Datenschutzerklärung für MyFonts

Warum ist MyFonts datenschutzrechtlich relevant?

MyFonts verpflichtet seine Kunden dazu, ein Page-View-Tracking durchzuführen. Unternehmen müssen dazu die Aufrufe ihrer Webseite zählen und diese an den MyFonts-Server in den USA weiterleiten. Dabei erfährt MyFonts unter anderem die IP-Adresse und technische Daten des Endgeräts der Webseitenbesucher.

Dabei handelt es sich zum Teil um personenbezogene Daten. Um diese erheben, speichern und weitergeben zu dürfen, müssen Seitenbetreiber verschiedene Pflichten der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) beachten.

MyFonts datenschutzkonform verwenden

Je nachdem, wie Unternehmen MyFonts hosten, müssen sie unterschiedliche datenschutzrechtliche Bestimmungen beachten:

1) MyFonts lokal einbinden

Um über MyFonts keine Nutzerdaten in den USA zu versenden, müssen Seitenbetreiber die Schriftarten lokal auf einem eigenen Server einbinden. Sie erhalten vom Anbieter dabei ein vorgefertigtes Paket mit Webfonts in verschiedenen Formaten. Seitenbetreiber können diese zudem ihren eigenen Bedürfnissen nach anpassen. Dafür können sie beispielsweise den Webfonts Kit Builder nutzen.

Darüber hinaus müssen Unternehmen in ihrer Datenschutzerklärung aufführen, dass sie MyFonts auf ihrer Seite verwenden. Sie müssen festhalten,

• warum sie über MyFonts personenbezogene Daten erheben,
• wie lange sie diese speichern,
• welche Rechtsgrundlage das erlaubt (Art. 6 Abs. 1 DSGVO) und
• dass Nutzer der Datenerhebung jederzeit widersprechen können.

2) MyFonts über den Anbieter einbinden

Können Unternehmen MyFonts nicht selbst hosten, müssen sie die Schriftarten jedes Mal über den Anbieter abrufen. Sie müssen dann nicht nur in ihrer Datenschutzerklärung auf die Verwendung der Schriftarten hinweisen, sondern auch mit MyFonts Standardvertragsklauseln schließen. Diese verpflichten den Anbieter, auch in den USA Nutzerdaten so zu schützen, wie von der DSGVO vorgegeben. Daneben müssen Unternehmen das Risiko der Datenübertragung in die USA zu MyFonts prüfen und dokumentieren. Dabei sollten sie festhalten,

• welche Art von Daten sie an MyFonts weitergeben,
• welche Datenschutzgesetze in den USA gelten und
• ob MyFonts weitere Maßnahmen ergreift, um die Userdaten in den USA zu schützen.

Rechtsprechung zu MyFonts

Für MyFonts ist diese Rechtsprechung relevant:

Europäischer Gerichtshof zum Privacy Shield

Am 16.07.2020 kam der EuGH zu dem Schluss: Der Privacy Shield, der bisher als rechtliche Grundlage für Datentransfers zwischen den USA und der EU gedient hat, ist unwirksam (Az. C-311/18). Das heißt für Unternehmen: Sie können sich nicht mehr auf den Privacy Shield berufen, wenn sie personenbezogene Daten in die USA versenden wollen. Auf welcher rechtlichen Basis das derzeit möglich ist, ist unklar.

Bundesgerichtshof zur Erhebung von IP-Adressen

Dynamische IP-Adressen sind dann personenbezogene Daten, wenn Seitenbetreiber theoretisch die Person hinter einer IP-Adresse ermitteln können. Das stellte der Bundesgerichtshof (BGH) im Mai 2017 fest (Az. VI ZR 135/13).

Europäischer Gerichtshof zur Erhebung von IP-Adressen

IP-Adressen sind dann personenbezogene Daten, wenn Strafverfolger die Person hinter einer IP-Adresse feststellen können. Seitenbetreiber selbst müssen die IP nicht zuordnen können. Das entschied der Europäische Gerichtshof (EuGH) im Oktober 2016 (Az. C-582/14).

Landgericht Berlin zur Erhebung von IP-Adressen

Seitenbetreiber dürfen IP-Adressen nur speichern, wenn User vorher eingewilligt haben. Zu diesem Ergebnis kam das Landgericht Berlin im September 2007 (Az. 23 S 3/07).

Europäischer Gerichtshof zur Verwendung von Cookies

Seitenbetreiber müssen die Erlaubnis der User einholen, wenn sie Cookies nutzen wollen. Sie können User dazu per Opt-In einwilligen lassen. Das entschied der EuGH im Oktober 2019 (Az. C-673/17).

Bundesgerichtshof zur Verwendung von Cookies

Cookies, die keinen technischen oder funktionellen Zweck erfüllen, benötigen das Einverständnis der User. Das stellte der BGH im Mai 2020 fest. Seitenbetreiber können die Einwilligung der Nutzer beispielsweise über eine nicht-vorangekreuzte Checkbox einholen (I ZR 7/16).

Aktuelles zur Einbindung von Web-Schriften

MyFonts bietet wie Google Web Fonts Schriftarten an, die Unternehmen auf ihrer Webseite einbinden können. Das Landgericht (LG) München kam am 20.01.2022 jedoch zu dem Schluss: Seitenbetreiber dürfen dynamische Webinhalte wie Google Web Fonts nicht ohne Erlaubnis der Nutzer verwenden. User haben ansonsten einen Anspruch auf Unterlassung und können auf Schadensersatz klagen.

Die Richter des LG München erklärten: Seitenbetreiber sammeln über Google Web Fonts IP-Adressen von Nutzern und geben diese an Google in den USA weiter. IP-Adressen sind jedoch personenbezogene Daten und daher besonders schützenswert. Das bedeutet für die Praxis: Webseiten, die Google Web Fonts nutzen, verletzten das allgemeine Persönlichkeitsrecht in Form des informationellen Selbstbestimmungsrechts nach § 823 Abs. 1 BGB. Seitenbetreiber können sich nicht auf ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO berufen. Denn: Sie können die Schriftarten herunterladen und von ihrem eigenen Server abrufen.

MyFonts erhebt von Nutzern ebenfalls personenbezogene Daten und leitet sie an den Anbieter in den USA weiter. Die Entscheidung des LG München zu Google Web Fonts ist daher auch auf MyFonts übertragbar.