Preise oder Produktdaten von einer öffentlichen Website auszulesen, ist in Frankreich in der Regel erlaubt. Das Data Scraping ändert seinen Charakter, sobald es identifizierbare Personen betrifft: Dann gilt die DSGVO (Verordnung (EU) 2016/679, seit dem 25. Mai 2018 anwendbar) auch für ein Profil, das jeder sehen kann. In ihrem Merkblatt vom 19. Juni 2025 hält die französische Datenschutzbehörde CNIL fest, dass sich dieses Auslesen (moissonnage) in der Regel auf das berechtigte Interesse (Art. 6 Abs. 1 lit. f) stützt, mit klaren Schutzmaßnahmen. Hinter einer passwortgeschützten Seite greift das Strafgesetzbuch.
Data Scraping: Definition und Funktionsweise
Ein Programm fordert eine Seite von einem Webserver an, so wie es Chrome oder Firefox täten. Es liest den gelieferten HTML-Code und isoliert die Felder, die es braucht: einen Preis, einen Namen, eine Adresse, eine Bewertung. Das Ergebnis landet in einer Tabelle oder einer Datenbank. Die Python-Bibliotheken Beautiful Soup und Scrapy erledigen das seit Jahren; bei Seiten, die mit JavaScript aufgebaut werden, steuert das Werkzeug einen Browser ohne Fenster wie Playwright oder Puppeteer. Proxys wechseln die IP-Adresse, um Anfragelimits zu umgehen.
Die Einsatzfelder reichen von der Preisbeobachtung über den Aufbau von Akquise-Dateien bis zum Training von KI-Modellen. Solche Dateien speisen oft automatisierte E-Mail-Sequenzen: Ein ohne Prüfung hinzugefügter Kontakt wird dort mehrfach angeschrieben, bevor der Fehler sichtbar wird.
Scraping, Crawling und API: drei Arten, eine Website zu lesen
Das Crawling folgt den Links einer Website, um sie zu kartieren; das ist das Geschäft von Googlebot. Das Scraping entnimmt jeder besuchten Seite bestimmte Felder. Ein Crawler kann einen Scraper speisen, und die meisten Werkzeuge vereinen beide Funktionen. Nur der Scraper liefert einen wiederverwendbaren Datensatz.
Die API funktioniert anders. Die Website stellt selbst einen Zugang bereit, mit eigenen Kontingenten und Nutzungsbedingungen: Ihr Einverständnis liegt von vornherein vor, was das Scraping nicht immer für sich beanspruchen kann.
Ist Scraping in Frankreich legal? Die Antwort hängt von den Daten ab
Ja, unter Bedingungen: Es kommt auf die Art der Daten und auf die Art der Erhebung an. Drei Fragen helfen, ein Projekt einzuordnen. Betreffen die Daten eine identifizierbare Person? Sind sie ohne Login zugänglich? Hat die Website ihre Ablehnung in den Nutzungsbedingungen oder in einer robots.txt-Datei erklärt? Jede Antwort führt in ein anderes Regime.
Nicht personenbezogene Daten: Datenbanken und Wettbewerb
Ein Preiskatalog fällt nicht unter die DSGVO. Er ist durch eine andere Vorschrift geschützt, die auf die Richtlinie 96/9/EG vom 11. März 1996 zurückgeht. Der Hersteller einer Datenbank kann die Entnahme eines wesentlichen Teils ihres Inhalts untersagen (Art. L342-1 des Code de la propriété intellectuelle, des französischen Gesetzbuchs für geistiges Eigentum; Art. L342-2 erfasst auch die wiederholte Entnahme unwesentlicher Teile). Die Cour d’appel de Paris (Berufungsgericht Paris) wandte das am 2. Februar 2021 an (Nr. 17/17688). LeBonCoin erreichte die Verurteilung von Entreparticuliers.com, das seine Immobilienanzeigen übernommen hatte, darunter 20.000 € für den Imageschaden.
Im Urheberrecht erlaubt die Ausnahme für Text und Data Mining aus der Richtlinie (EU) 2019/790 bestimmte Entnahmen. Sie greift nicht mehr, wenn der Rechteinhaber seine Rechte angemessen vorbehalten hat, bei Online-Inhalten zum Beispiel in maschinenlesbarer Form.
Personenbezogene Daten: das CNIL-Merkblatt vom Juni 2025
Öffentliche Daten bleiben personenbezogene Daten. Name und Funktion eines Angestellten fallen unter die DSGVO, auch wenn sie auf einer frei zugänglichen Seite stehen. Das am 19. Juni 2025 von der CNIL veröffentlichte Merkblatt „fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping)“ (Merkblatt zu den Maßnahmen bei der Datenerhebung durch Web Scraping) führt aus, dass sich diese Erhebung in der Regel auf das berechtigte Interesse stützt, sofern zusätzliche Maßnahmen die Betroffenen schützen. Das Auslesen ist nicht an sich verboten; die Prüfung erfolgt im Einzelfall.
Die Beispiele des Merkblatts betreffen vor allem den Aufbau von Trainingsdaten für KI. Seine Schutzmaßnahmen taugen als Maßstab für breiteres Auslesen, auch wenn sie nicht für die Akquise geschrieben wurden.
