Das Vereinigte Königreich hat 2025 Teile seines Datenschutzrechts neu gefasst, und die meisten Änderungen gelten inzwischen. Der Data (Use and Access) Act ist keine neue DSGVO. Er ändert die UK GDPR, den Data Protection Act 2018 und die Cookie-Regeln in PECR. Für Teams, die öffentliche Webdaten sammeln, sind einige dieser Änderungen sehr relevant, und manche verbreiteten Lesarten davon gehen zu weit.
Dieser Leitfaden behandelt, was in Kraft ist, was sich bei der Rechtsgrundlage, bei Forschung, Informationspflichten, Cookies, automatisierten Entscheidungen und Übermittlungen geändert hat, und was der Act nicht geändert hat. Es handelt sich um allgemeine Informationen, keine Rechtsberatung.
Was in Kraft ist, und wann
Der Act erhielt am 19. Juni 2025 die Royal Assent und wurde stufenweise durch Commencement Regulations in Kraft gesetzt.
| Datum | Was in Kraft trat |
|---|---|
| 19. Juni 2025 | „Angemessene und verhältnismäßige” Suchen bei Auskunftsersuchen |
| 20. August 2025 | Smart-Data-Befugnisse und die Pflicht zur Berichterstattung über Urheberrecht und KI |
| 1. Dezember 2025 | Rahmenwerk für Digital-Verification-Services |
| 5. Februar 2026 | Die wichtigsten Änderungen bei UK GDPR und PECR: Rechtsgrundlage, Forschung, Informationspflichten, automatisierte Entscheidungen, Übermittlungen, Cookies, Bußgelder |
| 19. Juni 2026 | Verantwortliche müssen ein Beschwerdeverfahren betreiben |
| 30. September 2026 | Das Information Commissioner’s Office wird zur Information Commission |
Wenn also von den „neuen UK-Regeln” die Rede ist, meinen die meisten das Paket, das am 5. Februar 2026 in Kraft trat.
Rechtsgrundlage: weniger verändert, als man vielleicht gehört hat
Der Act fügt eine neue Rechtsgrundlage hinzu, die anerkannten berechtigten Interessen. Eine Verarbeitung ist rechtmäßig, wenn sie für einen der Zwecke auf einer festen Liste erforderlich ist, ohne Abwägungsprüfung. Die Liste umfasst Zwecke im öffentlichen Interesse: Offenlegungen gegenüber öffentlichen Stellen, nationale Sicherheit und Verteidigung, Notfälle, Kriminalität und den Schutz gefährdeter Personen. Gewöhnliche kommerzielle Datensammlung steht nicht darauf.
Für kommerzielle Arbeit bleibt die bekannte Grundlage der berechtigten Interessen unverändert. Sie gilt weiterhin nur dort, wo Ihre Interessen nicht „durch die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwogen werden”. Der Act fügt zwar Beispiele für Verarbeitungen hinzu, die ein berechtigtes Interesse darstellen können, darunter Direktmarketing, konzerninterner Austausch für interne Verwaltung und Netzwerksicherheit. Das sind Beispiele, keine Freifahrtscheine: die Abwägungsprüfung gilt weiterhin.
Speziell für Scraping hat sich die Haltung der Aufsichtsbehörde nicht verändert. In ihrer Antwort vom Dezember 2024 auf ihre Konsultation zu generativer KI erklärte sie, dass berechtigte Interessen die einzige Rechtsgrundlage sei, die für das Training generativer KI auf im Web gescrapten personenbezogenen Daten voraussichtlich infrage komme, und auch nur dann, wenn der Entwickler den dreiteiligen Test aus Zweck, Erforderlichkeit und Abwägung besteht. Sie betrachtet Scraping zudem als risikoreiche, weitgehend unsichtbare Verarbeitung. Unser Leitfaden zu was Legal vor einem Scraping-Projekt fragen wird behandelt, wie man diesen Fall vorbereitet.
Forschung wird breiter definiert
Der Act schreibt eine Definition wissenschaftlicher Forschung in die UK GDPR. Sie bedeutet „jede Forschung, die vernünftigerweise als wissenschaftlich bezeichnet werden kann, unabhängig davon, ob sie öffentlich oder privat finanziert ist und ob sie als kommerzielle oder nichtkommerzielle Tätigkeit durchgeführt wird”, und sie umfasst technologische Entwicklung und angewandte Forschung.
Das ist relevant, weil Forschungszwecke nützliche Ausnahmen mit sich bringen, einschließlich der unten genannten Ausnahme von der Informationspflicht. Der Maßstab bleibt aber „vernünftigerweise als wissenschaftlich zu bezeichnen”, sodass nicht jedes Analyseprojekt infrage kommt. Auch statistische Zwecke haben eine engere Definition: Die Ergebnisse müssen aggregierte Daten sein, die keine personenbezogenen Daten darstellen, und dürfen nicht genutzt werden, um Entscheidungen über eine bestimmte Person zu treffen.
