Der Europäische Datenschutzausschuss (EDPB) hat am 8. Juli 2026 finale Leitlinien zu Anonymisierung und Web Scraping für generative KI veröffentlicht und damit erstmals verbindliche Orientierung für den DSGVO-konformen Einsatz von Large Language Models in der EU gegeben. Unternehmen, die LLMs oder generative KI-Systeme trainieren oder betreiben, müssen nun nachweisen, dass Trainingsdaten datenschutzrechtlich zulässig verarbeitet wurden. Die EDPB-Leitlinien konkretisieren, wann Web Scraping und Anonymisierung als technisch-organisatorische Maßnahmen im Sinne der DSGVO gelten. Parallel diskutiert die EU-Kommission im Rahmen ihrer Simplifizierungsagenda Änderungen an der DSGVO, was für Entscheider erhebliche Planungsunsicherheit erzeugt.

EDPB-Leitlinien 2025: Was die neuen Datenschutz-Anforderungen für generative KI in der EU bedeuten

Der Europäische Datenschutzausschuss (EDPB) hat im Jahr 2025 mehrere Leitlinien veröffentlicht, die konkrete technische und organisatorische Anforderungen an den Einsatz von KI-Systemen stellen. Zwei Dokumente sind dabei für Unternehmen, die Large Language Models (LLMs) oder generative KI betreiben oder einsetzen, besonders relevant: die Leitlinien zur Pseudonymisierung (Guidelines 01/2025) sowie die im Juli 2026 veröffentlichten Hinweise zu Anonymisierung und Web-Scraping für generative KI.

Pseudonymisierung als technisches Pflichtinstrument

Mit den Guidelines 01/2025 zur Pseudonymisierung hat der EDPB klargestellt, wie Pseudonymisierung unter der DSGVO als technisches und organisatorisches Mittel einzusetzen ist, um personenbezogene Daten vor unbeabsichtigter Identifikation zu schützen, ohne operative Interessen vollständig zu opfern. Laut Bitkom, das im Rahmen der öffentlichen Konsultation eine Stellungnahme eingereicht hat, analysieren die Leitlinien konkrete Auswirkungen und geben Empfehlungen zur praktischen Umsetzung.

Für Unternehmen, die LLMs mit personenbezogenen Trainingsdaten oder in personenbezogenen Anwendungskontexten betreiben, bedeutet das: Pseudonymisierung allein reicht nicht als Freifahrtschein. Sie ist ein Faktor bei der Risikoabwägung, aber kein automatischer Ausschluss des Personenbezugs.

Anonymisierung und Web-Scraping: Neue Hinweise für generative KI

Am 8. Juli 2026 veröffentlichte der EDPB nach eigenen Angaben Hinweise zu Anonymisierung und Web-Scraping speziell im Kontext generativer KI. Damit reagiert der Ausschuss auf eine Praxis, die beim Training großer Sprachmodelle weit verbreitet ist: das automatisierte Erfassen öffentlich zugänglicher Daten aus dem Internet.

Die Veröffentlichung signalisiert, dass der EDPB Web-Scraping nicht pauschal als datenschutzrechtlich unbedenklich einstuft, auch wenn die gescrapten Inhalte öffentlich zugänglich sind. Entscheidend bleibt, ob die verarbeiteten Daten tatsächlich als anonym gelten können oder ob eine Re-Identifikation möglich bleibt.

Praktische Implikationen für Unternehmen

1. Trainingsdaten müssen rechtlich fundiert sein. Wer LLMs auf Basis von Web-Scraping-Daten trainiert oder fine-tuned, muss nachweisen können, dass die genutzten Daten entweder keine personenbezogenen Informationen enthalten oder dass eine ausreichende Rechtsgrundlage nach DSGVO besteht. Der Verweis auf “öffentliche Verfügbarkeit” allein reicht nach der EDPB-Lesart nicht aus.

2. Pseudonymisierung im Einsatzbetrieb dokumentieren. Unternehmen, die personenbezogene Daten in KI-gestützten Systemen verarbeiten, sollten Pseudonymisierungsmaßnahmen nicht nur implementieren, sondern auch vollständig dokumentieren. Die EDPB-Leitlinien stellen klar, dass die Wirksamkeit der Maßnahme kontextabhängig bewertet wird.

3. Re-Identifikationsrisiken aktiv prüfen. Ob ein Datensatz als “anonym” gilt, hängt laut EDPB von den verfügbaren Mitteln zur Re-Identifikation ab. Unternehmen, die Ausgaben von KI-Systemen oder synthetische Daten als anonym einstufen, tragen die Beweislast dafür, dass eine Re-Identifikation praktisch ausgeschlossen ist.