- Datenminimierung: vorab präzise Erhebungskriterien festlegen und alles Unnötige löschen, sobald man es erkennt.
- Ausschluss von Websites, die dem Auslesen widersprechen, was sie durch robots.txt oder ein CAPTCHA anzeigen.
- Ein „freies und vorheriges“ Widerspruchsrecht für die Betroffenen (französisch „discrétionnaire et préalable“).
- Möglichst breite Information über die Erhebung und die bestehenden Rechte, etwa durch Veröffentlichung der Liste der betroffenen Websites.
- Automatisches Löschen nachträglich entdeckter sensibler Daten; besondere Aufmerksamkeit für Minderjährige.
Das Merkblatt verlangt, „Websites von der Erhebung auszuschließen, die dem Auslesen ihrer Inhalte ausdrücklich widersprechen“ (eigene Übersetzung aus dem Merkblatt der CNIL): Ohne diese Vorkehrung fällt die Verarbeitung laut CNIL aus den vernünftigen Erwartungen der Betroffenen heraus.
Dazu kommt die Pflicht, Personen zu informieren, deren Daten man anderswo erhoben hat (Art. 14 DSGVO), und die Wahl eines klaren Zwecks vor der ersten Anfrage. Je nach Umfang der Datei und Art der Daten kann eine Datenschutz-Folgenabschätzung (DSFA, französisch AIPD) hinzukommen.
Seiten hinter einem Login und Nutzungsbedingungen
Ein Konto, das nur angelegt wird, um an geschlossene Profile zu gelangen, ändert die Lage. Wer sich betrügerisch Zugang zu einem automatisierten Datenverarbeitungssystem verschafft oder darin verbleibt, begeht eine Straftat (Art. 323-1 des Code pénal, des französischen Strafgesetzbuchs), die mit 3 Jahren Freiheitsstrafe und 100.000 € Geldstrafe bedroht ist.
Die Nutzungsbedingungen begründen ihrerseits eine vertragliche Pflicht. Der Gerichtshof der Europäischen Union entschied am 15. Januar 2015 (Rechtssache Ryanair, C-30/14), dass eine Website die Weiterverwendung einer Datenbank vertraglich einschränken darf, die weder das Urheberrecht noch das Sui-generis-Recht schützt. Die CNIL erinnert daran: Nutzungsbedingungen können das Auslesen verbieten.
Was erlaubt ist und was nicht
| Situation | Ergebnis | Rechtsgrundlage |
|---|---|---|
| Preise und Produktmerkmale einer öffentlichen Seite | In der Regel erlaubt | Außerhalb der DSGVO; Grenze bei der Entnahme eines wesentlichen Teils (Datenbankrecht) |
| Öffentliche Personenprofile mit Datenminimierung und vorherigem Widerspruchsrecht | Unter Bedingungen möglich | Berechtigtes Interesse, CNIL-Merkblatt vom 19. Juni 2025 |
| Website, die das Auslesen untersagt (robots.txt, CAPTCHA, Nutzungsbedingungen) | Auszuschließen | Voraussetzung des berechtigten Interesses; vertragliches Risiko |
| Inhalte hinter einem Login, Zugang durch Umgehung erlangt | Illegal | Betrügerischer Zugriff, Code pénal Art. 323-1 |
| Gesichtsfotos ohne Rechtsgrundlage | Illegal | DSGVO; CNIL-Sanktion vom 17. Oktober 2022 gegen Clearview AI |
| Anzeigen oder Datenbank eines Wettbewerbers in großem Umfang weiterverwendet | Riskant | Sui-generis-Recht (Art. L342-1 und L342-2 Code de la propriété intellectuelle) |
hiQ, Meta, Clearview: was die Entscheidungen geklärt haben
Der Fall hiQ gegen LinkedIn verlief in zwei Phasen. Das US-Berufungsgericht des 9. Bezirks stützte hiQ 2019 (938 F.3d 985) und erneut im April 2022 (31 F.4th 1180): Das Auslesen öffentlicher Profile werfe zumindest ernsthafte Fragen im Hinblick auf den CFAA (Computer Fraud and Abuse Act) auf. Die bereits 2017 erlassene einstweilige Verfügung zugunsten von hiQ blieb bestehen.
Der Ausgang wendete sich dennoch gegen hiQ. Am 4. November 2022 befand das Bezirksgericht, hiQ habe die Nutzungsbedingungen von LinkedIn verletzt. Am 8. Dezember 2022 verpflichtete ein Vergleichsurteil zu 500.000 $ sowie zur Vernichtung der Profile und des Codes, wie die Kanzlei Proskauer darlegt. Die Gerichte ließen den öffentlichen Zugang also nicht als Verteidigung gegen den Verstoß gegen Nutzungsbedingungen gelten. Mehr trägt der Fall nicht: Kein französisches Gericht ist an eine US-Entscheidung gebunden.
