Kaum ein technisches Detail hat in den letzten Jahren so viele Abmahnungen ausgelöst wie eine unbedacht eingebundene Schriftart. Wer Google Fonts direkt über Googles Server lädt, überträgt dabei die IP-Adresse jedes Besuchers in die USA, ohne dass dieser dem vorher zugestimmt hat.
Warum ist das ein Problem?
Ein Landgerichtsurteil stellte klar, dass die dynamische Einbindung von Google Fonts ohne Einwilligung einen Drittlandtransfer personenbezogener Daten darstellt und Betroffene deshalb einen Anspruch auf Schadensersatz haben können. Seither verschicken automatisierte Systeme in großer Zahl Abmahnungen an Websites, die Google Fonts weiterhin extern einbinden, oft mit vergleichsweise geringen, aber lästigen Forderungen.
Die zwei Einbindungsarten im Vergleich
| Methode | Was passiert | Einwilligung nötig? |
|---|---|---|
| Externe Einbindung (Google-Server) | Browser lädt die Schriftart direkt von Google, IP-Adresse wird übertragen | Ja, vorab |
| Lokales Hosting | Schriftdatei liegt auf dem eigenen Server, keine Verbindung zu Google | Nein |
Lokales Hosting: die einfachste Lösung
Lädst du die Schriftdateien einmalig herunter und bindest sie über dein eigenes Hosting ein, entfällt die Verbindung zu Google komplett, und damit auch die Einwilligungspflicht für diesen Zweck. Die meisten gängigen CMS-Systeme und Page-Builder bieten inzwischen eine Option, Google Fonts automatisch lokal einzubinden, ohne dass du die Dateien manuell verwalten musst.
Was, wenn du weiter extern einbindest?
Möchtest du dennoch die externe Variante nutzen, etwa wegen automatischer Updates der Schriftart, brauchst du eine vorherige Einwilligung über dein Cookie-Banner, bevor die Verbindung zu Google aufgebaut wird, und eine konkrete Erwähnung in der Datenschutzerklärung inklusive Absicherungsmechanismus für den Drittlandtransfer.
Nicht nur Google Fonts betroffen
Das gleiche Prinzip gilt für andere extern eingebundene Ressourcen wie Icon-Bibliotheken, externe JavaScript-Bibliotheken oder CDN-gehostete Skripte: Sobald der Browser des Besuchers direkt eine Verbindung zu einem fremden Server aufbaut, kann dabei die IP-Adresse übertragen werden. Prüfe deine Website systematisch auf solche externen Einbindungen, nicht nur auf Schriftarten.
So prüfst du deine eigene Website
Öffne die Entwicklertools deines Browsers, lade deine Website neu und sieh im Netzwerk-Tab nach, zu welchen Domains Anfragen gesendet werden. Taucht dort eine Verbindung zu “fonts.googleapis.com” oder “fonts.gstatic.com” auf, wird die Schrift noch extern geladen. Es gibt außerdem kostenlose Online-Prüftools, die eine Website automatisch auf extern eingebundene Google Fonts scannen und dir eine schnelle erste Einschätzung geben, bevor du selbst manuell suchst.
Praxisbeispiel
Ein kleiner Onlineshop erhielt eine automatisierte Abmahnung wegen extern eingebundener Google Fonts. Der Betreiber lud die verwendeten Schriftdateien herunter, band sie lokal über das eigene Theme ein und entfernte die externe Verbindung vollständig. Die Datenschutzerklärung wurde entsprechend angepasst, die Klausel zu Google Fonts entfiel komplett, weil keine Datenübertragung mehr stattfand.
Häufige Fragen
Ist lokales Hosting technisch schwierig? Nein, bei den meisten Content-Management-Systemen reicht das Herunterladen der Schriftdateien und ein kurzer Verweis im Theme oder Plugin, oft ganz ohne Programmierkenntnisse.
Verliere ich dadurch automatische Updates der Schriftart? Ja, bei lokalem Hosting musst du neue Versionen der Schriftdatei bei Bedarf selbst austauschen, was in der Praxis aber selten nötig ist.
Betrifft das Problem nur Google Fonts? Nein, jede extern eingebundene Ressource von einem fremden Server kann grundsätzlich betroffen sein, Google Fonts ist nur der bekannteste Fall.