Google Fonts und DSGVO: So erkennen und beheben Sie Verstöße vor der Abmahnung

Das rechtliche Problem: IP-Adresse als personenbezogenes Datum

Die IP-Adresse gilt nach DSGVO und EuGH-Rechtsprechung als personenbezogenes Datum, da sie einer Person zugeordnet werden kann (EuGH C-582/14, Breyer). Bei der externen Einbindung von Google Fonts geschieht technisch Folgendes: Der Browser des Besuchers sendet eine HTTP-Anfrage an fonts.googleapis.com. In dieser Anfrage ist die IP-Adresse des Besuchers enthalten. Google empfängt diese IP-Adresse auf einem Server in den USA und erhält damit Kenntnis über den Besuch des Nutzers auf Ihrer Website.

Nach dem Schrems-II-Urteil des EuGH (2020) ist die Übermittlung personenbezogener Daten in die USA besonders problematisch, da das US-Datenschutzniveau als nicht angemessen gilt. Zwar gibt es seit 2023 das EU-US Data Privacy Framework, doch die Rechtsgrundlage bleibt fragil. Datenschutzaktivist Max Schrems hat bereits angekündigt, auch dieses Abkommen vor dem EuGH anzufechten.

Das LG-München-Urteil und seine Folgen

Das Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20) hat erstmals klargestellt, dass die externe Einbindung von Google Fonts ohne Einwilligung einen DSGVO-Verstoß darstellt. Das Gericht sprach dem Kläger 100 Euro Schmerzensgeld zu und stellte fest, dass die IP-Adresse ein personenbezogenes Datum ist und die Weiterleitung an Google in den USA ohne Rechtsgrundlage erfolgte.

Dieses Urteil hat eine massive Abmahnwelle ausgelöst. Anwaltskanzleien und Privatpersonen haben geschätzt über 100.000 Abmahnungen an deutsche Website-Betreiber verschickt (Verbraucherzentrale). Die geforderten Beträge lagen typischerweise zwischen 100 und 170 Euro Schmerzensgeld plus Anwaltskosten. Mehrere Gerichte haben inzwischen entschieden, dass massenhafte, geschäftsmäßige Abmahnungen als rechtsmissbräuchlich einzustufen sind (LG Baden-Baden, Az. 3 O 277/22). Dennoch bleibt der zugrundeliegende Verstoß bestehen und ist Teil einer umfassenden DSGVO-Compliance-Prüfung.

Erkennung: Lädt meine Website Google Fonts extern?

Viele Website-Betreiber wissen nicht, ob ihre Website Google Fonts extern einbindet. Insbesondere bei der Verwendung von CMS-Themes, Page Buildern oder Plugins geschieht die Einbindung häufig automatisch und ohne das Wissen des Betreibers.

Manuelle Prüfung mit Chrome DevTools

Öffnen Sie Ihre Website im Chrome-Browser, drücken Sie F12, um die DevTools zu öffnen, und wechseln Sie zum Netzwerk-Tab. Laden Sie die Seite neu und filtern Sie nach fonts.googleapis.com oder fonts.gstatic.com. Wenn Einträge vorhanden sind, werden Fonts extern geladen und die IP-Adresse Ihrer Besucher an Google übertragen.

Automatisierte Erkennung mit XICTRAQ

Die manuelle Prüfung hat eine entscheidende Schwäche: Sie prüft nur eine Seite zu einem Zeitpunkt. Eine Website mit 100 Unterseiten kann auf verschiedenen Seiten unterschiedliche Fonts einbinden, besonders wenn verschiedene Templates oder Plugins zum Einsatz kommen. XICTRAQ scannt alle Seiten Ihrer Website automatisiert und erkennt jede externe Verbindung zu Google-Font-Servern. Das Compliance-Modul klassifiziert diese Verbindungen als DSGVO-relevant und gibt konkrete Handlungsempfehlungen im Dashboard.

WordPress, Shopware und andere CMS

Viele CMS-Themes und Plugins binden Google Fonts standardmäßig extern ein. In WordPress laden Themes wie Astra, GeneratePress oder OceanWP sowie Page Builder wie Elementor und Divi Google Fonts über die Google-Server. In Shopware können Themes und Erweiterungen ebenfalls externe Fonts einbinden. Prüfen Sie die Theme-Einstellungen Ihres CMS und deaktivieren Sie das externe Laden, wenn die Option verfügbar ist.