Meta zeigt die andere Seite: Auch die Plattform selbst kann zahlen. Die irische Data Protection Commission erließ am 25. November 2022 und verkündete am 28. November eine Geldbuße von 265 Millionen Euro gegen Meta Platforms Ireland. Der Vorwurf: Verstöße gegen Art. 25 Abs. 1 und 2 DSGVO, also gegen den Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Die Untersuchung betraf die Facebook-Suche sowie die Kontaktimport-Funktionen von Messenger und Instagram im Zeitraum von Mai 2018 bis September 2019.
Zuletzt Clearview AI. Mit dem Beschluss SAN-2022-019 vom 17. Oktober 2022 (am 20. Oktober veröffentlicht), aufgeführt in der Sanktionsübersicht der CNIL, verhängte die beschränkte Kammer (formation restreinte) 20 Millionen Euro gegen dieses Unternehmen für Gesichtserkennung. Die Vorwürfe: fehlende Rechtsgrundlage, Missachtung des Auskunftsrechts und des Rechts auf Löschung sowie mangelnde Kooperation. Dazu kam eine Anordnung unter Zwangsgeldandrohung. Der Beschluss SAN-2023-005 vom 17. April 2023 setzte dieses Zwangsgeld mangels Reaktion auf 5,2 Millionen Euro fest.
E-Mail-Adressen scrapen, um zu akquirieren
Eine Adresse wie vorname.nachname@unternehmen.fr identifiziert eine Person: Sie fällt in den Anwendungsbereich der DSGVO, auch im B2B. Hier lässt die CNIL die E-Mail-Akquise zwischen Unternehmen ohne vorherige Einwilligung (Art. L34-5 des Code des postes et des communications électroniques) unter zwei Bedingungen zu. Der Gegenstand der Ansprache muss einen Bezug zum Beruf des Empfängers haben. Die Person muss außerdem über die Verwendung ihrer Adresse informiert worden sein und sich bei jeder Nachricht einfach und kostenlos widersetzen können (CNIL-Seite zur Akquise per E-Mail). Generische Adressen juristischer Personen (info@, contact@) sind von dieser Regelung ausgenommen.
Das zweite Risiko ist technischer Art. Eine ausgelesene Liste veraltet: Mitarbeiter wechseln das Unternehmen, Firmen schließen, Catch-all-Domains melden bei jeder Adresse „akzeptiert“. Jede tote Adresse erzeugt einen Hard Bounce. Eine hohe Hard-Bounce-Rate verschlechtert den Ruf des Absenders bei Gmail und Outlook. Auch die Nachrichten an gültige Kontakte leiden darunter.
Die Methoden zum Sammeln von Adressen über ein Formular oder einen direkten Austausch begrenzen dieses Risiko von vornherein. Bei einer ausgelesenen Liste bleibt, vor jeder Ansprache den Einwilligungsnachweis und die Abmeldung zu dokumentieren. Wer vor der nächsten Kampagne eine Stichprobe der Liste durch ein Tool zur Überprüfung von E-Mail-Adressen schickt, sieht, welcher Anteil ungültig ist.
Offizielle APIs und gekaufte Daten
Der sicherste Weg ist die API der Website: Die Plattform legt Umfang und Kontingente selbst fest. Die API liefert nur die Felder, die die Plattform öffnet, und das begrenzt die Akquise.
Daten zu kaufen oder zu mieten verschiebt das Problem, ohne es zu lösen. Die DSGVO gilt für den, der sie nutzt; die Informationspflicht bleibt bestehen, wenn die Personen ihn nie kennengelernt haben. Die Risiken im Einzelnen behandelt unsere Analyse zum Kauf von E-Mail-Listen. Für eine eigene Datenbank vermeidet der Aufbau einer qualifizierten B2B-Liste über direkte Kanäle sowohl das Auslesen als auch den Kauf.
Häufige Fragen zum Data Scraping
Ist Scraping in Frankreich illegal?
Nein. Es wird illegal, je nachdem, was man erhebt: personenbezogene Daten ohne Rechtsgrundlage und ohne Information, einen mit Gewalt geöffneten privaten Bereich oder eine geschützte Datenbank, aus der ein wesentlicher Teil entnommen wird. Einen konkreten Fall sollte ein Anwalt oder der Datenschutzbeauftragte prüfen.
Darf man LinkedIn oder X scrapen?
Ihre Nutzungsbedingungen verbieten nicht autorisiertes Scraping. In Europa kommt die DSGVO hinzu, sobald es um Profile von Personen geht. Die Einzelheiten des Falls hiQ stehen weiter oben: Es ist eine US-Entscheidung, die europäische Gerichte nicht bindet.
Hat die robots.txt rechtlichen Wert?
Sie ist kein Gesetz. Die CNIL macht sie aber zu einem klaren Widerspruchssignal: Eine Website, die widerspricht, muss von der Erhebung ausgeschlossen werden, damit das berechtigte Interesse trägt.
Welche Sanktionen drohen?
Je nach Lage: eine Geldbuße der Datenschutzbehörde, eine zivilrechtliche Verurteilung wegen Verletzung eines Datenbankrechts oder strafrechtliche Verfolgung, insbesondere wegen betrügerischen Zugriffs auf ein IT-System.
