DSGVO-Check für Websites Google Fonts und DSGVO

Warum ist das Laden von Google-Servern ein Problem?

Beim Abruf der Schrift erhält Google die IP-Adresse des Besuchers. Das LG München I sah darin einen Verstoß, weil sich die Schriften ohne Weiteres selbst hosten lassen, und sprach 100 € Schadensersatz zu.

Quelle: LG München I, 3 O 17493/20

Wie binde ich Google Fonts lokal ein?

Schriftdateien im Format WOFF2 herunterladen, auf den eigenen Server legen und per @font-face einbinden, zum Beispiel mit google-webfonts-helper oder den @fontsource-Paketen. Danach darf im Quelltext kein Verweis auf fonts.googleapis.com oder fonts.gstatic.com mehr stehen.

Ist ein preconnect auf fonts.gstatic.com auch ein Problem?

Ja, wenn auch ein kleineres. Der Browser baut dabei schon eine Verbindung zu Google auf, und die IP-Adresse geht an Google, auch wenn keine Schrift geladen wird.

Gilt das auch für Font Awesome, Adobe Fonts und CDNs?

Ja, derselbe Gedanke trägt: Die IP-Adresse geht an einen meist US-amerikanischen Anbieter, obwohl Selbsthosting zumutbar ist. Adobe Fonts schickt zusätzlich Seitenaufruf-Daten für die Lizenzabrechnung. Der sichere Weg ist auch hier, die Dateien selbst zu hosten.

Quelle: LG München I, 3 O 17493/20, DSK, OH Digitale Dienste

Was ist mit den Abmahnungen wegen Google Fonts?

Ob massenhafte Abmahnungen rechtsmissbräuchlich sind, klärt der EuGH auf Vorlage des BGH. An der Bewertung des Datenflusses ändert das nichts: Wer Schriften lokal einbindet, ist auf der sicheren Seite.

Quelle: BGH, VI ZR 258/24