Der Google-Fonts-Fehler, der Abmahnungen kostet

Als wir diese Website prüften, fanden wir den Fehler bei uns selbst. Zwei Seiten luden ihre Schriften über eine einzige Zeile CSS direkt von Google — und damit sendete jeder Besuch die IP-Adresse des Besuchers an einen Server in den USA, bevor irgendjemand einem Cookie-Banner zugestimmt hatte. Genau dieses Muster hat das Landgericht München I im Januar 2022 als Verstoß gegen die DSGVO gewertet.

Wir schreiben das hier auf, weil es der häufigste vermeidbare Datenschutzfehler auf österreichischen Unternehmenswebsites ist — und weil er in fünfzehn Minuten behoben ist, wenn man weiß, wonach man sucht.

Schriften von Google Fonts werden üblicherweise so eingebunden, dass der Browser des Besuchers die Datei direkt bei Google anfordert. Damit dieser Abruf funktionieren kann, muss der Browser seine IP-Adresse übermitteln. Die IP-Adresse ist nach ständiger Rechtsprechung ein personenbezogenes Datum. Es findet also eine Übermittlung personenbezogener Daten an einen Drittanbieter statt — ohne Rechtsgrundlage, ohne Einwilligung, ohne dass der Besucher davon erfährt.

Das Urteil des LG München I (Az. 3 O 17493/20) sprach dem Kläger 100 Euro Schadenersatz zu. Die Summe ist nicht das Problem. Das Problem ist, dass daraufhin serienweise Abmahnschreiben an Websitebetreiber im gesamten deutschsprachigen Raum verschickt wurden, häufig mit Forderungen zwischen 150 und 500 Euro plus Anwaltskosten. Für ein KMU mit einer einzigen Unternehmenswebsite ist das ärgerlich; für eine Agentur, die dreißig Kundenwebsites betreibt, ist es ein Betriebsrisiko.

1. 01Öffnen Sie Ihre Website in einem privaten Fenster und stimmen Sie dem Cookie-Banner ausdrücklich NICHT zu.
2. 02Öffnen Sie die Entwicklertools (F12) und wechseln Sie auf den Reiter „Netzwerk“.
3. 03Laden Sie die Seite neu und filtern Sie die Anfragen nach „fonts“.
4. 04Erscheint ein Eintrag mit fonts.googleapis.com oder fonts.gstatic.com, verlässt bereits vor der Einwilligung eine Anfrage den Browser Ihres Besuchers.
5. 05Wiederholen Sie den Test auf Unterseiten. Der Fehler steckt oft nur auf einzelnen Seiten — bei uns waren es genau zwei.

Prüfen Sie zusätzlich den Quelltext auf die Zeichenkette „googleapis“. Sie taucht typischerweise in einem <link>-Tag im Kopfbereich, in einem @import am Anfang einer CSS-Datei oder — besonders leicht zu übersehen — in einem eingebetteten <style>-Block direkt in einer einzelnen Seitenkomponente auf. Genau dort saß sie bei uns.

Die Lösung besteht darin, die Schriftdateien selbst auszuliefern. Sie laden die Schriften einmalig herunter, legen sie neben Ihre übrigen Dateien und binden sie über @font-face ein. Der Browser des Besuchers spricht danach ausschließlich mit Ihrem Server.

Wer mit Next.js arbeitet, bekommt das geschenkt: next/font lädt die Schriften beim Build herunter, legt sie in das eigene Bundle und erzeugt die passenden @font-face-Regeln automatisch. Zur Laufzeit geht keine einzige Anfrage an Google. In WordPress erledigen das Plugins wie OMGF oder Local Google Fonts; wichtig ist danach der erneute Test im Netzwerk-Reiter, denn Themes und Page-Builder laden Schriften gerne ein zweites Mal an anderer Stelle.

Der Fehler hatte eine zweite, rein gestalterische Folge, die uns überraschte: Weil die Schriftdefinition nur auf zwei Seiten geladen wurde, fiel die Anzeigeschrift auf allen übrigen Seiten stillschweigend auf eine Systemschrift zurück. Einundzwanzig Komponenten benutzten eine Schrift, die dort nie ankam. Datenschutzfehler und Gestaltungsfehler waren derselbe Fehler.

Das ist die eigentliche Lehre. Eine Website, die datenschutzrechtlich sauber gebaut ist, ist fast immer auch technisch sauberer gebaut — weniger Abhängigkeiten von Dritten, weniger Anfragen, schnellere Ladezeiten, weniger Stellen, an denen etwas unbemerkt kaputtgehen kann.

”

“Der Abruf, den Sie nicht stellen, ist der einzige, den Sie nicht dokumentieren, nicht rechtfertigen und nicht verteidigen müssen.”

• Prüfen Sie Startseite und mindestens drei Unterseiten mit dem Netzwerk-Test oben.
• Durchsuchen Sie Ihren Quelltext nach „googleapis“ und „gstatic“.
• Prüfen Sie dieselben Seiten auf weitere Drittanbieter, die vor der Einwilligung laden: eingebettete Karten, YouTube-Videos, Schriften von Adobe, Analyse-Skripte.
• Halten Sie das Ergebnis schriftlich fest. Ein datiertes Prüfprotokoll ist im Ernstfall der Unterschied zwischen einem beantworteten Schreiben und einem teuren.

Wenn Sie bei der Prüfung Unterstützung brauchen: Wir haben genau diesen Weg auf unserer eigenen Website hinter uns und machen das für Kundinnen und Kunden im Burgenland, in Wien und im Grenzraum regelmäßig.