Jede fünfte Handwerker-Webseite verstösst gegen das Datenschutzgesetz

19 Prozent der Schweizer Handwerksbetriebe übertragen täglich Kundendaten ohne Einwilligung ins Ausland. Das sind keine Schätzungen. Das sind die Ergebnisse einer Analyse von 217 Handwerker-Webseiten im Kanton Aargau.

Seit dem 1. September 2023 ist das revidierte Datenschutzgesetz (revDSG) in Kraft. Für Verantwortliche drohen Bussen bis zu 250'000 Franken. Trotzdem zeigt die Auswertung: Jede fünfte Webseite verstösst klar gegen geltendes Recht. Weitere 57 Betriebe, 26 Prozent, betreiben Tracking mit technisch nicht eindeutig verifizierbarem Einwilligungsstatus, ein Risiko, das viele Betriebe nicht kennen.

Ursprünglich sollte diese Analyse die technische Qualität der Webseiten messen: Ladegeschwindigkeit, Auffindbarkeit, digitale Präsenz. Was die Daten zuerst zeigten, war etwas anderes.

Das Datenschutz-Problem

144 der 217 analysierten Betriebe setzen aktiv Tracking-Tools ein. Zwei von drei Handwerkern messen ihre Webseiten-Besucher, was grundsätzlich zulässig ist. Das Problem liegt im Detail: 42 dieser 144 Betriebe tun es nachweislich ohne Einwilligung. Weitere 57 weisen einen Einwilligungsstatus auf, der sich technisch nicht abschliessend verifizieren lässt. GA4 (Google Analytics 4) ohne Einwilligung ist am häufigsten betroffen. 32 Webseiten übertragen Nutzerdaten direkt an Google-Server in den USA, ohne dass je ein Consent-Banner erschienen ist. Google Tag Manager und eingebettete Google Maps ohne Klick-Bestätigung folgen mit je 14 Webseiten.

Das ist kein technisches Versehen. Es ist eine Konfigurationsentscheidung, getroffen von einem Webdesigner, einem Marketingberater oder dem Inhaber selbst. Die rechtliche Verantwortung liegt beim Betrieb, nicht beim Dienstleister.

Das revidierte Datenschutzgesetz verlangt eine freiwillige, informierte und spezifische Einwilligung vor der Datenübertragung, nicht danach.

Das revDSG unterscheidet zwischen Daten, die zur Erbringung eines Dienstes notwendig sind, und Daten, die zu Analyse- oder Marketingzwecken erhoben werden. Letztere erfordern eine Einwilligung, bevor die erste Übertragung stattfindet. Ein Cookie-Banner mit vorausgewählten Kategorien erfüllt diese Anforderung nicht. Eine eingebettete Google Maps-Karte ohne Klick-Bestätigung erfüllt sie nicht. GA4, das beim Seitenaufruf lädt, erfüllt sie nicht.

42 Webseiten in dieser Stichprobe betreiben genau das: Tracking ohne Rechtsgrundlage, täglich, für jede Besucherin. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) prüft auf Meldung. Mitbewerber, Verbraucherschutzorganisationen und Kunden können eine revDSG-Webseiten-Prüfung veranlassen. Kann es zu einer Untersuchung kommen? Ja, diese Möglichkeit besteht. Die Wahrscheinlichkeit einer gezielten Untersuchung eines einzelnen Kleinbetriebs bleibt heute gering. Die Auswirkungen im allfälligen Fall sind schwer einzuschätzen: Der EDÖB kann Anpassungen anordnen und Sachverhalte öffentlich machen. Was das für das Vertrauen von Kunden und Partnern bedeutet, lässt sich kaum in Zahlen fassen. Im schlimmsten Fall drohen dem Eigentümer Bussen von bis zu 250'000 Franken.

Das Leistungs-Problem: Webseiten-Performance im Handwerk

Neben dem Compliance-Risiko zeigte die Analyse das, was ursprünglich gemessen werden sollte: die technische Leistung der Webseiten. Von 200 gemessenen Webseiten laden nur 7 schnell genug, um als performant zu gelten. 140 von 200 erzielen einen Performance-Score unter 50. Das bedeutet konkret: Eine Kundin, die auf dem Mobiltelefon nach einem Sanitärbetrieb sucht, wartet drei, fünf, acht Sekunden. Dann ist sie weg, zum nächsten Betrieb in der Liste.

Google bestraft langsame Websites doppelt: schlechteres Ranking im organischen Suchergebnis und schlechtere Qualitätswerte bei bezahlten Anzeigen. Wer für Google Ads zahlt und eine langsame Website betreibt, zahlt mehr pro Klick als ein Konkurrent mit identischem Budget und schnellerer Seite. Wie eng Website und digitale Präsenz zusammenhängen, unterschätzen die meisten Betriebe.

* 17 der 217 Webseiten lieferten beim Performance-Test keine verwertbaren Messwerte zurück — etwa wegen Timeouts oder blockierter Zugriffsversuche. Für SEO-Grundwerte und Barrierefreiheit fehlten 16 Messwerte.

KI-Sichtbarkeit Handwerk: ein neues Risiko

Ein drittes Risiko ist weniger bekannt, wächst aber schnell. 26 der analysierten Websites haben keine robots.txt-Datei. Das klingt technisch, hat aber praktische Konsequenzen. Über robots.txt steuert ein Betrieb, welche Crawler, ob Suchmaschinen, KI-Systeme oder Preisaggregatoren, die Website indexieren dürfen. Ohne diese Datei gibt es keine Kontrolle. KI-gestützte Suchsysteme wie Google AI Overviews oder Perplexity greifen zunehmend auf Website-Inhalte zu, um Antworten zu generieren. Wer seine Sichtbarkeit in KI-Suchsystemen nicht aktiv steuert, wird entweder überall zitiert oder nirgends, ohne Einfluss darauf, was über den Betrieb gesagt wird.

Was die Branche ableiten muss

Wir wollten ursprünglich die Qualität messen: Schnelligkeit und Auffindbarkeit. Was wir fanden, war ein Rechtsproblem. Eines, das 50 Betriebe täglich eingehen, ohne es zu wissen. Drei Baustellen, eine Gemeinsamkeit: Die Webseite wird als statisches Aushängeschild behandelt, nicht als aktives Betriebsmittel.

118 der analysierten Handwerksbetriebe, mehr als jede zweite Webseite, sind revDSG-konform. Das zeigt: Compliance ist möglich, auch ohne Grosskonzern-Infrastruktur. Aber 19 Prozent sind es klar nicht, weitere 26 Prozent wahrscheinlich nicht. Das ist kein Randproblem für Rechtsexperten. Das ist Betriebsrisiko.

Kein Elektriker, kein Sanitär, kein Malermeister würde eine Installation ausführen, die erkennbar gegen die Norm verstösst, und dann abwarten, bis jemand es meldet. Mit der Unternehmenswebsite tun es 42 von 217. Die Lösung ist weder teuer noch komplex: ein korrekt konfigurierter Consent Manager, eine geprüfte Datenschutzerklärung, ein Performance-Check. Was fehlt, ist die Erkenntnis, dass eine Webseite kein Aushängeschild ist, das man einmal aufhängt. Es ist ein Betriebsmittel, das gewartet werden muss.