Datenschutzerklärung für Font Awesome

Warum ist Font Awesome datenschutzrechtlich relevant?

Damit Font Awesome Icons bereitstellen kann, laden Webseiten diese mit jedem Seitenbesuch automatisch über einen Server aus den USA. Das Unternehmen hinter Font Awesome erhebt in diesem Kontext unter anderem Daten

• zum Browser,
• dem Betriebssystem und
• der IP-Adresse

der User. Dabei handelt es sich zum Teil um personenbezogene Daten. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG)  besonders geschützt. Seitenbetreiber müssen daher besondere Pflichten erfüllen, um Font Awesome rechtssicher verwenden zu können.

Font Awesome rechtssicher verwenden

Um Font Awesome rechtssicher zu verwenden, müssen Seitenbetreiber diese Anforderungen erfüllen:

Font Awesome lokal einbinden

Seitenbetreiber erreichen das höchste Maß an Datenschutz, wenn sie die Schriftarten und Symbole von Font Awesome lokal einbinden. Dazu installieren sie diese auf ihrem eigenen Server. Sie geben dann keine Daten an den Anbieter in den USA weiter. Das heißt, sie müssen lediglich in ihrer Datenschutzerklärung darauf hinweisen, dass sie Font Awesome verwenden. Dabei sollten sie erklären,

• warum sie die oben genannten Daten erheben,
• wie lange sie diese speichern wollen,
• welche Rechtsgrundlage das erlaubt und
• dass User der Datenverarbeitung widersprechen können.

Binden Seitenbetreiber Font Awesome nicht lokal ein, sondern beziehen die Schriftarten und Symbole vom Anbieter in den USA, müssen sie diese weiteren datenschutzrechtlichen Anforderungen erfüllen:

Nutzer-Einwilligung in Cookies einholen

Um Daten wie Betriebssystem und IP-Adresse von Nutzern zu erheben, setzt Font Awesome einen Cookie in ihren Browser. Dafür benötigen Seitenbetreiber die Einwilligung der User. Sie können diese über einen Cookie Banner einholen. Mit einem Cookie Consent Tool  können sie den Banner rechtssicher auf ihrer Webseite einbinden. Das Tool fragt die Präferenzen der User zur Datenerhebung ab und passt dann den Datentransfer auf der Seite dementsprechend an.

Vertrag zur Auftragsverarbeitung schließen

Artikel 28 DSGVO gibt vor: Wenn Seitenbetreiber personenbezogene Daten an Dritte zur weisungsgebundenen Verarbeitung weitergeben, müssen sie mit diesen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Seitenbetreiber geben Daten wie die IP-Adresse der User an Font Awesome weiter. Sie müssen mit dem Unternehmen daher einen solchen Vertrag schließen. Darin sollten Seitenbetreiber erklären,

• welche Userdaten Font Awesome speichert,
• wie lange es die Daten speichert,
• warum es die Daten erhebt und verarbeitet und
• welche Rechte und Pflichten die Verantwortlichen haben.

Standardvertragsklauseln prüfen

Um Daten rechtssicher in ein Drittland außerhalb der EU versenden zu können, benötigen Seitenbetreiber eine Rechtsgrundlage. Diese besteht derzeit in Form von Standardvertragsklauseln. Seitenbetreiber müssen diese Klauseln daher mit Font Awesome abschließen. Darüber hinaus müssen sie das Risiko des Datentransfers überprüfen und dokumentieren. Dazu müssen sie festhalten,

• welche Art von Daten sie an Font Awesome weitergeben,
• welche Rechtsvorschriften in den USA gelten und
• ob Font Awesome weitere Maßnahmen ergreift, um die Daten in den USA zu schützen.

Rechtsprechung zu Font Awesome

Zu Font Awesome liegt bisher – soweit ersichtlich – keine Rechtsprechung vor.

Aktuelles zur Einbindung von Schriftarten

Binden Seitenbetreiber die Schriftarten und Symbole von Font Awesome nicht lokal auf ihrem eigenen Server ein, dann benötigen dafür in jedem Fall eine Einwilligung der Nutzer. Das stellte kürzlich das Landgericht München für Google Fonts fest. Dabei entschied es, dass Seitenbetreiber dynamische Webinhalte wie Google Fonts nicht ohne die Erlaubnis von Nutzern verwenden dürfen. Denn: Seitenbetreiber geben über Google Fonts IP-Adressen an das Unternehmen in den USA weiter. IP-Adressen sind personenbezogene Daten. Seiten, die Google Fonts verwenden, verletzten daher das allgemeine Persönlichkeitsrecht in Form des informationellen Selbstbestimmungsrechts nach § 823 Abs. 1 BGB. Und das Gericht weiter: Seitenbetreiber haben kein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO, die personenbezogenen Daten zu erheben. Stattdessen können sie Google Fonts herunterladen und lokal einbinden (Urteil vom 20.01.2022, Az. 3 O 17493/20).

Sonstige relevante Urteile für den Einsatz von Font Awesome

Ohne eine lokale Einbindung von Font Awesome, müssen Seitenbetreiber diese Urteile beachten:

Europäischer Gerichtshof zur Verwendung von Cookies

Font Awesome setzt Tracking Cookies in den Browser von Usern. Dafür benötigen Seitenbetreiber stets die Einwilligung der User – unabhängig davon, ob die Cookies personenbezogene Daten sammeln oder nicht. Das entschied der Europäische Gerichtshof (EuGH) im Oktober 2019 (Az. C-673/17).

Bundesgerichtshof zur Verwendung von Cookies

Der Bundesgerichtshof (BGH) kam im Mai 2020 zu dem gleichen Schluss wie der EuGH: Seitenbetreiber benötigen für Tracking Cookies die Erlaubnis der Nutzer. Dabei müssen diese ihr Einverständnis aktiv erteilen. Das bedeutet: Seitenbetreiber dürfen die Checkbox für die Einwilligung nicht vorankreuzen (I ZR 7/16).

Datenschutzbehörde Hamburg zum AV-Vertrag

Die Datenschutzbehörde Hamburg bestrafte im Dezember 2018 einen fehlenden AV-Vertrag. Ein deutsches Versandunternehmen hatte personenbezogene Daten an einen spanischen Postdienstleister weitergegeben, ohne den entsprechenden Vertrag zu schließen. Dafür musste das Unternehmen 5.000 Euro Bußgeld zahlen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der Fußball-Bundesligaclub VfB Stuttgart ließ Mitgliederdaten von Dienstleistern verarbeiten. Dabei gab der Verein zwischen 2016 und 2018 tausende Daten weiter – ohne einen AV-Vertrag mit den Dienstleistern zu schließen. Das wertete die Datenschutzbehörde Baden-Württemberg als einen DSGVO-Verstoß. Der Verein musste daher im März 2021 300.000 Euro Strafe zahlen.