Das Wichtigste
- Eine von fonts.googleapis.com geladene Schriftart übermittelt die IP-Adresse des Besuchers an Google.
- Das LG München I hat dafür im Januar 2022 Schadensersatz zugesprochen (3 O 17493/20).
- Die Lösung ist einfach: Liefern Sie die Schriftdateien von Ihrer eigenen Domain aus.
Das Urteil
Am 20. Januar 2022 entschied das Landgericht München I (LG München I, Az. 3 O 17493/20), dass eine Website, die Google Fonts dynamisch von Google-Servern lud, die IP-Adresse des Besuchers ohne Rechtsgrundlage an Google weitergab. Das Gericht sprach 100 Euro Schadensersatz zu und verurteilte den Betreiber zur Unterlassung.
Warum es wichtig ist
Eine IP-Adresse ist für den Websitebetreiber ein personenbezogenes Datum (EuGH, Breyer, C-582/14, 2016). Die Schriftarten hätten vom eigenen Server des Betreibers ausgeliefert werden können, die Übermittlung war also nicht erforderlich. Auf das Urteil folgte 2022 in Deutschland eine Abmahnwelle.
Die Lösung
Laden Sie die Schriftdateien herunter (die gängigen stehen unter offenen Lizenzen) und liefern Sie sie von Ihrer eigenen Domain aus. Die Seite sieht genauso aus, und keine Anfrage erreicht Google. Dieselbe Überlegung gilt für andere Ressourcen, die von Servern Dritter geladen werden: Skripte, Icons, Karten und Videos.
So prüfen Sie eine Website
Suchen Sie auf jeder Seite nach Anfragen an fonts.googleapis.com und fonts.gstatic.com, nicht nur auf der Startseite: Themes und Plugins laden sie oft nur in einzelnen Templates, und ein Page Builder kann sie nach einem Update wieder hinzufügen.
Checkliste
- Keine Anfrage an fonts.googleapis.com oder fonts.gstatic.com auf irgendeiner Seite, einschließlich Checkout- und Blog-Templates.
- Schriftdateien (.woff2) von Ihrer eigenen Domain ausgeliefert, unter Beachtung ihrer Lizenz.
- Das CSS von Themes, Plugins und Page Buildern auf Importe von Google Fonts geprüft.
- Dieselbe Prüfung für andere Ressourcen Dritter: Icons, Karten, eingebettete Videos.
Quellen
- LG München I, Urteil vom 20. Januar 2022, 3 O 17493/20.
- EuGH, Urteil vom 19. Oktober 2016, Breyer, C-582/14 (IP-Adressen als personenbezogene Daten).
- Art. 6 Abs. 1 DSGVO (Rechtmäßigkeit der Verarbeitung).
Allgemeine Informationen, keine Rechtsberatung. Lassen Sie Ihre konkrete Situation von Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung prüfen.