Eigene Erhebung · Stand September 2026
Sechs Pflichten gemessen: 80 von 84 laden vor der Einwilligung
Wir haben 93 Websites mittelständischer Betriebe auf sechs digitale Pflichten geprüft, die sich maschinell messen lassen – 888 einzelne Seiten, mit derselben Prüfengine, die auch unsere Kundenberichte erzeugt. 84 Websites ließen sich auswerten. 3 oder 4 davon hatten keine einzige Feststellung – genauer lässt es sich seit der Korrektur vom 28.09.2026 nicht sagen. Diese Seite legt die Zahlen offen, samt Methodik, Grenzen und Zitiervorschlag.
- 80 von 84
- laden Cookies oder fremde Server, bevor jemand zugestimmt hat (§ 25 TDDDG)
- höchstens 16 von 84
- mit mindestens einer fehlenden Pflichtangabe im Impressum (§ 5 DDG, Art. 13 DSGVO)
- 9 von 84
- laden Dienste, die ihre Datenschutzerklärung nicht nennt (Art. 13 Abs. 1 Buchst. e DSGVO)
- 3 oder 4 von 84
- ganz ohne Feststellung – bei allen anderen fand der Lauf mindestens eine
Wie gemessen wurde
Zahlen ohne Methodik sind Behauptungen. Deshalb zuerst der Rahmen.
| Merkmal | Wert |
|---|---|
| Zeitpunkt der Prüfläufe | 6. September 2026 |
| Websites angesetzt | 93 |
| Websites ausgewertet | 84; 9 nicht ausgewertet, weil keine einzige Seite geladen hat (Bot-Schutz, Verbindungsfehler) |
| Seiten geprüft | 888, bis zu zwölf je Website |
| Seitenauswahl | Startseite plus die für den Geschäftsverkehr wichtigsten Unterseiten: Kategorie- und Produktseiten, Warenkorb oder Buchung, Kontakt, Impressum, Datenschutz |
| Prüfengine | echter Chromium-Browser (Playwright) mit Mitschnitt des Netzverkehrs; sechs Regelwerke über denselben Seitenabruf |
| Interaktion | keine. Es wurde nichts angeklickt – kein „Zustimmen“, kein „Ablehnen“, keine Einstellung |
| Zählweise | je Website und Regel einmal, nicht je Fundstelle. Ein Shop mit fünfhundert Produktseiten ohne Herstellerangabe ist hier ein Betrieb mit einem Problem |
| Was nicht mitzählt | Hinweise (etwa eine fehlende Umsatzsteuer-Identifikationsnummer, die schlicht nicht existieren kann) und Positivbefunde. Gezählt wird nur, was als Feststellung gemessen wurde |
Die vorletzte Zeile ist die, an der die meisten Erhebungen zu diesem Thema auseinandergehen. Wer je Fundstelle zählt, bekommt große Zahlen und eine Aussage über Seitenzahlen statt über Betriebe. Wer je Website zählt, bekommt kleinere Zahlen und eine Aussage darüber, wie viele Betriebe betroffen sind – und nur die zweite lässt sich sinnvoll auf einen Markt beziehen.
Was auf wie vielen Websites festgestellt wurde
| Regelwerk | Fundstelle | Websites | Anteil |
|---|---|---|---|
| Cookies und fremde Server vor der Einwilligung | § 25 TDDDG, Art. 6 DSGVO | 80 | 95 % |
| Impressum und Pflichtangaben | § 5 DDG, Art. 13 DSGVO | höchstens 16 | höchstens 19 % |
| Genannte gegen geladene Dienste | Art. 13 Abs. 1 Buchst. e DSGVO | 9 | 11 % |
Sechs Regelwerke sind gelaufen, drei stehen in der Tabelle. Herstellerangaben (Artikel 19 GPSR) und Grundpreis (§ 4 PAngV) sind am 28.09.2026 zurückgezogen, siehe die Korrektur unten. Die Erklärung zur Barrierefreiheit nach § 14 Absatz 1 Nummer 2 BFSG fehlt hier mit Absicht: Ihre drei Mängel-Befunde – keine Erklärung gefunden, Erklärung unvollständig, Erklärung verlinkt aber nicht mitgeprüft – sind Hinweise, keine Feststellungen, und Hinweise zählen nach der Methodik oben nicht mit. Der Grund steht im Gesetz: Ob eine Erklärung vorliegen muss, hängt an § 3 Absatz 3 BFSG (Kleinstunternehmen), und die Zahl der Beschäftigten steht nicht auf der Website. Gemessen wird nur das Gegenteil: Auf 3 von 84 Websites (4 %) fand der Lauf eine Erklärung, die alle vier in Anlage 3 zur BFSGV genannten Bestandteile enthält. Das ist ein Positivbefund und keine Beanstandung.
