Einbinden der Google Fonts - Achtung Abmahnfalle droht!

Google Fonts - dynamisch oder statisch eingebunden? Achtung Abmahnfalle!

Christine Sehle • Sept. 01, 2022

Die schönen Google Fonts können zur Abmahnung führen - sie sind nicht DSGVO-konform

Mal ehrlich, schon wieder hat man es als Webseitenbetreiber oder auch als Agentur, die für ihre Kund*innen Internetpräsenzen erstellt, mit dem Deutschen Datenschutz zu tun.

Dieses Mal stehen die sog. Google Fonts (ehemals: Google Web Fonts) im Fokus.

Die ersten Abmahnwellen rollen und von daher sollten man jetzt besser reagieren.

Doch wie? Und - ist meine Seite überhaupt betroffen?

Benutze ich Web Fonts oder nicht?

Das LG (Landgericht) München befand in seinem Urteil vom 20.01.2022, Az. 3 O 17493/20), dass

eine dynamische Einbindung von US-Webdiensten in eine Internetseite (in diesem falle Google Fonts; gleiches gilt für Google Analytics) ohne Einwilligung der Besucher und Besucherinnen datenschutzwidrig ist.
Sie als Webseiten-Betreiber entsprechend Unterlassung und Schadensersatz schulden.

Das klingt in der Tat beunruhigend. Unten finden Sie zwei kostenlose Tools, mit denen sich das fix herausbekommen lässt.

Doch worum geht's zunächst im Kern und warum die ganze Aufregung?

Was sind Google Fonts?

Google stellt auf dieser Plattform rund 1.400 kostenlose Schriftarten (Fonts), unter Apache Lizenz 2.0 zur Verfügung. Das ist die gute Nachricht, denn dort gibt es wunderschöne Schriften, die vielleicht nicht alle für einen barrierefreien Besuch der Website geeignet sind, die jedoch inspirieren können.

Hat man eine Schriftart gefunden, die gefällt, kann man sie kostenlos herunterladen. Schön. Jetzt wird's tricky.

Die sichere, statische Variante: Font(s) downloaden und in den eigenen Webspace lokal uploaden

Am wenigsten kritisch ist es, wenn man die geünschte Schriftart zunächst herunterlädt, um sie dann - von einem lokalen Speicher - ins Webspace der Website zu laden.

Vorteil: Es gibt keine automatische Verbindung zu Google-Servern.

Die unsichere, dynamische Variante: durch Einbinden der Fonts in den Quellcode der Website

Per Code-Snippet werden die gewünschten Fonts in den HTML-Code der Webseiten eingebunden. Dieses erfolgt nicht per Download, sondern dynamisch, per @import oder<link>.

Beim Aufrufen der Webseite wird die entsprechend eingebundene Schrift von den Google Servern dynamisch zugeladen. In diesem Moment werden IP-Adressen der Besucher an Google übertragen - ohne, dass der- oder diejenige eingewilligt hätte, bzw. überhaupt die Chance gehabt hätte, dem evtl. zu wiedersprechen. Und da liegt der Hase im Pfeffer: Keine Transparenz, keine Einwilligung, kein Widerspruch möglich. Ein berechtigtets Interesse anzunehmen, das dieses rechtfertige, verneinten die Richter.

Was dort bei

fonts.googleapis.com
fonts.gstatic.com

mit den Daten geschieht? Niemand weiß es (woher dann Sie, als Betreiber?) - allerdings schützt Nichtwissen nicht vor Strafe, die unter Umständen teuer werden kann.

Denn eine dynamische IP-Adresse gehört laut DSGVO zu den personenbezogenen Daten (vgl. Art. 4 Nr. 1 DSGVO) Warum? IP–Adressen sind personenbezogene Daten, weil sie indirekt einer Person zugeordnet werden können.

Wie erhält man eine Einwilligung der Nutzer*innen?

Die Abhilfe des Problems besteht darin, über ein sog. Consent-Banner von jedem Besucher eine Einwilligung einzuholen. Dieses wird - genau wie ein Cookie-Banner - vorgeschaltet, der Nuter/die Nutzerin überlegt, in was er/sie alles einwilligt und dann wird weitergesurft. Keine Werbung: Einen lesenwerten Artikel über Cookie-Banner & Co. gibt es bei erecht24.

Unabhängig davon, ob Sie ein Banner via Consent-Tool (hier gibt es einen interessanten Artikel über die besten Tools) oder über eine Consent Management Platform (CMP) (hier: Usercentrics) einbinden: Denken Sie daran, dass Google Fonts ein Datenverarbeitungsservice ist, für den Sie - na, was benötigen? Richtig, einen Vertrag zur Auftragsdatenverarbeitung (ADV).

Spannend daran ist, dass damit im Grunde die Weitergabe von IP-Adressen in die USA legitimiert wird, denn trotz des Vorschaltens existiert hier eine Datenschutzlücke. Die EU und die USA sind sich derzeit noch nicht einig, wie diese zu schließen ist.

Doch immerhin sind Sie als Webseiten-Betreiber fein raus: Sie haben alles erst einmal richtig gemacht und sind nicht in die Abmahnfalle getappt.

Was sollten Sie tun, wenn man Sie abmahnt und von Ihnen Schmerzengeld fordert?

Das LG München hat in seinem o.a. Urteil dem Geschädigten 100 € Schmerzensgeld zugesprochen. Ob es bei Ihnen nach der Abmahnung tatsächlich zu einem Prozess kommt, kann niemand wissen. Wichtig ist, nun erst einmal ruhig zu bleiben und zu prüfen, ob überhaupt eine dynamische Einbindung der Google Fonts vorliegt.

Sind Ihre Fonts tatsächlich dynamisch, wandeln Sie diese am besten erst einmal in statische um. Wenn Sie dieses technisch nicht können, wenden Sie sich an Ihren Webmaster. Arbeiten Sie mit einem Baukasten-System, wenden Sie sich an den Support.

IONOS und Jimdo z. B. haben statische Einbindungen.

Hier gibt es kostenlose Prüftools (keine Werbung, ich verdiene nichts daran!):

Alles Gute für Sie und bei Fragen schreiben Sie mir gern eine E-Mail!