Google Fonts auf der Website: Warum das ein Abmahnrisiko ist
Lädt eine Website Google Fonts direkt von Google-Servern, wird bei jedem Besuch die IP-Adresse des Besuchers ohne Einwilligung in die USA übertragen. Das Landgericht München wertete das als Datenschutzverstoß und sprach dem Besucher 100 € zu (LG München I, 20.01.2022, Az. 3 O 17493/20). Danach folgte eine Welle von Zahlungsaufforderungen. Das Risiko lässt sich in einer Stunde beseitigen – mit lokal eingebundenen Schriften.
Was sind Google Fonts und wo liegt das Problem?
Google Fonts ist eine Bibliothek mit rund 1300 kostenlosen Schriftarten, die auf sehr vielen Websites eingesetzt werden. Das Problem sind nicht die Schriften selbst, sondern die Art der Einbindung. Bei der „dynamischen“ Variante lädt der Browser die Schrift direkt vom Google-Server – und übermittelt dabei die IP-Adresse des Besuchers.
Die IP-Adresse ist ein personenbezogenes Datum (Art. 4 Nr. 1 DSGVO). Wer sie ohne Einwilligung an Google weitergibt, verarbeitet fremde Daten ohne Rechtsgrundlage. Der Google-Server steht in den USA, wo laut Schrems-II-Urteil des EuGH (C-311/18) kein gleichwertiges Datenschutzniveau besteht. Genau daraus entsteht das Risiko.
Warum ist die dynamische Einbindung ein DSGVO-Verstoß?
Das Landgericht München entschied: Die dynamische Einbindung von Google Fonts ohne Einwilligung verstößt gegen den Datenschutz. Ein „berechtigtes Interesse“ (Art. 6 Abs. 1 f DSGVO) greift nicht – denn die Schrift lässt sich auch lokal einbinden, ganz ohne Datenübertragung an Google. Wenn ein sicherer Weg existiert, entfällt das Interesse, die IP in die USA zu senden.
Dem Besucher wurden drei Dinge zugesprochen: Unterlassung der IP-Weitergabe, Auskunft über die verarbeiteten Daten (Art. 15) und 100 € Schadensersatz für den immateriellen Schaden (Art. 82 DSGVO). Das Gericht stellte ausdrücklich klar: Der Besucher muss seine eigene IP nicht per VPN verschleiern – für den Datenschutz ist der Website-Betreiber verantwortlich, nicht der Besucher.
Was droht konkret: Abmahnung und 100 Euro?
Das Hauptrisiko ist nicht das behördliche Bußgeld, sondern die Abmahnung: ein Schreiben mit einer Zahlungsforderung, meist über dieselben 100 €, mit Verweis auf das Münchener Urteil. Nach Januar 2022 gingen solche Schreiben massenhaft raus – der Absender behauptet, an einem bestimmten Tag auf der Seite gewesen zu sein, legt seine IP bei und fordert die Zahlung innerhalb einer kurzen Frist.
Aufsichtsbehörden verfolgen kleine Betriebe wegen Schriften in der Regel nicht. Aber ein Schreiben von einer Privatperson kommt weit häufiger als eine Prüfung durch den Staat. Und es setzt unter Druck: fremde Rechtssprache, eine Frist, eine Summe – da zahlen viele lieber, als sich damit zu befassen. Genau darauf ist das Ganze angelegt.
Muss ich zahlen, wenn ein Schreiben kommt?
Automatisch nein. Viele der Massenschreiben von 2022 wurden von Gerichten als zweifelhaft oder als Rechtsmissbrauch eingestuft. Ein bekanntes Beispiel: Ein Serien-Abmahner verlor, als der Empfänger nicht zahlte, sondern eine negative Feststellungsklage einreichte (AG Berlin-Charlottenburg, 20.12.2022, Az. 217 C 64/22). Das massenhafte Versenden gleichlautender Forderungen ist etwas anderes als der reale Kläger im Münchener Fall.
Das heißt nicht „ignoriere jedes Schreiben“. Ein konkretes Schreiben sollte ein Anwalt prüfen – ich gebe keine Rechtsberatung. Aber vorschnell auf das erste Schreiben zu zahlen, ist nicht nötig. Sinnvoller ist es, die Ursache zu schließen: Gibt die Website keine IP mehr an Google weiter, gibt es nichts zu fordern.
Wie beseitige ich das Risiko dauerhaft?
Die Lösung ist technisch und einfach: Schriften lokal einbinden. Die Schriftdateien werden heruntergeladen und liegen auf Ihrem Server, der Browser des Besuchers holt sie von Ihrer Website statt von Google. Keine IP-Übertragung in die USA – also auch kein Anlass für eine Forderung.
Die Prüfung der eigenen Seite dauert wenige Minuten: Kostenlose Scanner zeigen, ob Schriften von google.com nachgeladen werden. Wenn ja, werden sie lokal eingebunden. Bei einer sauber gebauten Website ist das eine Stunde Arbeit. Prüfen Sie gleich die anderen externen Google-Aufrufe mit – Karten, Icon-Fonts, Analytics –, denn dort ist die Risikomechanik dieselbe.
Ich baue Websites von Anfang an mit lokalen Schriften und ohne versteckte Aufrufe an fremde Server – als Teil der Website-Entwicklung nach deutschen Anforderungen. Wenn schon eine Website besteht und Sie unsicher sind, ist das das Erste, was Sie prüfen sollten – zusammen mit Impressum und Datenschutz.
Häufige Fragen
Geben Sie die Adresse in einen kostenlosen Google-Fonts-Scanner ein – er zeigt in Sekunden, ob Schriften von Google-Servern geladen werden. Oder öffnen Sie in den Entwicklertools (Tab „Network“) die Seite und prüfen, ob Anfragen an fonts.googleapis.com oder fonts.gstatic.com gehen. Wenn ja, werden die Schriften dynamisch geladen.
Nein. Ein Hinweis in der Datenschutzerklärung stoppt die IP-Übertragung nicht – die Daten gehen bei jedem Besuch trotzdem in die USA. Es schützt nicht der Text, sondern die technische Einstellung: die Schriften auf den eigenen Server holen. Ein Eintrag in der Datenschutzerklärung ist nur dann sinnvoll, wenn Sie einen externen Dienst bewusst behalten und dafür per Banner eine Einwilligung einholen – für Schriften ist das unnötig kompliziert.
Das Risiko liegt nicht in der Größe der Seite, sondern in der Datenübertragung selbst. Die Massenschreiben werden automatisiert an beliebige Seiten verschickt – die Betriebsgröße spielt für den Absender keine Rolle. Der Schutz ist aber für alle gleich: externen Aufruf entfernt, Risiko entfernt. Eine kleine Seite ist sogar schneller abgesichert.
Nein. Dieselbe Mechanik gilt für jeden externen Aufruf an Server außerhalb der EU: Google Maps, eingebettete Videos, Analyse-Skripte, Icon-Fonts von fremden CDNs. Alles, was von einem fremden Server nachgeladen wird und die IP des Besuchers überträgt, ist ein potenzielles Risiko. Google Fonts ist nur der häufigste und von Abmahnern am stärksten genutzte Fall.