Bis zum 06.09.2026 stand genau diese Zahl als Zeile in der Tabelle darüber – also unter der Überschrift „Was auf wie vielen Websites festgestellt wurde", obwohl der Methodik-Kasten Positivbefunde ausdrücklich ausnimmt. Sie ist entfernt; die übrigen Zahlen sind davon nicht berührt.
Korrektur vom 08.09.2026: „Anschrift fehlt oder ist unvollständig" ist zurückgezogen. Die Zeile stand mit 14 Websites (17 %, Schwere hoch) in der Regel-Tabelle. Wir haben die Impressen aller 14 nachgemessen: Alle 14 nennen Straße, Hausnummer, Postleitzahl und Ort. Der Prüfer kannte nur zwei deutsche Bauformen einer Anschrift („Musterstraße 12", „Am Markt 3") und hielt „Chemnitzer Straße 10", „Rothenburg 53-54" oder „Haus Uhlenkotten 8" für keine. Das war eine Aussage über unseren Prüfer, nicht über den Markt. Die Regel ist erweitert, die Zeile entfernt; damit sinkt „Impressum und Pflichtangaben" von 38 auf 33 Websites, und die Zahl der Websites ohne jede Feststellung steigt von 2 auf 3. Die Rohmessung bleibt unverändert, der Rückzug steht mit Grund und Datum in der Auswertungsdatei.
Korrektur vom 28.09.2026: sechs Regeln zurückgezogen
Wir haben die Regeln in ihrer damaligen Fassung am 25.09.2026 erneut über dieselbe Stichprobe laufen lassen und jede Meldung an der Seite selbst gelesen. Sechs Regeln hielten dem nicht stand, und sie sind aus beiden Tabellen entfernt:
- Registerangabe im Impressum fehlt (stand mit 14 Websites da): 11 der 14 Impressen nennen ein Register mit Nummer oder brauchen keines. Die Regel kannte nur die Schreibweise „HRB 12345“ und las auch die Rechtsform einer Webagentur oder eines Versicherers als die des Anbieters.
- Vertretungsberechtigter fehlt (9): Alle 7 nachgemessenen Impressen nennen einen Vertreter oder brauchen keinen. Die Regel verfehlte Wörter wie „Geschäftsführung“ und verlangte einen Vertreter auch beim eingetragenen Kaufmann.
- Kein Verweis auf Datenschutzhinweise gefunden (4): 3 der 4 Websites verlinken eine Datenschutzerklärung. Die Regel erkannte den Linktext „Datenschutzerklärung“ nicht.
- Keine Herstellerangabe auf den erkannten Produktseiten (11) und Hersteller ohne Postanschrift oder E-Mail-Adresse (7): Von neun Meldungen der Nachmessung waren sieben falsch. Die Regel wandte Artikel 19 GPSR auf Lebensmittel an, die Artikel 2 Absatz 2 der Verordnung ausnimmt, und hielt Startseite, Impressum und Kategorieseiten für Produktseiten.
- Grundpreis fehlt (6): Von fünf Meldungen der Nachmessung waren vier falsch. Die Regel las ein Versandgewicht als Füllmenge und erkannte einen Grundpreis mit dem Eurozeichen vor der Zahl nicht.
Die Regeln sind korrigiert. Neu gezählt werden konnte nicht: Die Rohdatei vom Erhebungstag liegt nicht mehr vor. Deshalb steht bei „Impressum und Pflichtangaben“ eine Obergrenze – eine Website kann mehrere der verbliebenen Regeln auslösen, und von den zurückgezogenen Meldungen waren 3 bestätigt und 3 nicht nachzumessen. Also waren es mindestens 5 und höchstens 16 statt 33. Aus demselben Grund heißt es bei den Websites ohne Feststellung „3 oder 4“. Eine neue Zahl zu Herstellerangaben und Grundpreis veröffentlichen wir erst aus einer neuen Messung.
Die Reihenfolge ist keine Rangliste der Wichtigkeit, sondern der Verbreitung. Wo nichts geprüft werden konnte, entsteht kein Befund – die Website zählt trotzdem im Nenner mit.
