Google Fonts und dynamische Einbindung (DSGVO)
Recht & Pflicht
Seit dem Grundsatzurteil vom 20. Januar 2022 reicht lokales Hosting als Lösung
Dynamisch geladene Google Fonts übertragen ungefragt die Besucher-IP in die USA. Die Massenabmahnwelle wurde inzwischen weitgehend gestoppt, das Datenschutzrisiko bleibt aber real.
- Dynamisches Nachladen von Google Fonts überträgt automatisch die Besucher-IP-Adresse in die USA, ohne Einwilligung
- Grundsatzurteil LG München I (20.01.2022): 100 Euro Schadensersatz nach Art. 82 DSGVO
- Die Massenabmahnwelle 2022 wurde von Gerichten inzwischen als rechtsmissbräuchlich gestoppt
- Die Lösung ist technisch einfach: Schriften lokal hosten, dann entfällt die Google-Verbindung komplett
Eine schöne Schriftart wirkt harmlos, kann aber bei jedem Seitenaufruf ungefragt die IP-Adresse Ihrer Besucher an Google in die USA übertragen. Ein Urteil aus dem Jahr 2022 löste deswegen die größte deutsche Abmahnwelle der letzten Jahre aus, inzwischen von Gerichten als überwiegend missbräuchlich eingestuft. Das eigentliche Datenschutzproblem bleibt aber real, und die Lösung ist einfacher als gedacht.
Was das Problem bei dynamischen Google Fonts ist
Bei der dynamischen Einbindung lädt der Browser Ihrer Besucherinnen und Besucher die Schriftart bei jedem Seitenaufruf direkt von Google-Servern nach. Dabei wird technisch zwingend die IP-Adresse des Geräts an Google in die USA übertragen, ohne dass jemand gefragt wird und noch bevor ein Cookie-Banner überhaupt erscheint. Das Landgericht München I hat dies am 20.01.2022 (Az. 3 O 17493/20) als Datenschutzverstoß eingestuft und 100 Euro Schadensersatz nach Art. 82 DSGVO zugesprochen.
Dieses Urteil löste ab Sommer 2022 eine der größten Abmahnwellen der deutschen Internetgeschichte aus, mit mehreren hunderttausend Zahlungsaufforderungen. Gerichte haben diese Massenabmahnungen inzwischen überwiegend als rechtsmissbräuchlich eingestuft, weil die Websites gar nicht persönlich besucht, sondern automatisiert per Software angesteuert wurden.
Zwei getrennte Fragen: Datenschutzrisiko und Abmahnmissbrauch
Wichtig zur Einordnung: Das eigentliche Datenschutzrisiko und der spätere Abmahnmissbrauch sind zwei getrennte Fragen. Die dynamische Einbindung ohne Einwilligung bleibt datenschutzwidrig, daran hat sich nichts geändert. Der massenhafte, automatisiert provozierte Abmahnversuch einzelner Akteure wurde dagegen von Gerichten gestoppt. Der Bundesgerichtshof hat am 28.08.2025 dem Europäischen Gerichtshof Grundsatzfragen dazu vorgelegt, eine Entscheidung steht noch aus.
Prüfkriterien
Vier Bausteine, die am häufigsten scheitern
Diese vier Punkte tauchen bei externen Ressourcen auf Praxis-Websites am häufigsten als Befund auf.
Vier Bausteine, zum Durchklicken
Der häufigste und am einfachsten behebbare Befund.
Hilft Die Schriftdateien werden lokal auf dem eigenen Server gehostet, keine Verbindung zu Google-Servern beim Seitenaufruf.
Stolperfalle Die Schrift wird per Link direkt von fonts.googleapis.com geladen, oft ohne Wissen der Praxis, weil das Theme es automatisch tut.
Karten und Videos bringen dasselbe Problem oft gleich mit.
Hilft Google Maps, YouTube-Videos und Analyse-Tools laden erst nach aktiver Einwilligung, oder es werden datenschutzfreundliche Alternativen genutzt.
Stolperfalle Eine Google-Maps-Karte ist einfach als iFrame eingebettet. Dasselbe Problem wie bei Fonts: automatische IP-Übertragung bei jedem Seitenaufruf, teils sogar mit erneutem Font-Nachladen über die Hintertaste.
Ein weitverbreitetes Missverständnis, das unnötige Sorgen macht.
Hilft Verstehen, dass lokales Hosting dieselbe Schriftart nutzt, nur eben von der eigenen Domain ausgeliefert. Optisch identisch, ohne Google-Kontakt.
Stolperfalle Der Irrglaube, man müsse entweder Google Fonts mit Google-Verbindung nutzen oder ganz auf schöne Schriften verzichten.
Nicht jede Forderung ist berechtigt, aber auch nicht jede unberechtigt.
Hilft Ein Abmahnschreiben wird auf Warnsignale geprüft: fehlende Vollmacht, pauschale Forderung, Massenschreiben-Charakter, kurzer Zahlungsdruck.
Stolperfalle Aus Angst wird sofort gezahlt. Gerichte haben viele dieser Massenforderungen als rechtsmissbräuchlich eingestuft.
Wie ist Ihr Stand einzuordnen?
Der Zustand einer Praxis-Website liegt selten bei null oder hundert.
Wählen Sie die Lage, die auf Sie zutrifft
Zeitleiste
Wie sich die Rechtslage entwickelt hat
Von der Grundsatzentscheidung zur aktuell offenen höchstrichterlichen Frage.
- 2010
Google Fonts wird gestartet
Google startet den Dienst als kostenlose, weltweit verfügbare Schriftbibliothek, die zum Standardwerkzeug im Webdesign wird.
- 20. Januar 2022
LG München I, 3 O 17493/20
Das LG München I (Az. 3 O 17493/20) spricht 100 Euro Schadensersatz nach Art. 82 DSGVO wegen dynamischer Google-Fonts-Einbindung zu.
- Sommer/Herbst 2022
Abmahnwelle und Ermittlungen
Eine Massenabmahnwelle mit mehreren hunderttausend Zahlungsaufforderungen rollt durch Deutschland. Im Dezember 2022 durchsucht die Staatsanwaltschaft Berlin die Verantwortlichen.
- 28. August 2025
BGH-Vorlage an den EuGH
Der BGH setzt ein Verfahren aus und legt dem EuGH Grundsatzfragen zu IP-Personenbezug, provoziertem Schaden und Rechtsmissbrauch vor.
Was jetzt zu tun ist
Ein kurzer Check genügt: Website im Inkognito-Modus öffnen, mit den Entwicklertools des Browsers den Netzwerk-Tab öffnen, Seite neu laden und nach fonts.googleapis.com oder fonts.gstatic.com filtern. Erscheinen dort Einträge, werden Schriften dynamisch von Google geladen, auf mehreren Unterseiten prüfen, nicht nur auf der Startseite.
Die Umstellung auf lokales Hosting ist meist mit wenig Aufwand verbunden, oft per Plugin oder Theme-Einstellung, sonst über die Webdesign-Agentur. Google Maps, YouTube-Videos und Analyse-Tools sollten gleich mitgeprüft werden, da sie dasselbe Problem oft durch die Hintertaste zurückbringen.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft Ihre Website auch auf dynamisch eingebundene Google Fonts und ähnliche Ressourcen, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.