4. Regulatorischen Gegenwind einkalkulieren. Parallel zu den EDPB-Leitlinien arbeitet die EU-Kommission im Rahmen ihrer sogenannten “Simplifizierungsagenda” an einer Änderungsverordnung, die unter anderem die DSGVO entbürokratisieren soll, wie Heise berichtet. Kritiker befürchten laut Heise, dass geplante Änderungen Bürgerrechte schwächen könnten. Unternehmen sollten beide Entwicklungen verfolgen: strengere Auslegung durch den EDPB einerseits, mögliche legislative Lockerungen andererseits.

Einordnung

Der EDPB entwickelt seine Auslegung der DSGVO im Bereich KI kontinuierlich weiter. Mit den Leitlinien zu Pseudonymisierung, Anonymisierung und Web-Scraping setzt der Ausschuss klare Erwartungen, bevor eine umfassende KI-spezifische Regulierung durch den AI Act vollständig greift. Unternehmen, die generative KI in der EU einsetzen oder anbieten, sollten die EDPB-Dokumente als verbindliche Orientierung behandeln, auch wenn es sich formal um Leitlinien handelt.

Quellen

• EDPB Guidelines 01/2025 on Pseudonymisation, Stellungnahme Bitkom (EN)
• EDPB News, europäische Datenschutzbehörde, Übersicht aktueller Meldungen
• Heise: Wie der Digital-Omnibus die EU-Datenschutz- und KI-Regulierung ändern soll

Häufige Fragen

Was sind die EDPB-Guidelines 01/2025 zur Pseudonymisierung und warum sind sie für KI-Anwendungen relevant?

Der Europäische Datenschutzausschuss (EDPB) hat 2025 Leitlinien veröffentlicht, die klären, wie Pseudonymisierung als technische und organisatorische Maßnahme unter der DSGVO eingesetzt werden kann. Für Unternehmen, die LLMs oder generative KI betreiben, ist das relevant: Pseudonymisierte Trainingsdaten können das Risiko unbeabsichtigter Identifikation von Personen senken und gleichzeitig operative Anforderungen berücksichtigen.

Hat der EDPB sich konkret zu Anonymisierung und Web Scraping für generative KI geäußert?

Ja. Der EDPB hat im Juli 2026 Leitlinien veröffentlicht, die Anonymisierung und Web Scraping im Kontext generativer KI beleuchten. Damit reagiert das Gremium auf die Praxis vieler KI-Anbieter, öffentlich zugängliche Daten für das Training großer Sprachmodelle zu nutzen. Unternehmen müssen prüfen, ob dabei personenbezogene Daten verarbeitet werden und welche DSGVO-Pflichten greifen.

Was plant die EU-Kommission mit dem sogenannten Digital-Omnibus und welche Folgen hat das für den Datenschutz?

Im Rahmen ihrer Simplifizierungsagenda arbeitet die EU-Kommission an Omnibus-Gesetzgebungsvorhaben, die bestehende Digitalgesetze vereinfachen sollen. Darunter fallen auch Änderungen an der DSGVO. Kritiker warnen, dass geplante Anpassungen Bürgerrechte schwächen könnten. Für KI-Entscheider bedeutet das: Die regulatorische Grundlage bleibt vorerst im Fluss.

Welche Rolle spielt Bitkom bei der Ausgestaltung der EDPB-Pseudonymisierungsleitlinien?

Der Digitalverband Bitkom hat im Rahmen der öffentlichen Konsultation des EDPB ein englischsprachiges Positionspapier zu den Guidelines 01/2025 eingereicht. Darin analysiert Bitkom die Leitlinien, bewertet ihre Auswirkungen auf Unternehmen und gibt Empfehlungen zur praktischen Umsetzung. Das Papier steht zum Download bereit und richtet sich an Mitgliedsunternehmen.

Welche konkreten Schritte sollten Unternehmen jetzt bei KI-Projekten mit Personenbezug einleiten?

Angesichts der EDPB-Leitlinien zu Pseudonymisierung und der laufenden Diskussion zum Digital-Omnibus sollten Unternehmen drei Punkte prüfen: erstens, ob Trainingsdaten personenbezogen sind und wie Pseudonymisierung gezielt eingesetzt werden kann; zweitens, ob Web-Scraping-Praktiken DSGVO-konform sind; drittens, die regulatorische Entwicklung rund um die EU-Simplifizierungsagenda aktiv beobachten.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.