Im Januar 2022 fällte das Landgericht München I ein Urteil, das für erhebliche Unruhe unter Website-Betreibern sorgte. Gegenstand der Entscheidung war die Einbindung von Google Fonts über die Server des US-Konzerns – eine bis dahin weit verbreitete Praxis auf deutschen Websites. Das Gericht stellte fest, dass diese Form der Schriftarten-Einbindung gegen die Datenschutz-Grundverordnung verstößt.
Das Landgericht München I befasste sich in seinem Urteil vom 20. Januar 2022 (Aktenzeichen 3 O 17493/20) mit einem Fall, bei dem ein Website-Besucher gegen den Betreiber einer Website klagte. Der Kläger argumentierte, dass seine IP-Adresse ohne seine Einwilligung an Google-Server in den USA übertragen wurde, als er die betreffende Website besuchte.
Diese Übertragung erfolgte automatisch durch die dynamische Einbindung von Google Fonts. Dabei lädt der Browser des Besuchers die Schriftarten direkt von Googles Content Delivery Network (CDN). Mit jeder solchen Anfrage wird zwangsläufig auch die IP-Adresse des Besuchers an die Google-Server übermittelt – ein technisch notwendiger Vorgang bei jeder Internetkommunikation.
Das Landgericht München stellte in seinem Urteil mehrere zentrale Punkte fest, die für Website-Betreiber von Bedeutung sind:
Das Gericht bestätigte, dass IP-Adressen personenbezogene Daten im Sinne der DSGVO darstellen. Zwar lässt sich aus einer IP-Adresse allein nicht unmittelbar die Identität einer Person ablesen, doch in Verbindung mit weiteren Informationen – insbesondere bei Internetdienstanbietern – ist eine Zuordnung zu einer natürlichen Person möglich.
Für die Übermittlung dieser personenbezogenen Daten an Google fehlte nach Ansicht des Gerichts eine ausreichende Rechtsgrundlage. Die dynamische Einbindung von Google Fonts sei technisch nicht erforderlich, da Alternativen existieren. Website-Betreiber können Schriftarten lokal auf dem eigenen Server hosten, sodass keine Verbindung zu Google-Servern hergestellt werden muss.
Da die Übertragung nicht technisch notwendig war, konnte sie nicht auf ein berechtigtes Interesse des Website-Betreibers gestützt werden. Eine Einwilligung des Besuchers lag ebenfalls nicht vor.
Besonders problematisch bewertete das Gericht die Tatsache, dass die Daten an Server in den USA übermittelt wurden. Zum Zeitpunkt des Urteils – und auch heute noch – gelten Drittlandübermittlungen in die USA als datenschutzrechtlich heikel, insbesondere nach dem Schreitens-II-Urteil des Europäischen Gerichtshofs, das das Privacy Shield für ungültig erklärt hatte.
Das Landgericht sprach dem Kläger einen Schadensersatzanspruch zu. Die Höhe fiel zwar überschaubar aus, doch das Urteil etablierte einen Präzedenzfall: Website-Besucher können bei datenschutzwidrigen Praktiken Ansprüche geltend machen, selbst wenn kein messbarer materieller Schaden entstanden ist. Die Verletzung des Persönlichkeitsrechts und der informationellen Selbstbestimmung allein begründet bereits einen Anspruch.
Diese Entscheidung löste in der Folge eine Welle von Abmahnungen und weiteren Klagen aus, bei denen Anwälte im Namen von Mandanten hunderte oder gar tausende von Website-Betreibern wegen der Nutzung von Google Fonts kontaktierten.
Das Landgericht München Google Fonts Urteil 2022 hat konkrete Auswirkungen auf den Betrieb von Websites:
Die rechtssichere Alternative besteht darin, Google Fonts lokal auf dem eigenen Webserver zu hosten. Dabei werden die Schriftdateien heruntergeladen und auf dem Server abgelegt, auf dem auch die Website gehostet wird. Der Browser des Besuchers lädt die Schriften dann vom selben Server wie die restliche Website – eine Verbindung zu Google wird nicht mehr hergestellt.
Diese Lösung ist technisch unkompliziert umsetzbar und führt oft sogar zu kürzeren Ladezeiten, da ein externer Server-Aufruf entfällt. Zahlreiche Content-Management-Systeme bieten mittlerweile Plugins oder integrierte Funktionen, die das lokale Hosting von Webfonts vereinfachen.
Nach dem Urteil sollten Website-Betreiber ihre bestehenden Websites daraufhin überprüfen, ob Google Fonts dynamisch eingebunden sind. Dies lässt sich durch eine Analyse des Quellcodes oder mit speziellen Tools feststellen. Ein DSGVO Check für Google Fonts kann dabei helfen, problematische Einbindungen zu identifizieren.
Besondere Aufmerksamkeit verdienen WordPress-Themes, Plugins und andere Drittanbieter-Komponenten. Viele dieser Erweiterungen binden Google Fonts automatisch ein, ohne dass der Website-Betreiber dies zunächst bemerkt. Nach dem Münchner Urteil ist es wichtig, auch solche versteckten Einbindungen aufzuspüren und zu entfernen.
Das Urteil des Landgerichts München steht nicht isoliert, sondern fügt sich in eine Reihe von Entscheidungen ein, die den Datenschutz bei Website-Betrieb konkretisieren. Es macht deutlich, dass die DSGVO nicht nur für offensichtliche Datenverarbeitungen wie Newsletter-Versand oder Kontaktformulare gilt, sondern auch für technische Details der Website-Implementierung.
Die Entscheidung zeigt zudem, dass Website-Betreiber eine umfassende Verantwortung für alle Datenverarbeitungsvorgänge tragen, die beim Besuch ihrer Website ausgelöst werden – auch wenn diese durch eingebundene Drittanbieter-Dienste erfolgen.
Auf Grundlage des Landgericht München Google Fonts Urteils 2022 ergeben sich konkrete Handlungsschritte:
Das Landgericht München Google Fonts Urteil 2022 hat für Klarheit gesorgt: Die dynamische Einbindung von Google Fonts über die Server des Unternehmens verstößt gegen die DSGVO. Für Website-Betreiber bedeutet dies zunächst einen Handlungsbedarf, doch die Lösung ist technisch einfach umsetzbar. Durch lokales Hosting von Webfonts lässt sich Rechtssicherheit herstellen, ohne auf moderne Typografie verzichten zu müssen. Die Entscheidung unterstreicht einmal mehr, dass Datenschutz bei jedem Detail des Website-Betriebs mitgedacht werden muss.