Der Act erlaubt zudem eine „breite Einwilligung” in einen Forschungsbereich, wenn die Zwecke zu Beginn nicht vollständig festgelegt werden können. Das hilft Studien mit Teilnehmern, nützt aber bei gescrapten Daten wenig, da dort niemand gefragt wurde.
Information der Betroffenen: die Frage der Informationspflicht
Gescrapte personenbezogene Daten sind Daten, die nicht von der betroffenen Person selbst erhoben wurden, daher gilt Artikel 14 der UK GDPR: grundsätzlich müssen Sie den Betroffenen eine Datenschutzinformation geben. Da es kaum möglich ist, jeden in einem großen Datensatz zu kontaktieren, legt der Act nun fest, wann man sich auf eine Ausnahme berufen darf.
| Ausnahme | Was sie besagt |
|---|---|
| Artikel 14(5)(e) | Die Bereitstellung der Information „ist unmöglich oder würde einen unverhältnismäßigen Aufwand erfordern” |
| Artikel 14(5)(f) | Die Information würde den Zweck der Verarbeitung „unmöglich machen oder ernsthaft beeinträchtigen” |
| Artikel 14(6) | Unverhältnismäßiger Aufwand hängt ab von „der Anzahl der betroffenen Personen, dem Alter der personenbezogenen Daten und geeigneten Schutzmaßnahmen” |
| Artikel 14(7) | Sie müssen weiterhin geeignete Maßnahmen ergreifen, „unter anderem indem Sie die Informationen öffentlich zugänglich machen” |
Das praktische Ergebnis: Wenn Sie sich auf unverhältnismäßigen Aufwand berufen, veröffentlichen Sie eine klare Information darüber, was Sie sammeln, woher und warum, sowie wie Betroffene widersprechen können. Führen Sie Aufzeichnungen darüber, wie Sie die Faktoren abgewogen haben. Eine separate Änderung an Artikel 13 erlaubt es Verantwortlichen, auf eine neue Information zu verzichten, wenn sie Daten nur für Forschung, Archivierung oder Statistik weiterverwenden, unter demselben Test der Unmöglichkeit oder des unverhältnismäßigen Aufwands.
Cookies und Consent Walls
PECR erlaubt Websites nun, einige Cookies ohne Einwilligung zu setzen: für Statistiken darüber, wie ein Dienst genutzt wird, zum Speichern der Präferenzen eines Besuchers oder zur Verbesserung des Erscheinungsbilds der Website, sowie für unbedingt erforderliche Zwecke wie Sicherheit und Betrugsprävention. Für die ersten beiden müssen Nutzer klare Informationen erhalten und eine einfache, kostenlose Möglichkeit zum Widerspruch haben. Bußgelder für Verstöße bei Cookies und Marketing erreichen nun £17,5 Millionen oder 4 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist.
Das betrifft zunächst Ihre eigenen Websites. Es kann aber auch verändern, was Crawler auf UK-Seiten sehen, wenn Websites ihre Banner anpassen, also prüfen Sie alle Parser, die sich auf das Layout einer Consent Wall verlassen. Unsere Studie zu Consent Walls nach Land zeigt, wie unterschiedlich diese Seiten bereits sind.
Automatisierte Entscheidungen und Übermittlungen
Wenn gescrapte Daten in Entscheidungen über Personen einfließen, etwa Lead Scoring oder Bewerber-Screening, gelten die Regeln zu automatisierten Entscheidungen nun anders. Eine ausschließlich automatisierte Entscheidung mit erheblichen Auswirkungen ist nicht mehr generell verboten, aber Sie müssen die Betroffenen über solche Entscheidungen informieren, ihnen die Möglichkeit zur Stellungnahme geben, menschliches Eingreifen anbieten und ihnen erlauben, das Ergebnis anzufechten. Entscheidungen, die besondere Kategorien von Daten nutzen, bleiben stark eingeschränkt.
Für Übermittlungen ins Ausland lautet der neue Maßstab, ob der Schutz im Zielland „nicht wesentlich niedriger” ist als im Vereinigten Königreich, wobei Exporteure diese Einschätzung treffen dürfen, indem sie „vernünftig und verhältnismäßig handeln”. Die EU erneuerte ihre Angemessenheitsbeschlüsse für das Vereinigte Königreich am 19. Dezember 2025, bis zum 27. Dezember 2031, sodass personenbezogene Daten weiterhin von der EU ins Vereinigte Königreich fließen können.
Was der Act nicht geändert hat: KI und Urheberrecht
Der umstrittenste Teil des Act ist das, was weggelassen wurde. Das House of Lords fügte wiederholt Änderungsanträge hinzu, die KI-Entwickler verpflichten sollten, die urheberrechtlich geschützten Werke offenzulegen, mit denen sie trainiert haben, und das House of Commons strich sie jedes Mal wieder. Im Gegenzug verpflichtete der Act die Regierung, einen Bericht zu Urheberrecht und KI sowie eine wirtschaftliche Folgenabschätzung zu veröffentlichen.
