Google Fonts DSGVO-konform einsetzen

Mit Google Fonts können Webseitenbetreiber einfach und einheitlich hunderte Schriftarten einbinden. Sehr zur Freude der Verwender ist der Dienst kostenfrei und zusätzlich für die hauseigene Suchmaschine „Google“ optimiert. Doch wie kann man Google Fonts jetzt DSGVO-konform einsetzen? Wir erläutern es.

Wie funktionieren Google Fonts?

Die Einbindung der Schriftarten auf der Webseite ist meist in nur wenigen Schritten erledigt – etwa über HTML, CSS oder JavaScript. Aus datenschutzrechtlicher Sicht relevant ist die Unterscheidung zwischen der externen Einbindung über die Google-Server („Online“-Modus) und der lokalen Einbindung über den eigenen Webserver („Offline“-Modus).

Google Fonts im „Online“-Modus

Besuchen Nutzer die Webseite, baut der Browser beim Laden der Webseite über den Link eine Verbindung zu den Servern von Google auf. Dabei übermittelt der Browser des Nutzers verschiedene Informationen zur einheitlichen Darstellung der Webseite. Diese sind unter anderem verschiedene Browser- und Gerätedaten und auch die IP-Adresse des Nutzers selbst. Das bedeutet, durch die Einbindung von Google Fonts werden personenbezogene Daten an die Server von Google in den USA übermittelt.

Die benötigten Schriftdateien werden im Anschluss im Browsercache des Endgeräts gespeichert. Google gibt dabei eine Cache-Dauer von bis zu einem Jahr vor, um Ladezeiten bei zukünftigen Seitenaufrufen zu verbessern.

Google Fonts im „Offline“-Modus

Dem gegenüber steht die lokale Speicherung der Google Fonts – sozusagen der „Offline“-Modus. Dabei lädt man die benötigten Fonts von den Google-Servern und speichert sie lokal auf dem eigenen Webserver. Die Verwaltung der Fonts ist dann – mittels CSS – wie bei jeder anderen Font-Family möglich. Eine Übertragung der IP-Adresse oder sonstiger personenbezogener Daten an Google findet nicht statt, da keine Verbindung zu Google Servern besteht. Die Pflege und Aktualisierung der Schriftarten ist nun Aufgabe des Webseitenbetreibers, darüber hinausgehende Nachteile sind jedoch nicht zu erwarten. Insbesondere die Ladezeit kann bei Verzicht auf Googles CDN in bestimmten Fällen sogar verbessert werden im Vergleich zur Nutzung des „Online“- Modus.

Rechtsgrundlage beim Einsatz von Google Fonts nach DSGVO

Bereits die oben aufgeführte Gegenüberstellung lässt erahnen, welche Variante der Nutzung aus datenschutzrechtlicher Sicht vorzugswürdig sein dürfte.

Rote Karte für das „berechtigte Interesse“

So stößt man bei dem Vorhaben, eine Rechtsgrundlage für den Einsatz von Google Fonts im „Online“-Modus ausfindig zu machen, schnell auf die erste Hürde, wenn man meint, eine Verarbeitung aufgrund „berechtigter Interessen“ gem. Art. 6 Abs. 1 lit. f DSGVO vornehmen zu können.

Die berechtigten Interessen der Webseitenbetreiber sind zwar relativ zügig als „wirtschaftliche Interessen“ festgestellt: Sie bestehen für die grundsätzliche Nutzung attraktiver Schriftarten darin, dass die eigene Webseite ansprechender erscheint und somit ein Wettbewerbsvorteil erzeugt wird.

Die dann im zweiten Schritt notwendige Darstellung der „Erforderlichkeit“ für die mit dem „Online“-Modus im Zusammenhang stehende Datenverarbeitung ist rechtssicher nicht möglich. Stets wird man an dieser Stelle zumindest einwerfen müssen, dass die benötigten Schriften von Google ebenso gut auf den eigenen Servern des Anbieters geladen und dem Webseitenbesucher von dort zur Verfügung gestellt werden könnten – oder man „lässt das mit Google ganz“ und verwendet anstatt dessen lizensierte Schriften.

Einem Urteil folgte „Abmahn-Tsunami“ zu Google Fonts

Bereits mit Urteil des LG München vom 20.01.22 (Az. 3 O 17493/20) wurden dem Nutzer einer Webseite 100 Euro Schmerzensgeld zugesprochen, weil der Webseitenbetreiber Google Fonts in dem hier beschriebenen „Online“-Modus ohne Einwilligung eingebunden hatte, dies mit den ebenfalls beschriebenen datenschutzrechtlichen Folgen, nämlich der unrechtmäßigen Übermittlung der IP-Adresse des Nutzers an Google in die USA.