Die einzelnen Regeln
| Regel | Schwere | Websites | Anteil |
|---|---|---|---|
| Anfragen an fremde Server vor jeder Einwilligung | hoch | 76 | 90 % |
| Cookies gesetzt vor jeder Einwilligung | hoch | 67 | 80 % |
| Schriften von einem fremden Server geladen | mittel | 30 | 36 % |
| Geladener Dienst in der Datenschutzerklärung nicht genannt | hoch | 9 | 11 % |
| Impressum nicht von allen geprüften Seiten erreichbar | hoch | 5 | 6 % |
| E-Mail-Adresse im Impressum fehlt | hoch | 4 | 5 % |
| Kein Impressum gefunden | kritisch | 1 | 1 % |
Die drei häufigsten Regeln gehören alle zu einem einzigen Regelwerk, und sie beschreiben denselben Vorgang aus drei Blickwinkeln: Beim bloßen Aufruf der Seite geht eine Anfrage an einen fremden Server, dabei wird ein Cookie gesetzt, und in vielen Fällen ist der fremde Server eine Schriftenbibliothek. Die Cookies und Server des Einwilligungs-Werkzeugs selbst zählen wir ausdrücklich nicht mit – ein Banner muss laden, bevor jemand zustimmt, und sein eigenes Cookie merkt sich die Entscheidung. Wer diese mitzählte, würde einem Betrieb vorwerfen, dass sein Banner funktioniert.
In der Zahl „Cookies gesetzt vor jeder Einwilligung“ sind auch Websites enthalten, die vor der Zustimmung nur Sitzungscookies ihrer eigenen Domain setzen, etwa für den Warenkorb. Seit dem 28.09.2026 meldet unser Prüfer diese Fälle nicht mehr; an 77 Websites derselben Stichprobe sank die Zahl dadurch von 62 auf 48.
Was diese Erhebung nicht zeigt
- Keine Zufallsstichprobe. Die Websites stammen aus unserer eigenen Recherche: mittelständische Betriebe mit Kauf- oder Buchungsstrecke, aus vier deutschen Regionen. Die Zahlen sind keine repräsentative Aussage über „den deutschen Mittelstand“.
- Keine Rechtsbewertung. Ob ein gefundenes Cookie unter die Ausnahme des § 25 Absatz 2 TDDDG fällt, ob eine Impressumsangabe im Einzelfall verlangt ist, ob eine der acht Ausnahmen des § 4 Absatz 3 PAngV greift – all das entscheidet diese Messung nicht und kann sie nicht entscheiden. Sie sagt, was auf der ausgelieferten Seite steht und was nicht.
- Nicht geprüft ist nicht „nichts gefunden“. 9 Websites lieferten keine einzige Seite aus und sind deshalb gar nicht enthalten – sie zählen weder als sauber noch als betroffen.
- Ein Zeitpunkt, kein Verlauf. Alle Läufe stammen von einem Tag. Eine Website, die am Tag darauf ein Banner einbaut, steht hier weiter mit ihrem alten Zustand.
- Nur der eigene Auftritt. Geprüft wird, was unter der Domain des Betriebs ausgeliefert wird. Ein Angebot auf einem fremden Marktplatz ist nicht dabei.
Die Barrierefreiheit derselben Betriebe
Diese Erhebung ist die zweite. Die erste betrifft dieselbe Art von Betrieben, aber ein anderes Regelwerk und eine eigene Stichprobe: 85 Websites nach WCAG 2.1 AA geprüft, 82 davon mit mindestens einem kritischen oder schwerwiegenden Verstoß. Die beiden Zahlen werden nicht zusammengerechnet – es sind zwei Erhebungen mit zwei Stichproben, und jede trägt ihren eigenen Nenner.
Zitieren und weiterverwenden
Die Zahlen dürfen zitiert werden, mit Quellenangabe. Vorschlag:
webpflicht.de (2026): Sechs digitale Pflichten gemessen – 84 Websites mittelständischer Betriebe. Erhebung, Stand September 2026. https://www.webpflicht.de/erhebung-pflichten-2026.html
Wer eine Zahl aus dieser Seite verwendet, sollte den Nenner mitnehmen: „80 von 84 geprüften Websites“ ist eine Aussage, „95 Prozent der Onlineshops“ ist keine. Bei Rückfragen zur Methodik: info@map-handel.de.
Die eigene Website messen
Dieselbe Prüfung für einen einzelnen Auftritt gibt es als Website-Check – sechs Regelwerke und die Barrierefreiheit aus einem Seitenaufruf, mit Fundort und Norm zu jedem Befund. Wer wissen will, ob sich nach einer Änderung etwas verschoben hat, bekommt dieselbe Messung alle 14 Tage als Technische Betreuung.
Was die einzelnen Regelwerke verlangen, steht ausführlich im Ratgeber: Cookies vor der Einwilligung, Impressum nach § 5 DDG, Herstellerangaben nach Artikel 19 GPSR und Grundpreis nach § 4 PAngV.