Google-Fonts-Checker

Google Fonts ist das Musterbeispiel für ein Datenschutzproblem, von dem der Betreiber nichts weiß. Niemand entscheidet sich bewusst dafür, die IP-Adresse jedes Besuchers an einen amerikanischen Anbieter zu senden. Es passiert, weil ein Theme, ein Plugin oder eine Agentur es so eingebaut hat.

Worum es technisch geht

Es gibt zwei Wege, eine Schriftart einzubinden.

Dynamisch. Die Website weist den Browser an, die Schrift von einem Google-Server zu holen. Bei jedem Aufruf entsteht damit eine Verbindung des Besuchers zu Google – übermittelt werden dabei mindestens IP-Adresse, Zeitpunkt, aufgerufene Seite und Browserkennung.

Lokal. Die Schriftdateien liegen auf Ihrem eigenen Server und werden von dort ausgeliefert. Zu Google besteht keine Verbindung. Für den Besucher sieht die Seite identisch aus.

Der Geschwindigkeitsvorteil, mit dem die dynamische Einbindung einmal begründet wurde, ist entfallen: Moderne Browser teilen ihren Zwischenspeicher nicht mehr zwischen Websites, weshalb die Schrift ohnehin für jede Seite neu geladen wird. Lokal ausgeliefert ist sie heute in der Regel schneller.

Die rechtliche Lage

Das Landgericht München I hat am 20. Januar 2022 entschieden, dass die dynamische Einbindung von Google Fonts ohne Einwilligung das Recht auf informationelle Selbstbestimmung verletzt, und dem Kläger Schadensersatz zugesprochen. Maßgeblich war, dass die IP-Adresse ein personenbezogenes Datum ist und ohne Rechtsgrundlage an einen Dritten übermittelt wurde – ein berechtigtes Interesse verneinte das Gericht, weil die Schriften ebenso gut lokal ausgeliefert werden können.

Zwei Punkte werden dabei regelmäßig missverstanden:

Es geht nicht nur um Google. Dieselbe Betrachtung trifft jede eingebundene Fremdressource, die beim Seitenaufruf geladen wird – Kartendienste, Videoplayer, Symbolbibliotheken, Skripte von Content Delivery Networks, eingebettete Beiträge sozialer Netzwerke.

Eine Einwilligung ist der schlechtere Weg. Zwar ließe sich die Übermittlung auf eine Einwilligung nach § 25 TDDDG stützen. Praktisch bedeutet das aber: Wer ablehnt, bekommt die Seite ohne die vorgesehene Schrift. Die lokale Einbindung löst das Problem, statt es an den Besucher weiterzureichen.

Auf die Entscheidung folgte eine Welle von Abmahnschreiben, teils in automatisierter Massenaussendung. Ein Teil davon war rechtsmissbräuchlich, und Gerichte haben dem entsprechend eine Absage erteilt. Das ändert nichts am Ausgangspunkt: Die dynamische Einbindung bleibt angreifbar.

Prüfen, ob es Sie betrifft

Der kostenlose Website-Check ruft Ihre Seite auf und listet die dabei kontaktierten Fremdserver – Google Fonts erscheint dort ebenso wie alle übrigen eingebundenen Dienste.

Selbst nachsehen können Sie ebenfalls: Öffnen Sie Ihre Seite, rufen Sie die Entwicklerwerkzeuge des Browsers auf, wechseln Sie in die Registerkarte für Netzwerkanfragen und laden Sie neu. Erscheinen dort Aufrufe an fonts.googleapis.com oder fonts.gstatic.com, werden Schriften dynamisch geladen.

Prüfen Sie mehr als die Startseite. Erfahrungsgemäß stecken solche Einbindungen in Kontaktformularen, in älteren Beiträgen und in Seiten, die von einem anderen Plugin erzeugt werden.

Abstellen

  1. Schriften herunterladen und in das Projekt aufnehmen – die Lizenz der meisten Google-Schriften erlaubt das ausdrücklich.
  2. Die Einbindung umstellen, sodass sie aus dem eigenen Verzeichnis geladen werden.
  3. Nachladen unterbinden. Themes und Plugins holen Schriften teils eigenständig nach; in vielen Systemen lässt sich das abschalten.
  4. Nachprüfen. Nach der Umstellung erneut messen. Häufig bleibt eine Stelle übrig, meist in einem Formular oder in der Kartenanzeige.
  5. Aufschreiben. Die eingesetzten Dienste gehören ins Verzeichnis von Verarbeitungstätigkeiten, und die Datenschutzerklärung ist anzupassen – auch dann, wenn ein Dienst wegfällt.

Damit es so bleibt

Der Zustand nach der Umstellung hält nicht von allein. Ein Update, eine neue Landingpage, ein Plugin-Wechsel – und die Verbindung ist wieder da, ohne dass es jemand bemerkt.

Genau dafür ist das Website-Monitoring gedacht: wiederkehrende Prüfung, Meldung bei Änderungen, verknüpft mit den Datenschutzhinweisen. Als Modul beschrieben unter Web-Compliance-Software, Preise unter Web-Compliance Preise – 79 € im Monat für eine Domain.

Wo Fremddienste bleiben müssen, führt der Weg über eine Einwilligungslösung: CMP Consulting.

Kontakt

Sie haben ein Abmahnschreiben erhalten oder wollen wissen, was Ihre Website nach außen lädt? Beides klären wir kurzfristig.