Google Fonts lokal einbinden statt extern laden

Bindet eine Website eine Schriftart über eine Adresse wie fonts.googleapis.com ein, lädt die Datei nicht vom eigenen Server, sondern direkt von einem Server von Google. Um die Datei zu bekommen, ruft der Browser der Besucherin oder des Besuchers diesen Server selbst auf und überträgt dabei dessen IP-Adresse, und zwar bevor überhaupt etwas auf der Seite angeklickt wurde.

In der Europäischen Union gilt eine IP-Adresse als personenbezogenes Datum, weil sich damit zusammen mit weiteren Informationen eine Person bestimmen lässt. Die Übermittlung an einen fremden Server braucht deshalb eine Rechtsgrundlage, und der bloße Komfort einer schön aussehenden Schriftart reicht dafür nicht.

Am 20. Januar 2022 sprach das Landgericht München I im Verfahren 3 O 17493/20 einem Websitebesucher 100 Euro Schadensersatz nach Artikel 82 DSGVO zu. Grund war, dass die Website dessen IP-Adresse ohne Einwilligung an Google übermittelt hatte.

Das Gericht unterscheidet zwei Einbindungsarten. Bei der dynamischen Einbindung wird die Datei bei jedem Seitenaufruf erneut von einem fremden Server geholt. Bei der lokalen Einbindung liegt die Datei auf dem eigenen Server und es findet keine externe Abfrage statt. Beanstandet wurde im Verfahren die dynamische Variante.

Nach dem Urteil gingen in Deutschland zahlreiche Schreiben mit derselben Forderung über 100 Euro heraus, ein Teil davon offenbar automatisiert und ohne dass die angeblich betroffene Person die jeweilige Website je besucht hatte. Ein berechtigtes Schreiben lässt sich nicht immer auf den ersten Blick von einer Massenaktion unterscheiden, vorschnell reagieren sollte man deshalb nicht.

Die eigene Website lässt sich in wenigen Minuten und ohne Spezialwerkzeug prüfen. Öffnen Sie die Seite im Browser, drücken Sie F12, wechseln Sie auf den Reiter Netzwerk und laden Sie neu. Tauchen dabei Anfragen an fonts.googleapis.com oder fonts.gstatic.com auf, werden Schriften extern geladen.

Die Umstellung auf eine lokale Einbindung läuft so ab. Die Schriftdateien werden heruntergeladen und zu den übrigen Dateien der Website gelegt, im Stylesheet wird eine font-face-Regel mit dem eigenen Pfad ergänzt, und die alte Zeile mit dem Verweis auf Google verschwindet. Bei WordPress stammt diese Zeile häufig aus dem Theme oder einem Plugin statt aus den eigenen Einstellungen, deshalb lohnt sich die Prüfung im Netzwerk-Reiter erneut nach der Umstellung und nach jedem Theme-Update.

Nach demselben Muster arbeiten weitere eingebundene Elemente. Karten, Videoplayer, Spamschutz und Skripte von fremden Content Delivery Networks übertragen die IP-Adresse genauso, sofern sie direkt von einem fremden Server geladen werden, bevor überhaupt eine Einwilligung vorliegt.

Liegt bereits ein Schreiben vor, ist die sinnvolle Reihenfolge, zuerst die Ursache auf der Website zu beseitigen und erst danach die Forderung zu bewerten. Eine Zahlung auf das erste Schreiben und eine Unterschrift unter eine beigefügte Unterlassungserklärung ohne anwaltliche Prüfung können am Ende teurer werden als der geforderte Betrag.

Lokale Schriften bringen einen praktischen Nebeneffekt mit sich, die Seite wartet nicht mehr auf die Antwort einer fremden Domain und zeigt den Text früher an.

Dieser Text erklärt den technischen und rechtlichen Hintergrund und ersetzt keine Rechtsberatung. Die Bewertung eines konkreten Schreibens und einer konkreten Website hängt immer von den Einzelheiten des Falls ab.