Vorab ein Hinweis: Dies ist eine Erklärung in Klartext, keine Rechtsberatung. Für Ihren konkreten Fall lassen Sie die Details von Ihrem eigenen Anwalt bestätigen. Es folgt das technische Bild und die Lösung - der Teil, den Sie heute umsetzen können.
Worum es geht
Die meisten Websites verwenden eine schöne Schriftart, und jahrelang war Google Fonts der einfachste Weg dazu. Sie fügen eine Zeile in Ihre Seite ein, und die Schriftart lädt direkt von Googles Servern - fonts.googleapis.com und fonts.gstatic.com - jedes Mal, wenn jemand die Seite besucht.
Genau diese Bequemlichkeit ist das Problem. Um die Schrift von Google zu holen, muss der Browser des Besuchers eine Verbindung zu Google aufbauen, und diese Verbindung überträgt seine IP-Adresse an einen Server in den USA. Das geschieht automatisch, bevor der Besucher irgendetwas zugestimmt hat, und meist ohne dass der Seitenbetreiber es überhaupt bemerkt. Nach der DSGVO ist eine IP-Adresse ein personenbezogenes Datum, und die Übermittlung an einen Dritten in den USA ohne Rechtsgrundlage ist ein Datenschutzproblem.
Das Münchner Urteil, das alles auslöste
Im Januar 2022 entschied das Landgericht München I einen Fall genau zu diesem Punkt. Ein Besucher verklagte einen Website-Betreiber, weil die Seite Google Fonts auf die entfernte Weise eingebunden hatte und so die IP-Adresse des Besuchers ohne Einwilligung an Google weitergab. Das Gericht stimmte zu, dass dies die Rechte des Besuchers verletzt, und sprach dem Besucher Schadensersatz zu.
Landgericht München I, 20. Januar 2022, Az. 3 O 17493/20
Das Gericht sah in der automatischen Übermittlung der IP-Adresse des Besuchers an Google, die durch das entfernte Einbinden von Google Fonts ohne Einwilligung entsteht, einen unzulässigen Eingriff in das Persönlichkeitsrecht des Besuchers und sprach Schadensersatz gegen den Seitenbetreiber zu.
Ein Schadensersatz an einen Besucher ist gering. Was dieses Urteil bedeutsam machte, war das, was danach geschah.
Die Welle der Abmahnungen
Eine Abmahnung ist ein förmliches Unterlassungsschreiben. In Deutschland kann ein Anwalt, ein Wettbewerber oder eine angeblich betroffene Person eine solche versenden und verlangen, dass Sie einen Missstand beseitigen, eine strafbewehrte Unterlassungserklärung unterzeichnen und die Kosten tragen. Nach dem Münchner Urteil ließ sich das Google-Fonts-Problem leicht automatisch erkennen - man scannt eine Seite einfach nach einem Aufruf an Googles Font-Server - und das Urteil lieferte eine fertige Vorlage. Tausende deutsche Seitenbetreiber erhielten Schreiben, die oft eine Zahlung von rund 170 Euro forderten, damit die Sache erledigt sei.
Das Risiko ist also real. Aber hier ist der Teil, den die Schreiben nicht bewarben.
Nicht jedes Schreiben war rechtmäßig
Viele der massenhaften "170 Euro zahlen"-Schreiben waren selbst rechtlich zweifelhaft. Wenn dieselbe Forderung per automatischem Scan an Hunderte oder Tausende Seiten geschickt wird, haben Gerichte und Behörden dies kritisch gesehen - es wirkt dann weniger wie ein echtes Datenschutz-Anliegen und mehr wie ein Geschäftsmodell. Gegen einige der Absender dieser Wellen wurde ermittelt, und spätere Schreiben dieser Art galten weithin als nicht durchsetzbar. Manche ignorierten sie auf anwaltlichen Rat schlicht.
