DSGVO und Google Fonts

Worin das Problem besteht

Google Fonts ist eine große Sammlung kostenfreier Schriften. Sie lassen sich auf zwei Wegen einbinden: Man lädt die Schriftdateien herunter und legt sie auf den eigenen Server – oder man bindet sie per Verweis auf Googles Server ein.

Der zweite Weg ist bequemer und war jahrelang Standard. Er hat aber eine Folge, die man dem Ergebnis nicht ansieht: Beim Aufruf Ihrer Website baut der Browser des Besuchers eine Verbindung zu einem Google-Server auf. Dabei wird zwangsläufig die IP-Adresse übertragen – noch bevor der Besucher irgendetwas anklicken oder zustimmen konnte.

Die IP-Adresse gilt nach der DSGVO als personenbezogenes Datum. Für die Übermittlung braucht es eine Rechtsgrundlage. Genau daran hakt es: Eine Einwilligung liegt nicht vor, weil nichts gefragt wurde. Und notwendig ist die Übertragung nicht, denn die Schriften lassen sich ebenso gut vom eigenen Server ausliefern.

Das Urteil und die Abmahnwelle

Im Januar 2022 entschied das Landgericht München I, dass die dynamische Einbindung von Google Fonts ohne Einwilligung das Recht auf informationelle Selbstbestimmung verletzt, und sprach dem Kläger Schadenersatz zu. Die Summe war gering – die Wirkung nicht.

In den Monaten danach erhielten zahlreiche Website-Betreiber Schreiben, in denen unter Verweis auf dieses Urteil Zahlungen gefordert wurden, oft im Bereich von 100 bis 200 Euro. Vieles davon war massenhaft automatisiert verschickt und in seiner Berechtigung zweifelhaft; mehrere Absender gerieten selbst ins Visier der Behörden.

Für Betroffene änderte das wenig am Ärger. Und der eigentliche Punkt bleibt unabhängig von zweifelhaften Absendern bestehen: Die technische Ursache war real.

Wie die Lage heute ist

Seit 2023 gibt es mit dem EU-US Data Privacy Framework wieder eine Grundlage für Datenübermittlungen an zertifizierte US-Anbieter, unter die auch Google fällt. Das entschärft einen Teil der Diskussion – den über den Drittlandtransfer.

Es löst aber nicht das Kernproblem: Auch innerhalb der EU braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Wenn sich derselbe Zweck ohne Datenübermittlung erreichen lässt – und das ist hier der Fall –, ist die Übermittlung schwer zu rechtfertigen.

Praktische Schlussfolgerung: Die Rechtslage mag sich weiter verändern. Die Lösung nicht. Schriften lokal einzubinden ist datenschutzrechtlich unbedenklich, technisch besser und kostet einmalig etwas Aufwand. Wer das erledigt hat, muss die Debatte nicht mehr verfolgen.

Eigene Website prüfen

Es gibt drei einfache Wege, das selbst festzustellen:

Im Quelltext suchen

Öffnen Sie Ihre Website, zeigen Sie den Seitenquelltext an (meist Strg+U beziehungsweise Cmd+U) und suchen Sie nach fonts.googleapis.com oder fonts.gstatic.com. Finden Sie einen Treffer, werden Schriften extern geladen.

Über die Entwicklerwerkzeuge

Mit F12 die Entwicklerwerkzeuge öffnen, zum Reiter „Netzwerk" wechseln und die Seite neu laden. In der Liste der Anfragen sehen Sie jede Verbindung nach außen – nicht nur zu Google.

Nicht vergessen: alle Seiten

Prüfen Sie nicht nur die Startseite. Zusatzmodule, Formulare oder einzelne Vorlagen binden Schriften manchmal nur auf bestimmten Seiten ein.

Wenn Sie das nicht selbst machen möchten: Unser kostenloser Website-Check prüft unter anderem, welche externen Verbindungen Ihre Website aufbaut.

Die saubere Lösung

Die Schriften gehören auf den eigenen Server. Das Vorgehen im Grundsatz:

• Die benötigten Schriftschnitte herunterladen – nur die, die wirklich verwendet werden
• Ins moderne Format WOFF2 bringen, falls nicht schon vorhanden
• Per @font-face in die eigenen Stilvorgaben einbinden
• Alle Verweise auf Googles Server entfernen – auch die in Themes und Zusatzmodulen
• Anschließend erneut im Quelltext prüfen, ob wirklich nichts übrig ist

Bei WordPress erledigen das je nach Theme entweder eine Einstellung, ein Zusatzmodul oder eine Anpassung im Theme. Wichtig ist der letzte Schritt: nach der Umstellung erneut prüfen. Häufig bleibt ein Verweis in einem Zusatzmodul zurück, und dann war die Arbeit umsonst.

Nebenbei wird die Website dadurch schneller: Eine Verbindung zu einem fremden Server weniger bedeutet weniger Wartezeit beim Aufbau.

Dieselbe Falle bei anderen Diensten

Google Fonts hat die meiste Aufmerksamkeit bekommen, ist aber nur ein Beispiel. Nach demselben Muster funktionieren:

• Google Maps: Karten laden beim Seitenaufruf – besser erst nach ausdrücklicher Zustimmung
• YouTube-Videos: ebenso; der erweiterte Datenschutzmodus mildert es, ersetzt die Zustimmung aber nicht
• Schrift- und Symbol-Dienste anderer Anbieter
• Externe Skript-Bibliotheken, die aus einem fremden Netz geladen werden
• Bot-Schutz und Analysewerkzeuge – hier lohnt der Blick auf datenschutzfreundliche Alternativen

Die Faustregel ist immer dieselbe: Alles, was ohne Zutun des Besuchers eine Verbindung nach außen aufbaut, gehört geprüft. Entweder lokal einbinden oder erst nach Einwilligung laden.

Wenn Post kommt

Sollten Sie ein Schreiben erhalten, gilt vor allem eines: nicht überstürzt handeln.

• Nicht ungeprüft zahlen. Ein Teil dieser Schreiben war in der Vergangenheit unberechtigt.
• Nichts unterschreiben, was Sie nicht verstanden haben – eine Unterlassungserklärung bindet oft dauerhaft.
• Fristen notieren, aber nicht in Panik verfallen.
• Ursache umgehend beheben, unabhängig davon, wie Sie mit dem Schreiben umgehen.
• Rechtsrat einholen – bei einem Fachanwalt für IT-Recht.

Hinweis: Dieser Text ordnet ein und ersetzt keine Rechtsberatung. Verbindliche Auskünfte gibt ein Fachanwalt. Für rechtssichere Texte auf der Website arbeiten wir mit eRecht24 zusammen – Näheres unter Empfehlungen.