Wer eine Website betreibt, muss mindestens eine Schriftart benutzen. Sonst können die Nutzerinnen und Nutzer der Internet-Seiten nichts lesen. Viele Unternehmen, Vereine und Privatpersonen greifen dafür meist unbemerkt auf sogenannte Google Fonts zurück. Das ist ein Verzeichnis von Google mit über 1400 Schriftarten, das frei verfügbar ist.

Doch das ist mit Blick auf den Datenschutz heikel. Und der Grund dafür, dass seit einigen Wochen Wellen von Abmahnungen durch das Land schwappen. Fachleute aus der Region geben Antworten auf die wichtigsten Fragen rund um Google Fonts, Abmahnungen und Schadensersatzansprüche.

Wieso sind Google Fonts ein Problem?

Google Fonts sind auf Websites problematisch, wenn sie remote genutzt werden, also die Schriftarten auf Servern von Google gespeichert sind. Bei jedem Aufruf der Website kommuniziert diese mit dem Google-Server, um die Schriftarten zu laden. Dabei werden automatisch Daten übermittelt. Und zu diesen Daten gehört unter anderem die IP-Adresse der Nutzerinnen und Nutzer, die zu den personenbezogenen Daten zählen kann.

Die IP-Adresse braucht der Google-Server, weil er wissen muss, wohin er die Schriftarten zurücksenden soll. Laut Google wird die Adresse lediglich für diesen Zweck übermittelt, aber nicht gespeichert. Doch das löst das Problem nicht.

Wenn Internet-Seiten personenbezogene Daten verarbeiten, müssen die Nutzerinnen und Nutzer dem explizit zustimmen, Stichwort Cookies. Das schreibt die Datenschutz-Grundverordnung (DSGVO) vor. Und sie legt fest: Auch übermittelte Daten werden verarbeitet. "Sobald eine Übermittlung stattfindet, brauchen wir eine Einwilligung", sagt Jaqueline Vogel, Datenschutzberaterin aus Ebertshausen (Lkr. Schweinfurt).

Stimme jemand allen Cookies zu, seien Google Fonts kein Problem. Lehne er jedoch ab, gebe es eins. "Dann müsste der Betreiber für diesen Besucher eine völlig andere Website mit anderer Schriftart zur Verfügung stellen", so Vogel. Diesen Aufwand betreibe niemand.

Wie kann man das Problem umgehen?

Zunächst sollte man schauen, ob man überhaupt Google Fonts benutzt. Dabei helfen kostenlose Google-Fonts-Scanner oder ein Blick in den Code der Website: Steht dort fonts.google.com, lädt man die Schriftarten vom Google-Server. Um das Problem zu umgehen, kann man zu Schriftarten wechseln, die datenschutzrechtlich okay sind. Dazu gehören Standardschriftarten wie Arial, Verdana und Times New Roman oder Open Web Fonts wie WOFF.

Wer nicht auf seine gewohnte Schriftart verzichten möchte, kann alternativ die Google Fonts auch lokal einbinden. Das bedeutet, dass sie auf dem eigenen Server – beziehungsweise dem Server des Webhosters – gespeichert werden. Beim Aufruf einer Website kommuniziert diese dann mit diesem Server statt mit dem von Google.

Wie binde ich Google Fonts lokal ein?

Für Websites, die auf Wordpress basieren, gibt es beispielsweise Plug-ins, die Google Fonts lokal einbinden. Das funktioniert oft, aber nicht immer. Wenn es aufgrund technischer Besonderheiten des Systems nicht klappt, muss man an den Code. Und das überlässt man besser einem Profi.

Phillip Groschup ist Geschäftsführer von Usermind, einer Digitalagentur aus Giebelstadt (Lkr. Würzburg), die Websites entwickelt. "Die Schriftarten von Google kann man sich als zip-Datei herunterladen", sagt er. "Anschließend müssen sie auf den eigenen Server hochgeladen werden." Bevor man sich an den technischen Dienstleister wendet, empfiehlt Groschup jedoch, erstmal ein Plug-in zu versuchen.