Lösung: Google Fonts lokal hosten in vier Schritten

Das lokale Hosting von Google Fonts eliminiert die Datenübertragung an Google vollständig. Die Umstellung ist technisch unkompliziert und bietet neben dem Datenschutzaspekt auch Performance-Vorteile.

Schritt 1: Schriftarten identifizieren und herunterladen

Identifizieren Sie zunächst, welche Schriftarten und Schriftschnitte Ihre Website verwendet. Laden Sie die benötigten Schriftdateien von der Google Fonts Website oder über den Google Webfonts Helper herunter. Für moderne Browser reicht das WOFF2-Format aus, das die beste Kompression bietet. Laden Sie zusätzlich WOFF als Fallback für ältere Browser herunter.

Schritt 2: Schriften auf dem eigenen Server ablegen

Kopieren Sie die Schriftdateien in ein Verzeichnis auf Ihrem Webserver, beispielsweise /fonts/ oder /assets/fonts/. Stellen Sie sicher, dass die Dateien über HTTPS erreichbar sind und die korrekten MIME-Types gesetzt sind: font/woff2 für WOFF2 und font/woff für WOFF.

Schritt 3: CSS-Referenzen anpassen

Ersetzen Sie die Einbindung über Google-Server durch lokale @font-face-Deklarationen in Ihrem CSS. Statt eines <link>-Tags zu fonts.googleapis.com definieren Sie die Schriftarten direkt in Ihrem Stylesheet mit dem lokalen Pfad. Verwenden Sie font-display: swap, damit der Text sofort mit einer Fallback-Schrift sichtbar ist, und unicode-range, um nur die tatsächlich benötigten Zeichensätze zu laden.

@font-face {
  font-family: 'Roboto';
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url('/fonts/roboto-v32-latin.woff2') format('woff2'),
       url('/fonts/roboto-v32-latin.woff') format('woff');
  unicode-range: U+0000-00FF, U+0131, U+0152-0153;
}

Schritt 4: Externe Verbindungen entfernen und prüfen

Entfernen Sie alle <link>-Tags und @import-Regeln, die auf fonts.googleapis.com oder fonts.gstatic.com verweisen. Prüfen Sie auch Plugins, Themes und externe Scripts, die möglicherweise eigene Google-Font-Einbindungen enthalten. Validieren Sie anschließend mit den Chrome DevTools, dass keine Verbindungen mehr zu Google-Font-Servern bestehen.

Nicht nur Google Fonts: Alle externen Ressourcen prüfen

Das Datenschutzproblem beschränkt sich nicht auf Google Fonts. Jede externe Ressource, die beim Seitenaufruf ohne Einwilligung geladen wird und dabei die IP-Adresse des Besuchers an einen Drittserver übermittelt, stellt potenziell einen DSGVO-Verstoß dar.

• CDN-gehostete Bibliotheken: jQuery, Bootstrap, Font Awesome oder andere Libraries, die von cdnjs, unpkg oder jsdelivr geladen werden
• Externe Bilder und Icons: Gravatar-Bilder, Social-Media-Icons von externen Servern, eingebettete Bilder von Drittanbietern
• Eingebettete Karten: Google Maps oder OpenStreetMap-Einbindungen, die beim Seitenaufruf bereits Daten übertragen
• Video-Embeds: YouTube- oder Vimeo-Einbettungen, die ohne Zwei-Klick-Lösung Daten an US-Server senden
• Analytics ohne Consent: Tracking-Pixel und Analytics-Scripts, die vor der Einwilligung laden

Performance-Vorteile durch lokales Hosting

Lokales Font-Hosting bietet neben dem Datenschutzaspekt erhebliche Performance-Vorteile. Wenn Fonts vom eigenen Server geladen werden, entfällt die DNS-Auflösung und der TCP-Verbindungsaufbau zu einem externen Server. Bei HTTPS kommen noch TLS-Handshake und Certificate Verification hinzu, die bei einem externen Server zusätzliche Latenz verursachen.

