Google Fonts und DSGVO: Schriften lokal einbinden und prüfen

Kurz zusammengefasst

• Bei der Standard-Einbindung fragt der Browser des Besuchers die Schriften direkt bei Google an. Dabei erfährt Google die IP-Adresse.
• Das Landgericht München I sah darin 2022 einen Datenschutzverstoß, weil sich Schriften auch lokal einbinden lassen.
• Nach dem Urteil kamen viele Abmahnschreiben. Solche Schreiben sollten Sie weder blind bezahlen noch ignorieren.
• Die Lösung ist lokales Hosting: Schriftdateien auf den eigenen Server legen und im eigenen Stylesheet einbinden.
• Prüfen lässt sich das mit den Entwicklerwerkzeugen des Browsers und einer Suche im Quelltext.

Was beim Laden von Google-Servern passiert

In der Standard-Einbindung enthält die Seite einen Verweis auf fonts.googleapis.com. Von dort kommt eine Stylesheet-Datei, die wiederum auf Schriftdateien bei fonts.gstatic.com zeigt. Beides sind Server von Google. Ruft jemand Ihre Seite auf, stellt sein Browser diese Anfragen selbst. Google erhält dabei die IP-Adresse, Angaben zum Browser und die Adresse der Seite, von der die Anfrage kommt. Die IP-Adresse wird in der Rechtsprechung in aller Regel als personenbezogenes Datum eingeordnet. Der Abruf passiert beim Aufbau der Seite, also meist noch bevor ein Besucher überhaupt auf ein Cookie-Banner reagieren konnte.

Das Urteil des Landgerichts München I

Das Landgericht München I entschied mit Urteil vom 20.01.2022 (Az. 3 O 17493/20) über die Klage eines Website-Besuchers. Auf der Seite des Beklagten waren Google Fonts so eingebunden, dass beim Aufruf die IP-Adresse an Google ging, ohne dass der Besucher eingewilligt hatte. Das Gericht wertete das als Verstoß gegen Datenschutzrecht, verurteilte den Betreiber zur Unterlassung und sprach dem Kläger 100 Euro Schadensersatz zu. Ein wichtiger Gedanke der Begründung: Die Schriften lassen sich auch von der eigenen Seite ausliefern, dann entsteht die Datenübermittlung gar nicht. Ein berechtigtes Interesse, sie trotzdem von Google zu laden, sah das Gericht deshalb nicht.

Zur Einordnung: Es handelt sich um die Entscheidung eines Landgerichts in erster Instanz. Sie bindet andere Gerichte nicht. Seitdem wird sie jedoch häufig zitiert, und viele Betreiber haben sie zum Anlass genommen, ihre Schriften auf den eigenen Server zu holen.

Die Welle von Abmahnschreiben

Nach dem Urteil erhielten zahlreiche Betriebe Schreiben von Einzelpersonen und von Kanzleien, die Unterlassung und eine Zahlung verlangten. Nach Medienberichten wurden die Websites dafür oft automatisiert aufgerufen. Einige Gerichte haben solche massenhaft erhobenen Forderungen später als rechtsmissbräuchlich eingestuft. Wie ein einzelnes Schreiben zu bewerten ist, hängt trotzdem vom Fall ab, eine allgemeine Entwarnung lässt sich daraus nicht ableiten.

Wer ein solches Schreiben bekommt, fährt mit drei Schritten am besten. Notieren Sie die gesetzte Frist. Stellen Sie die Schrift auf lokale Einbindung um und halten Sie fest, wann das geschehen ist. Holen Sie anschließend Rat bei einer Anwältin oder einem Anwalt mit Erfahrung im Datenschutzrecht, statt ungeprüft zu zahlen oder das Schreiben liegen zu lassen.