Was ist mit Drittanbieter-Einbindungen wie Google Maps?

Google Maps verwendet Google Fonts. Laut Groschup ist das aber kein Problem. "Ein Seitenbesucher muss ohnehin gefragt werden, ob es in Ordnung ist, Google Maps zu verwenden", sagt er. Lehne er ab, lehne er automatisch auch die Nutzung der Google-Schriftarten innerhalb des eingebundenen Elements ab.

Um welche Abmahnungen wegen Google-Schriftarten und um wie viel Geld geht es?

In den Schreiben werden Schadensersatzansprüche gefordert, weil bei Aufruf einer Website mit Google Fonts personenbezogene Daten in die USA übermittelt würden. Da das ohne die Zustimmung der Nutzerinnen und Nutzer passiere, würden deren Persönlichkeitsrechte verletzt.

Der Deutsche Schutzverband gegen Wirtschaftskriminalität schreibt auf seiner Website, das aktuell vor allem zwei Schreiben im Umlauf seien. Eins komme von Martin Ismail und der Interessengemeinschaft Datenschutz und werde von Rechtsanwalt Kilian Lenard aus Berlin verschickt, mit einer Forderung von 170 Euro Schadensersatz. Das zweite Schreiben stamme von Rechtsanwalt Nikolaos Kairis von der RAAG Kanzlei aus Meerbusch, der Wang Yu vertrete. Er fordere insgesamt fast 240 Euro.

Die Abmahnungen berufen sich auf ein Urteil des Landgerichts München. Dieses hat am 20. Januar 2022 entschieden, dass der Kläger wegen Google Fonts Anspruch auf Unterlassung und einen Schadensersatz in Höhe von 100 Euro hatte.

Wie schätzen Experten die Schreiben ein?

Jan-Markus Momberg, Syndikusrechtsanwalt und Bereichsleiter Justiziariat der Industrie- und Handelskammer (IHK) Würzburg-Schweinfurt, sagt: "Den Schreiben muss man Gewinnerzielungsabsicht unterstellen." In der Masse, in der sie verschickt würden, seien sie darauf ausgelegt, dass die Leute zahlen. "Das ist nicht Ziel des Datenschutzes", fügt er an.

Datenschutzexpertin Vogel denkt ebenfalls, dass die Absender weniger für den Datenschutz und mehr für das Geld arbeiten. Sie vermutet, dass sie Crawler verwenden, um herauszufinden, welche Webseiten Google Fonts benutzen. Anders könne sie sich die Masse in so kurzer Zeit nicht erklären.

Wie soll man auf eine Abmahnung reagieren?

Momberg von der IHK rät allen, die eine Website betreiben, diese schnellstmöglich technisch zu untersuchen und auf einen sicheren Stand zu bringen. Hat man eine Abmahnung bekommen, gebe es zwei Möglichkeiten: reagieren (mit oder ohne Anwalt) oder nicht. Momberg empfiehlt, erstmal nicht zu reagieren – weder mit einem Antwortschreiben noch mit einer Zahlung. Das Gleiche raten viele andere Experten, unter ihnen der Deutsche Schutzverband gegen Wirtschaftskriminalität.

Zum einen sei fraglich, ob man überhaupt verklagt werde, so Momberg. Und wenn doch, könne man immer noch einfach zahlen. Zum anderen sieht er es als unwahrscheinlich an, dass eine eventuelle Klage vor dem Amtsgericht erfolgreich wäre. "Es ist fraglich, ob die IP-Adresse an Server in den USA weitergeleitet wurde oder nicht. Das ist nicht überprüfbar", sagt der IHK-Anwalt.

Zudem könne eine IP-Adresse personenbezogen sein, müsse es aber nicht. "Der Anspruch steht auf sehr wackligen Beinen", so Momberg weiter. "Das Münchner Urteil ist kein letztinstanzliches Urteil."