In Kombination mit Preload-Hints (<link rel="preload" as="font" type="font/woff2" href="/fonts/roboto.woff2" crossorigin>) können Sie die Ladezeit für Schriftarten um 200-400ms reduzieren. Darüber hinaus haben Sie beim lokalen Hosting volle Kontrolle über die Caching-Header. Während Google Fonts mit relativ kurzen Cache-Zeiten von einem Jahr ausgeliefert werden, können Sie lokale Font-Dateien mit immutable Caching versehen, das Folgebesuche noch schneller macht.

Die verbesserte Ladezeit wirkt sich positiv auf die Core Web Vitals aus, insbesondere auf den LCP-Wert (Largest Contentful Paint), wenn Text der größte sichtbare Inhalt der Seite ist. XICTRAQ überwacht Ihre Performance-Metriken und zeigt Ihnen, wie sich das lokale Font-Hosting auf die Ladezeit auswirkt.

Automatisierte Überwachung externer Verbindungen

Die manuelle Prüfung aller externen Verbindungen ist aufwändig und fehleranfällig. Unterschiedliche Seiten können unterschiedliche Scripts und Ressourcen laden. Nach jedem CMS-Update oder Plugin-Installation können neue externe Verbindungen entstehen, ohne dass der Website-Betreiber dies bemerkt.

XICTRAQ scannt Ihre Website automatisch auf alle externen Verbindungen und klassifiziert sie nach Datenschutzrelevanz. Das Compliance-Modul erkennt, ob Google Fonts oder andere externe Ressourcen ohne Einwilligung geladen werden und ob CDN-gehostete Bibliotheken lokal verfügbar gemacht werden sollten. Das Ergebnis: Ein übersichtliches Dashboard mit konkreten Handlungsempfehlungen und einem Security-Score, der den Gesamtzustand Ihrer Website bewertet.

Abmahnung erhalten: Was jetzt zu tun ist

Falls Sie bereits eine Abmahnung wegen extern eingebundener Google Fonts erhalten haben, sollten Sie die folgenden Schritte befolgen.

1. Ruhe bewahren und Frist notieren: Reagieren Sie nicht überstürzt, aber beachten Sie die gesetzten Fristen. Typischerweise werden 10-14 Tage für eine Stellungnahme eingeräumt.
2. Anwaltliche Beratung einholen: Lassen Sie die Abmahnung von einem Rechtsanwalt prüfen. Viele massenhafte Abmahnungen wurden von Gerichten als rechtsmissbräuchlich eingestuft (LG Baden-Baden, Az. 3 O 277/22).
3. Problem sofort beheben: Unabhängig von der rechtlichen Bewertung der Abmahnung sollten Sie Google Fonts umgehend lokal hosten. Das beseitigt den zugrundeliegenden Verstoß.
4. Keine Unterlassungserklärung ohne rechtliche Prüfung: Unterschreiben Sie keine Unterlassungserklärung, ohne deren Inhalt und Folgen von einem Anwalt prüfen zu lassen.
5. Monitoring einrichten: Stellen Sie mit automatisiertem Compliance-Monitoring sicher, dass keine neuen externen Font-Verbindungen entstehen.

Prävention: Externe Verbindungen dauerhaft verhindern

Der beste Schutz vor Abmahnungen ist die vollständige Vermeidung externer Datenübertragungen ohne Rechtsgrundlage. Neben dem lokalen Hosting aller Ressourcen sollten Sie eine Content-Security-Policy (CSP) implementieren, die Verbindungen zu externen Font-Servern auf Server-Ebene blockiert. So stellen Sie sicher, dass auch neue Plugins oder Themes keine externen Fonts einbinden können.

Kombinieren Sie diese technischen Maßnahmen mit einem funktionierenden Consent-Management und einer aktuellen Datenschutzerklärung. XICTRAQ überwacht alle drei Bereiche kontinuierlich und benachrichtigt Sie bei Verschlechterungen. So erkennen Sie Probleme, bevor ein Abmahnanwalt sie findet, und schützen Ihr Unternehmen proaktiv vor rechtlichen Risiken.

Häufig gestellte Fragen zu Google Fonts und DSGVO