Nutzen Sie Google Fonts auf Ihrer Website und laden Sie diese dynamisch immer wieder neu von Google, verstoßen Sie damit gegen Datenschutz. Laut dem Urteil des Landgerichts München I führt das zu Unterlassungsansprüchen und Schadensersatz vom Websitebesucher.
Was war geschehen?
Ein Webseitenbetreiber nutzte Google Fonts auf seiner Internetpräsenz, indem er die Schriftart dynamisch einband. Beim jedem Aufruf der Website durch einen Besucher wurde eine Netzwerkverbindung zu den Google-Servern hergestellt und von dort die Schriftart heruntergeladen. Eine Einwilligung hierfür hat der Betreiber nicht von seinen Besuchern eingeholt.
Ein Besucher störte sich daran und erhob Klage auf Unterlassung und Schadensersatz.
Wie entschied das Gericht?
Das Landgericht München entschied durch Urteil vom 20.01.2022 (Aktenzeichen 3 O 17493/20), dass der Webseitenbetreiber diese Art der Einbettung von Google Fonts unterlassen muss. Wenn er künftig dagegen verstößt, muss er ein Ordnungsgeld von bis zu 250.000 EUR zahlen. Außerdem hat er dem Websitebesucher ein Schadensersatz von 100 EUR zu zahlen.
Wo ist das Problem?
Wenn die Website die Schriftarten von den Google-Servern anfordert, wird auch die IP-Adresse des Besuchers an Google übertragen, damit zugeordnet werden kann, wohin die Google Fonts ausgeliefert werden sollen. Das Gericht stufte die dynamische IP-Adresse des Websitebesuchers als „personenbezogenes Datum“ im Sinne der EU-Datenschutzgrundverordnung (DSGVO) ein. Dies hat zur Folge, dass eine Rechtsgrundlage vorhanden sein muss. Der Webseitenbetreiber könne sich aber nicht auf sein „berechtigtes Interesse“ berufen (Art. 6 Abs. 1 lit. f DSGVO), denn es gäbe auch eine Variante, ohne die IP-Adresse zu Google zu senden (siehe unten).
Zudem sei mittlerweile klar, dass die IP-Adressen für Google Fonts in den USA verarbeitet werden und damit in einem Staat, in dem kein angemessenes Datenschutzniveau herrscht.
Schadensersatz wofür?
Zurecht darf gefragt werden, wofür der Websitebesucher nun 100 EUR Schadensersatz bekommt. Laut seiner Klage führt die Weitergabe seiner IP-Adresse zu einem Kontrollverlust und einem individuell empfundenen Unwohlsein. Das Gericht fügte hinzu, dass ein solcher Schadensersatz präventiv weitere Verstöße verhindern und ein Anreiz für Sicherungsmaßnahmen schaffen solle.
Was bedeutet die Entscheidung?
- Dies ist eine Einzelentscheidung. Nicht alle Gerichte in Deutschland haben diese Rechtsauffassung. Erst neulich entschied das Landgericht Wiesbaden (Entscheidung vom 22.01.2022 — Aktenzeichen 10 O 14/21), dass Webseitenbesucher gerade keinen Unterlassungsanspruch gegen einen Webseitenbetreiber habe, weil ein solcher in der EU-Datenschutzgrundverordnung (DSGVO) gerade nicht vorgesehen sei.
- Wenn sich diese Rechtsauffassung bei den anderen Gerichten dennoch durchsetzen sollte, sind davon auch andere Webfonts betroffen, wie zum Beispiel Adobe Fonts, MyFonts deren Anbieter die Daten in einem nicht sicheren Drittland verarbeiten.
- Abhilfe können Sie schaffen, indem Sie beispielsweise in einem Cookie-Consent-Tool die Einwilligung für die Nutzung von Google Fonts einholen, bevor diese vom Google-Server geladen werden. Allerdings ergibt sich da leider ein Folgeproblem: Derzeit ist auch nicht endgültig geklärt, ob eine solche Einwilligung überhaupt wirksame eingeholt werden kann.
- Die „bessere“ Abhilfe besteht darin, die Schriftarten (egal welcher Anbieter) lokal auf der Webseite mit einzubinden.