Beide erschienen am 18. März 2026. Der Bericht erklärte, eine breite Urheberrechtsausnahme mit Opt-out für Rechteinhaber sei „nicht mehr der von der Regierung bevorzugte Weg”, und schlug keinen Ersatz vor, sondern entschied sich, zunächst weitere Erkenntnisse zu sammeln. Das britische Urheberrecht hat sich also nicht bewegt. Die Text- und Data-Mining-Ausnahme in Section 29A des Copyright, Designs and Patents Act gilt weiterhin nur für nichtkommerzielle Forschung. Maschinenlesbare Opt-outs haben im Vereinigten Königreich derzeit kein besonderes rechtliches Gewicht, signalisieren aber dennoch eine Absicht: Unser Leitfaden zu robots.txt und KI-Reservierungssignalen behandelt, wie man sie liest.
Was Datenteams tun sollten
- Prüfen Sie Ihre Rechtsgrundlage. Wenn Sie sich auf berechtigte Interessen stützen, halten Sie eine aktuelle Bewertung bereit. Gehen Sie nicht davon aus, dass die Liste der anerkannten berechtigten Interessen Sie abdeckt.
- Prüfen Sie jeden Forschungsanspruch. Nutzen Sie die Forschungsausnahmen nur für Arbeit, die vernünftigerweise als wissenschaftlich bezeichnet werden kann, und dokumentieren Sie, warum.
- Veröffentlichen Sie Ihre Information. Wenn Sie sich auf unverhältnismäßigen Aufwand berufen, erstellen Sie eine öffentliche Information, die Erhebung und Widerspruchsmöglichkeit erklärt, und halten Sie Ihre Begründung schriftlich fest.
- Kartieren Sie Entscheidungen über Personen. Listen Sie alle automatisierten Entscheidungen auf, in die Ihre Daten einfließen, und fügen Sie die Schutzmaßnahmen hinzu.
- Erfassen Sie die Herkunft der Daten. Bewahren Sie Quell-URLs, Daten und die zum jeweiligen Zeitpunkt geltende Information auf. Unser Leitfaden zur Herkunft in der KI-Trainings-Pipeline zeigt ein praktikables Format.
- Beobachten Sie die Entwicklung beim Urheberrecht. Das Vereinigte Königreich hat heute keine kommerzielle Mining-Ausnahme, und die Regierung hat erklärt, sie wolle mehr Erkenntnisse sammeln, bevor sie gesetzlich tätig wird.
Wo Proxys ins Bild passen
Ein Proxy ändert, woher eine Anfrage kommt, nicht was das Gesetz erlaubt. Das Sammeln britischer personenbezogener Daten von einer UK-IP oder von überall sonst unterliegt denselben Pflichten der UK GDPR. Residential Proxies eignen sich, um öffentliche UK-Seiten so zu sehen, wie lokale Besucher sie sehen, etwa für Preisüberwachung, Werbeverifizierung und die Prüfung, wie Consent-Banner angezeigt werden. Sie ändern weder Ihre Rechtsgrundlage noch Ihre Informationspflichten noch das Urheberrecht anderer.
Fazit
Der Data (Use and Access) Act hat einige britische Regeln gelockert, aber nicht die, auf die die meisten Webdatenteams gehofft hatten. Kommerzielle Datensammlung braucht weiterhin eine Begründung berechtigter Interessen mit Abwägungsprüfung. Die Informationspflichten sind klarer, und die Veröffentlichung einer Information ist nun Teil der Vereinbarung. Forschung ist breiter gefasst, muss aber tatsächlich wissenschaftlich sein. Beim Training von KI bleibt die Urheberrechtsfrage offen. Dokumentieren Sie Ihre Entscheidungen jetzt, während sich die Aufsichtsbehörde noch an ihren neuen Namen gewöhnt.
Quellen und Verweise
- Data (Use and Access) Act 2025, in der verabschiedeten Fassung: legislation.gov.uk
- Section 67, Bedeutung von Forschungs- und statistischen Zwecken: legislation.gov.uk
- Section 77, den betroffenen Personen bereitzustellende Informationen: legislation.gov.uk
- Schedule 4, anerkannte berechtigte Interessen: legislation.gov.uk
- Schedule 12, Speicherung von Informationen in Endgeräten: legislation.gov.uk
- UK GDPR Artikel 6, in geänderter Fassung: legislation.gov.uk
- Commencement No. 1 Regulations 2025 (SI 2025/904): legislation.gov.uk
- Commencement No. 4 Regulations 2025 (SI 2025/1213): legislation.gov.uk
- Commencement No. 6 Regulations 2026 (SI 2026/82): legislation.gov.uk
- Commencement No. 9 Regulations 2026 (SI 2026/1015): legislation.gov.uk
- DSIT, Data (Use and Access) Act 2025: Pläne zur Inkraftsetzung: gov.uk
- ICO, The lawful basis for web scraping to train generative AI models: ico.org.uk
- DSIT, DCMS und IPO, Report and impact assessment on copyright and artificial intelligence (18. März 2026): gov.uk
- Europäische Kommission, Erneuerung der Angemessenheitsbeschlüsse für das Vereinigte Königreich (19. Dezember 2025): ec.europa.eu