Ihr Unternehmen beim Ziel hält, mehr als der Aufbau des Scrapers. Beachten Sie, dass eine Disallow-Regel in der robots.txt eine Konvention ist, kein Gesetz, und dass der Weg über die dokumentierte API Sie in einen Vertrag führt, den Sie ausgehandelt haben.

Planen Sie den API-Weg zuerst ein, denn Rate Limits entscheiden, wie viele Keywords eine Client-ID abdeckt. RedReplier beobachtet Reddit, X, Bluesky, Facebook und Hacker News an einem Ort, bewertet Erwähnungen nach Kaufabsicht und stellt eine API sowie einen MCP-Server für Claude Code, Cursor und jeden Standard-MCP-Client bereit. Die Abwägung gegenüber dem Eigenbetrieb der Plattform-API steht in RedReplier neben der Reddit API.

Häufig gestellte Fragen

Ist das Scrapen öffentlich verfügbarer Daten legal?

Öffentliche Verfügbarkeit beantwortet die Frage des Computerzugriffs und keine der drei anderen. Die hiQ-Entscheidung vom 18. April 2022 machte öffentliche Sichtbarkeit zum Grund dafür, dass die CFAA-Klausel "without authorization" womöglich nicht greift; die Clearview-Entscheidung der CNIL vom 17. Oktober 2022 machte sie für die Rechtsgrundlage nach der GDPR bedeutungslos.

Hat hiQ gewonnen oder verloren?

Beides, bei verschiedenen Ansprüchen. hiQ gewann den CFAA-Punkt vor dem Ninth Circuit am 18. April 2022 und behielt seine einstweilige Verfügung, verlor dann den Vertragspunkt vor Judge Chen am 27. Oktober 2022. Am 8. Dezember 2022 folgte ein consent judgment über $500.000 gegen hiQ.

Binden Nutzungsbedingungen einen Scraper, der nie auf "I agree" geklickt hat?

Der hiQ-Beschluss kam dazu nicht, weil hiQ LinkedIns User Agreement angenommen hatte, indem es dort Konten anlegte und warb. Ein Konto oder ein Kauf beim Ziel bindet das Unternehmen auch dann, wenn der Scraper ausgeloggt läuft, prüfen Sie also, was Ihr Unternehmen bereits hält.

Gilt die GDPR für ein Unternehmen außerhalb der EU?

Artikel 3(2) erstreckt die GDPR auf einen Verantwortlichen ohne Niederlassung in der EU, der Personen in der Union Waren oder Dienstleistungen anbietet oder deren Verhalten dort beobachtet. Das Sammeln von Beiträgen identifizierbarer Personen in der EU fällt unter die Beobachtungsvariante, die Grundlage, auf der die CNIL gegen Clearview AI ein Bußgeld verhängte.

Ändert das Training eines KI-Modells mit gescrapten Inhalten die urheberrechtliche Antwort?

Nicht von sich aus. Judge Bibas gab Thomson Reuters am 11. Februar 2025 im summary judgment zum fair use recht, es ging um Westlaw-headnotes, die in ein konkurrierendes Produkt kopiert wurden. Tatsachen bleiben nach Feist ungeschützt, das Risiko sitzt also in der Ausdrucksform, die Sie wiedergeben.

Was trennt die CFAA-Frage von der Vertragsfrage?

Die CFAA fragt, ob ein Tor oben oder unten war, in Van Burens Formulierung, und ihre Zivilklage verlangt $5.000 Schaden in einem Jahr. Die Vertragsfrage kennt keine Schadensschwelle. Ein Scrape kann die erste bestehen und an der zweiten scheitern, wie hiQ es tat.

Was ist das europäische Sui-generis-Datenbankrecht?

Es schützt eine Datenbank, in deren Inhalt erheblich investiert wurde, ein Recht, das es in den USA nicht gibt. Feist begrenzt das US-Urheberrecht auf Auswahl, Koordination oder Anordnung, sodass Fakten dort ungeschützt bleiben, während die EU-Ebene die Investition selbst erfasst. Ryanair v. PR Aviation zeigt, wie sich beides überschneidet: Der EuGH ließ die vertraglichen Beschränkungen gelten, gerade weil Ryanairs Datenbank weder Urheberrecht noch das Sui-generis-Recht genoss.

Hat eine robots.txt-Datei rechtliche Wirkung?

Eine Disallow-Regel in robots.txt ist eine Konvention der Website, kein Gesetz, auf das sich ein Scraper verklagen lässt, und entfaltet für sich genommen keine rechtliche Wirkung. Gerichte prüfen stattdessen die Nutzungsbedingungen, so wie Richter Chen im hiQ-Vertragsurteil LinkedIns User Agreement geprüft hat. Die robots-Datei vor dem Scrapen zu lesen zeigt trotzdem, wo der Betreiber eine Grenze gezogen hat, auch ohne rechtliche Zähne.

Vermeidet Scraping über eine offizielle API rechtliches Risiko?

Die dokumentierte API zu nutzen verlagert die Beziehung auf einen Vertrag, den Sie ausgehandelt haben, statt auf Bedingungen, denen Sie nur durch die Nutzung der Website zustimmen. Die anderen drei Fragen berührt das nicht: Das Urheberrecht schützt weiterhin die kopierte Formulierung, und die GDPR gilt weiterhin, sobald ein Datensatz eine Person identifiziert. Den API-Weg zuerst einzuplanen zahlt sich in der Praxis aus, denn Ratenlimits bestimmen, wie viele Keywords eine Client-ID abdeckt.

Wie hoch kann eine GDPR-Geldbuße für das Scrapen personenbezogener Daten ausfallen?

Artikel 83 Absatz 5 stuft das Fehlen einer Rechtsgrundlage in die höchste Bußgeldstufe ein, mit einer Obergrenze aus dem höheren Wert von 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Ein Unternehmen mit 300 Millionen Euro Umsatz bleibt bei der Grenze von 20 Millionen Euro, weil 4 Prozent nur 12 Millionen Euro ergeben, während ein Unternehmen mit 1,2 Milliarden Euro Umsatz eine Obergrenze von 48 Millionen Euro erreicht. Frankreichs CNIL nutzte diesen Rahmen, um Clearview AI mit 20 Millionen Euro zu belegen, weil das Unternehmen Gesichtsbilder ohne Rechtsgrundlage gescrapt hatte.