Das Gericht verneinte die „Erforderlichkeit“ und stellte fest, dass die benötigten Schriften auch im „Offline“-Modus hätten verwendet werden können, sodass keine personenbezogenen Daten in einen Drittstaat übertragen worden wären. Alternativ hätten auch andere, lizensierte Schriften verwendet werden können, die keine personenbezogene Datenverarbeitung nach sich gezogen hätten. Es sei zu einer Verletzung des informationellen Selbstbestimmungsrechtes des Webseitennutzers gekommen, und ein Anspruch auf immateriellen Schadensersatz sei gegeben.

Diesem umstrittenen Urteil folgten die „sagenumwobenen“ Abmahnwellen zu Google Fonts, denen man in der Folge entgegentrat mit:

• gerichtlichen Maßnahmen und Entscheidungen gegen Abmahnmissbrauch (z.B. LG München I vom 30.03.2022, Az. 4 O 13063/22),
• Stellungnahmen zur Aufklärung von Verbänden und Vereinen
• und immer wieder mit der Empfehlung, Google Fonts nur noch im „Offline“-Modus einzusetzen.

Auch Datenschutz-Aufsichtsbehörden der Länder – zum Beispiel der Landesbeauftragte für Datenschutz und Informationsfreiheit NRW oder der Landesbeauftragte für Datenschutz Niedersachsen – empfehlen im Netz (weiterhin), Google Fonts im „Offline“-Modus einzubinden, sodass diesbezüglich breiter Konsens besteht.

Die Einwilligung(en)

Eine Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage für die Weitergabe der Daten an Google in die USA wäre nach dem o.g. Urteil des LG München zwar möglich gewesen (s.o.), wurde dort aber unstreitig gar nicht eingeholt.

Nicht absolut ausgeschlossen ist es daher, dass man durchaus und entgegen aller Empfehlungen Google Fonts auch weiterhin einwilligungsbasiert extern einbindet. Die notwendige Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO korrekt rechtskonform einzuholen, beinhaltet jedoch einige datenschutzrechtliche Fallstricke: Insbesondere müsste das verwendete Consent Management Tool das Laden der Fonts auch tatsächlich blockieren, bis der Nutzer eingewilligt hat – vorher dürfte keine Verbindung mit den Google Servern entstehen. Außerdem wären die Datenschutzhinweise im Consent Tool dezidiert korrekt zu formulieren, auch hinsichtlich des Drittstaatentransfers.

Nicht zu vergessen an dieser Stelle wäre die korrekte Einholung der außerdem notwendigen Einwilligung nach § 25 Abs. 1 TDDDG, da die Übertragung der IP-Adresse an die Google-Server in den USA im Übrigen eine „nicht technisch zwingend erforderliche“ Verarbeitung darstellt.

Schließlich wird man sich die Frage stellen, welche Schriftarten man für die ggf. nicht unerhebliche Anzahl derjenigen Nutzer zur Verfügung stellt, die ihre Einwilligung dann nicht wie gewünscht erteilen.

Nach alledem dürfte den meisten Webseitenbetreibern an dieser Stelle die Einwilligung als Rechtsgrundlage als faktisch „unattraktiv“ erscheinen. Das gegebene Risiko wird durch die intransparenten Informationen von Google zu seinen Diensten weiter gestützt.

Empfehlung für die Praxis bei der Nutzung von Google Fonts

Auch wenn die Abmahnwellen nach dem o. g. Urteil des LG München selbst rechtlich umstritten waren bzw. sind, ändert das nichts daran, dass natürlich der Einsatz von Google Fonts auf einer wirksamen Rechtsgrundlage basieren muss, sofern personenbezogene Daten verarbeitet werden.

Aus datenschutzrechtlicher Sicht vorzugswürdig ist auf jeden Fall die lokale Einbindung von Google Fonts über den eigenen Webserver – da in diesem Fall gar keine personenbezogenen Daten an Google übertragen werden.

Wenn es trotz allem aber die externe Einbindung der Google Fonts sein soll, dann ist extreme Vorsicht geboten und nur nach einer rechtswirksam erteilen Einwilligung dürfen Daten zu Google fließen.