Die Lösung: Schriften lokal einbinden

Die meisten Schriften aus dem Google-Katalog stehen unter freien Lizenzen, vor allem der SIL Open Font License. Sie dürfen die Dateien herunterladen und auf Ihrem eigenen Server ausliefern. Prüfen Sie die Lizenz der gewählten Schrift trotzdem kurz. So gehen Sie vor:

• Laden Sie nur die Schnitte herunter, die Sie wirklich brauchen, zum Beispiel Normal und Fett, und nur den Zeichensatz für Westeuropa.
• Legen Sie die Dateien im Format WOFF2 auf Ihren Server.
• Binden Sie sie im eigenen Stylesheet über @font-face ein, am besten mit font-display: swap, damit Text sofort sichtbar ist.
• Entfernen Sie jeden Verweis auf fonts.googleapis.com und fonts.gstatic.com.
• Passen Sie die Datenschutzerklärung an. Ein Abschnitt zu Google Fonts als externem Dienst entfällt bei lokaler Einbindung in der Regel.

Als Nebeneffekt werden Seiten meist schneller, weil keine Verbindung zu einem fremden Server mehr aufgebaut werden muss.

Themes, Baukästen und Plugins

Viele Themes und Seitenbaukästen laden Google Fonts von sich aus nach, auch wenn Sie die Schrift im Code längst ersetzt haben. Prüfen Sie die Einstellungen von Theme und Plugins nach einer Option wie „Schriften lokal laden“. Auch eingebundene Dienste wie ein Terminbuchungs-Widget bringen manchmal eigene Schriften mit. Bei einem Friseursalon kann die Startseite sauber sein, während das Buchungselement auf einer Unterseite weiter bei Google anfragt. Nach einem Update von Theme oder Plugin lohnt deshalb ein erneuter Blick.

So prüfen Sie Ihre Seite

• Öffnen Sie die Seite im Browser und drücken Sie F12. Wechseln Sie zum Reiter Netzwerk, laden Sie die Seite neu und filtern Sie nach Schriften. Die Spalte mit der Domain zeigt, woher sie kommen.
• Rufen Sie den Quelltext auf, in den meisten Browsern mit Strg+U, und durchsuchen Sie ihn nach fonts.googleapis.com und fonts.gstatic.com.
• Sehen Sie auch in den Stylesheet-Dateien nach, ob dort eine @import-Anweisung auf Google verweist.
• Prüfen Sie mehrere Unterseiten, nicht nur die Startseite.

Beachten Sie, dass die Datenschutzerklärung nichts über die Technik verrät. Dass dort ein Hinweis fehlt, heißt nicht, dass die Seite sauber ist, und umgekehrt.

Dieselbe Frage bei anderen Fremdressourcen

Das Prinzip gilt nicht nur für Schriften. Auch Icon-Bibliotheken, Skripte aus öffentlichen Auslieferungsnetzwerken oder Kartenmaterial von Fremdservern lösen beim Seitenaufruf Anfragen aus. Wo es möglich ist, gehören die Dateien auf den eigenen Server. Für Dienste, die sich nicht ersetzen lassen, kommt eine Einwilligung in Betracht. Mehr dazu bei Cookies und Einwilligung und bei YouTube und Google Maps.

Seite testen

Der kostenlose DSGVO-Check durchsucht das ausgelieferte HTML der eingegebenen Seite nach fonts.googleapis.com und fonts.gstatic.com, auch in eingebetteten Stilangaben und Skripten. Separate Stylesheet-Dateien lädt er nicht nach. Steckt der Aufruf in einer @import-Anweisung einer solchen Datei oder holt ein externes Skript die Schrift erst im Browser, meldet er nichts, und Unterseiten prüft er nur, wenn Sie sie einzeln eingeben. Weder dieser Text noch das Ergebnis des Checks ersetzt eine Rechtsberatung, der Check liefert technische Hinweise und kein Gutachten.

Bei Websites von Bemuar liegen Schriften und Skripte auf dem eigenen Server, Anfragen an Google Fonts entstehen dabei nicht. Mehr zum Vorgehen unter Webdesign.