Die Lehre daraus ist Ausgewogenheit, nicht Panik. Der Massenversand-Trick bedeutet nicht, dass das zugrunde liegende Problem erfunden wäre. Entfernt eingebundene Google Fonts ohne Einwilligung sind ein echtes DSGVO-Problem - das Münchner Gericht hat es so gesehen. Die gute Nachricht: Es ist eines der am leichtesten vollständig zu beseitigenden Probleme im gesamten Web, sodass Sie sich unabhängig davon, wer die Schreiben versendet, aus der Schusslinie nehmen können.
Die Lösung: Fonts selbst hosten
Die saubere Lösung ist, Schriften gar nicht mehr von Google zu laden. Stattdessen hosten Sie sie selbst:
- Die Schriftdateien (die modernen
.woff2-Versionen) einmal herunterladen. - Sie auf Ihren eigenen, idealerweise EU-gehosteten Server legen, neben den Rest Ihrer Seite.
- Sie aus Ihrem eigenen Stylesheet mit einer normalen
@font-face-Regel einbinden. - Die alte Zeile entfernen, die die Schrift von Google geholt hat.
Die Seite sieht identisch aus. Der Unterschied ist für Besucher unsichtbar und in der Wirkung vollständig: Die Schrift kommt jetzt von Ihrem Server, sodass nie eine Besucher-IP an Google gesendet wird. Für einen Scanner gibt es nichts mehr zu melden und nichts, dem zugestimmt werden müsste. Es kostet nichts außer etwas Aufbauzeit, und die meisten Schriften bei Google Fonts sind für genau diesen Zweck offen lizenziert.
Dieselbe Logik gilt für die ganze Familie entfernt eingebundener Dritter. Eine Google-Karte, ein YouTube-Video, ein von einem US-CDN geladenes Skript, ein Meta- oder LinkedIn-Pixel - jedes davon kontaktiert leise einen fremden Server und kann Besucherdaten in dem Moment übergeben, in dem die Seite öffnet. Das Muster ist immer gleich: entweder selbst hosten oder ein "Zum Laden klicken"-Einwilligungs-Gate davorsetzen, damit nichts lädt, bevor der Besucher es wählt.
So prüfen Sie Ihre eigene Seite in zwei Minuten
Sie brauchen keine Werkzeuge, um zu sehen, ob Ihre eigene Seite das Google-Fonts-Problem hat:
- Den Quelltext ansehen. Rechtsklick auf die Seite, "Seitenquelltext anzeigen", dann (Strg/Cmd+F) nach
fonts.googleapis.comsuchen. Erscheint es in einem Stylesheet-Link, laden Ihre Schriften von Google. - Den Netzwerk-Tab prüfen. Die Entwicklertools des Browsers öffnen (F12), zum Netzwerk-Tab wechseln, die Seite neu laden und nach
fonts.gfiltern. Jede Anfrage anfonts.googleapis.comoderfonts.gstatic.combedeutet, dass bei jedem Laden Besucherdaten an Google gehen. - Keine solchen Anfragen? Dann sind Ihre Schriften entweder bereits selbst gehostet, oder Sie nutzen Systemschriften - beides ist in Ordnung.
Finden Sie diese Anfragen, ist das der häufigste und am leichtesten behebbare Abmahn-Auslöser - und es lohnt sich, ihn zuerst anzugehen.
Wie wir das handhaben
Jede Seite, die wir bauen, hostet ihre Schriften standardmäßig selbst. Die Schriftdateien liegen auf demselben EU-gehosteten Server wie die Seite und werden lokal ausgeliefert - Sie sehen es im Quelltext dieser Seite, wo die Schriften aus /fonts/ vorgeladen werden statt von Google. Das heißt: Kunden sind bei genau diesem Punkt vom ersten Tag an DSGVO-sicher, ohne etwas nachrüsten zu müssen und ohne ein wartendes Abmahnschreiben.
Google Fonts ist nur ein Punkt auf einer kurzen Liste bekannter Probleme, die eine Seite zu einem leichten Ziel machen. Für das größere Bild lesen Sie, was "DSGVO-sicher" wirklich bedeutet, oder gehen Sie vor dem nächsten Launch die DSGVO-Checkliste durch.