Datenschutzerklärung für Google Fonts

Ist die Nutzung von Google Fonts zulässig?

Verwenden Sie ein Tool oder Programm, das personenbezogene Daten verarbeitet, werden diese Daten an den Dienstanbieter des Tools übermittelt. Je nachdem, in welchem Land der Dienstanbieter sitzt, kann diese Datenübermittlung problematisch sein.

Denn: Übertragen Sie personenbezogene Daten aus der EU in ein Drittland, ist dies nur unter bestimmten Voraussetzungen zulässig. Und zwar dann, wenn das Schutzniveau für die Datenübermittlung in ein Drittland mit dem der EU der Sache nach gleichwertig ist. Bietet das Drittland ein angemessenes Datenschutzniveau, verabschiedet die EU-Kommission einen Angemessenheitsbeschluss. 

Der Diensteanbieter von Google Fonts ist Google LLC. Dieses Unternehmen hat seinen Sitz in den USA. Es gibt einen Angemessenheitsbeschluss für die Datenübermittlung in die USA. Zusätzlich ist die Datenübertragung in die USA rechtlich aber erst dann zulässig, wenn der Datenempfänger außerdem nach dem Datenschutzabkommen EU-USA (Data Privacy Framework) zertifiziert ist.

Wichtig:

Nur weil die Datenübertragung mit diesem Tool rechtlich zulässig ist, bedeutet dies nicht, dass das Programm automatisch datenschutzkonform ist. Damit Sie nicht gegen den deutschen Datenschutz verstoßen, müssen Sie zusätzliche Pflichten erfüllen.

Mehr zum Thema Datenübertragung in die USA finden Sie in unserem Artikel "Privacy Shield 2.0: Datentransfer in die USA".

Darum sind Google Fonts datenschutzrechtlich bedenklich

Bei Google Fonts handelt es sich im Kern um einen Dienst zur Bereitstellung von Schriftarten. Werden diese dynamisch eingebunden, wird beim Laden eine Verbindung zu den Servern von Google aufgebaut.

Über die Google Fonts API werden die gewünschten Schriftarten von den Servern auf die Webseite geladen. Dabei werden bestimmte Verbindungsdaten wie die IP-Adresse des Nutzers, User-Agent, Referrer, Zeitpunkt des Abrufs und die angeforderte Schriftart übertragen. Da es sich hierbei um personenbezogene Daten handelt, ist dies datenschutzrechtlich bedenklich.

Nach der Datenschutz-Grundverordnung (DSGVO) benötigen Webseitenbetreiber eine Rechtsgrundlage für die Übertragung der Daten.

Möchten Sie Google Fonts datenschutzkonform einbinden, benötigen Sie eine Einwilligung des Nutzers, die über einen Cookie Consent Banner eingeholt werden kann.

Ob die dynamische Einbindung auf ein berechtigtes Interesse gemäß Artikel 6 Absatz 1 lit. f Datenschutz-Grundverordnung (DSGVO) gestützt werden kann, ist rechtlich umstritten. Nach einer wegweisenden Entscheidung des Landgericht München I (LG München, Urteil vom 20.01.2022, Az. 3 O 17493/20) ist ein berechtigtes Interesse als Rechtsgrundlage jedoch abzulehnen, da ein berechtigtes Interesse des Webseitenbetreibers an einer dynamischen Einbindung nicht überwiegen kann, wenn eine datenschutzfreundlichere Alternative wie die lokale Einbindung möglich ist. Zudem könne das wirtschaftliche Interesse an einer einfachen Einbindung das Datenschutzinteresse des Nutzers nicht überwiegen.

Bei der lokalen Einbindung von Google Fonts hingegen werden die Schriftarten auf dem eigenen Webserver gespeichert, sodass beim Aufruf der Seite keine Verbindung zu Google aufgebaut und keine Daten übertragen werden. Auch bei dieser Einbindung kommt es zu einer Verarbeitung von personenbezogenen Daten wie IP-Adresse und User-Agent. Daher benötigen Sie auch hier eine Rechtsgrundlage.

Allerdings können Sie die Datenverarbeitung regelmäßig auf ein berechtigtes Interesse wie die Bereitstellung der Webseite stützen.

Viele Websitebetreiber wissen nicht, dass Themes, Plugins oder Page-Builder die Google Font Schriften dynamisch nachladen. Finden Sie mit unserem eRecht24 Google Fonts Scanner heraus, ob Sie Google Fonts datenschutzkonform einsetzen.

Google Fonts DSGVO-konform einsetzen

Um Google Web Fonts datenschutzkonform zu verwenden, haben Unternehmen, wie bereits im Kapitel zuvor dargestellt, zwei Optionen:

1) Google Fonts lokal einbinden
Um die Weiterleitung der Userdaten an Google in die USA zu verhindern, können Seitenbetreiber Google Fonts lokal auf ihrem eigenen Server einbinden. Dazu müssen sie die entsprechende Schriftart herunterladen und in die style.css-Datei ihrer Website einbinden. Anschließend müssen alle Verweise auf Google Server entfernt und durch lokale Pfade ersetzt werden.

In der Datenschutzerklärung benötigen Sie keinen separaten Hinweis auf Google Fonts, da keine Daten an Google übertragen werden. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich im Rahmen der Bereitstellung der Webseite und wird daher regelmäßig bereits im Abschnitt zu den Server-Logfiles oder zur Bereitstellung des Webangebots beschrieben.

2) Google Fonts über Google einbinden
Kommt eine Einbindung über den eigenen Server nicht infrage, bleibt nur die dynamische Einbindung. Hierbei werden die Schriftarten von Google Servern abgerufen.

Folgende datenschutzrechtliche Pflichten sollten bei der dynamischen Einbindung beachtet werden:

• Nutzer-Einwilligung per Cookie-Consent-Banner einholen
• Passus zu Google Fonts in die Datenschutzerklärung aufnehmen
• Drittlandtransfer prüfen (Angemessenheitsbeschluss, DPF-Zertifizierung oder SCC & TIA)

Die Einwilligung des Website Besuchers können Sie über ein Cookie Consent Tool einholen. Auf Grundlage der erteilten Erlaubnis passt das Consent Management Tool dann die Datenströme auf der Webseite an.

Auch wenn eine Datenübertragung durch DPF-Zertifizierung zulässig ist, empfehlen wir Ihnen nach Möglichkeit zusätzlich den Abschluss von Standardvertragsklauseln sowie eine Datentransfer-Folgenabschätzung vorzunehmen.

Die Rechtsgrundlage für die Datenübermittlung an Google sowie weitere Informationen zur Verarbeitung sollten Sie transparent in Ihrer Datenschutzerklärung darstellen. Eine rechtssichere Datenschutzerklärung können Sie jetzt schnell und kostenfrei mit unserem Datenschutz-Generator erstellen.

FAQ zu Google Fonts