Google Fonts & DSGVO: Warum Schriften selbst gehostet werden müssen

Was ist das DSGVO-Problem bei Google Fonts?

Entscheidend ist nicht die Schrift selbst, sondern die Art der Einbindung. Bei der dynamischen Variante lädt der Browser des Besuchers beim Seitenaufruf CSS- und Font-Dateien von fonts.googleapis.com oder fonts.gstatic.com. Dabei wird mindestens die IP-Adresse des Besuchers an Google übertragen. IP-Adressen gelten nach europäischem Datenschutzrecht in vielen Fällen als personenbezogene Daten, weil sie einer Person zugeordnet werden können.

Für eine solche Datenübertragung braucht der Website-Betreiber eine Rechtsgrundlage nach Art. 6 DSGVO. Bei reiner Gestaltung ist „berechtigtes Interesse" schwer zu begründen, wenn dieselbe Schrift ohne externen Abruf lokal vom eigenen Server ausgeliefert werden kann. Genau deshalb empfehlen Datenschutzberater seit Jahren: Google Fonts herunterladen, lokal hosten, Datenschutzerklärung anpassen.

Warum gab es Abmahnungen wegen Google Fonts?

Bekannt wurde das Thema vor allem durch ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20). Das Gericht sah die dynamische Einbindung von Google Fonts ohne Einwilligung als unzulässige Weitergabe der IP-Adresse und sprach 100 Euro immateriellen Schadensersatz zu. Danach folgten massenhaft Forderungsschreiben, oft automatisiert und mit ähnlichen Beträgen.

Nicht jede Forderung ist berechtigt, und viele Massenabmahnungen wurden später kritisch gesehen. Trotzdem bleibt der technische Kern richtig: Lädt Ihre Website ohne Not Schriftdateien von Google, entsteht ein vermeidbarer Datenschutzangriffspunkt. Für ein kleines Unternehmen lohnt es sich nicht, darüber zu streiten, wenn die technische Lösung meist in weniger als einer Stunde erledigt ist.

Wie prüfen Sie, ob Ihre Website Google Fonts extern lädt?

Der Schnelltest geht im Browser: Website öffnen, Entwickler-Tools starten, den Bereich „Network" oder „Netzwerk" wählen und die Seite neu laden. Suchen Sie nach „fonts.googleapis.com", „fonts.gstatic.com" oder allgemein nach „google". Tauchen dort Schriftdateien oder Stylesheets auf, werden Fonts extern geladen. Alternativ helfen Online-Scanner, aber die Browser-Prüfung ist am zuverlässigsten, weil Sie sehen, was tatsächlich beim Laden passiert.

Achten Sie auch auf indirekte Einbindungen. Manche WordPress-Themes, Page Builder, Cookie-Tools, Buchungssysteme oder Bewertungswidgets bringen eigene Fonts mit. Dann reicht es nicht, nur das Theme umzustellen. Die Website muss insgesamt geprüft werden: Startseite, Kontaktseite, Landingpages, Buchungsseite und eingebettete Formulare.

• fonts.googleapis.com oder fonts.gstatic.com im Netzwerk-Tab sichtbar
• CSS-Dateien von externen Themes oder Plugins laden Schriftfamilien nach
• Ein Cookie-Banner erscheint zwar, Fonts laden aber schon vor jeder Zustimmung
• Buchungs-, Karten- oder Bewertungswidgets bringen eigene Schriftdateien mit

Wie hostet man Google Fonts lokal?

Lokales Hosting bedeutet: Die benötigten Schriftdateien liegen auf Ihrem eigenen Server und werden von Ihrer Domain ausgeliefert. Technisch werden die Fonts als woff2-Dateien gespeichert, im CSS per @font-face eingebunden und anschließend in der Website genutzt. Der Besucher lädt die Schrift dann von ihrer-firma.de statt von Google. Damit entfällt die unnötige Verbindung zu Google beim Seitenaufruf.

Wichtig ist, nur die wirklich genutzten Schnitte zu laden. Viele Websites binden fünf Schriftstärken ein, verwenden aber nur Regular und Bold. Weniger Dateien bedeuten weniger Ladezeit. Bei modernen Websites reicht oft eine Systemschrift oder eine lokal gehostete Variable Font. In unseren Website-Abos ist lokale Schrifteinbindung Standard, weil sie Datenschutz und Performance gleichzeitig verbessert.

Reicht ein Cookie-Banner als Lösung?

Theoretisch könnte eine externe Font-Einbindung mit vorheriger wirksamer Einwilligung funktionieren. Praktisch ist das für Schriften unsinnig. Der Text der Website muss sofort lesbar sein; niemand will erst einen Banner anklicken, damit die Typografie geladen wird. Außerdem laden viele Font-Einbindungen bereits beim ersten Seitenaufruf, also bevor überhaupt eine Zustimmung möglich ist.

Ein Cookie-Banner ist deshalb nicht die saubere Lösung für Google Fonts. Besser ist Privacy by Design: keine unnötige externe Verbindung, keine Einwilligung nötig, keine Diskussion. Der Banner bleibt Themen wie Analytics, Ads-Tracking oder eingebetteten Drittinhalten vorbehalten, wenn diese wirklich gewünscht sind.

Was gehört in die Datenschutzerklärung?

Wenn Google Fonts lokal gehostet werden, sollte die Datenschutzerklärung nicht mehr behaupten, dass beim Aufruf der Seite Daten an Google übertragen werden. Viele Websites behalten alte Generator-Texte stehen, obwohl die Technik längst geändert wurde. Das wirkt unprofessionell und kann bei Prüfungen verwirren.

Beschreiben Sie kurz, dass Schriftarten lokal eingebunden werden und beim Laden der Schriften keine Verbindung zu Google-Servern aufgebaut wird. Wenn andere Google-Dienste genutzt werden, etwa Maps, YouTube oder Google Ads Conversion-Tracking, müssen diese natürlich separat erklärt werden. Fonts zu reparieren ersetzt keine komplette Datenschutzprüfung der Website.

Was kostet die Umstellung für kleine Unternehmen?

Bei einer einfachen Website ist die Umstellung meist überschaubar: prüfen, Schriften herunterladen, CSS anpassen, Cache leeren, Seiten testen. Rechnen Sie bei einer Agentur oder einem Entwickler häufig mit ein bis zwei Arbeitsstunden. Komplizierter wird es bei WordPress mit mehreren Plugins, Page Buildern oder externen Widgets, weil jede Quelle einzeln kontrolliert werden muss.

Wenn ohnehin ein Relaunch oder eine neue Website geplant ist, sollte lokale Schrifteinbindung von Anfang an Teil des Standards sein. Bei bezahlbare-webseite.de starten Website-Abos ab 79 Euro monatlich; rechtssichere Grundtechnik wie SSL, lokale Fonts und saubere Datenschutzeinstellungen gehören dabei zur Basis, nicht zu teuren Extras.