Mit Inkrafttreten der Datenschutzgrundverordnung (DSGVO) 2018 wuchs die Unsicherheit in Bezug auf den konformen Einsatz von dynamisch eingebundenen Webfonts. Der ungefragte Abruf von personenbezogenen Daten, wie beispielsweise der IP-Adresse der Nutzenden und die Übertragung auf Google-Server in den USA verstößt eindeutig gegen die Richtlinien der Verordnung und führte Anfang 2022 letztendlich zu einer entsprechenden Klage einer Websitebesucherin. Im Februar entschied das Landgericht München, dass die unerlaubte Weitergabe der dynamischen IP-Adresse eine Verletzung des allgemeinen Persönlichkeitsrechts darstellt. Webseitenbetreibende können in diesem Fall auf Unterlassung und Schadensersatz verklagt werden. Zudem kann im schlimmsten Fall ein Ordnungsgeld von bis zu 250.000 Euro oder eine Ordnungshaft von bis zu 6 Monaten drohen.
Doch was können Sie tun, um nicht wieder in der Internet-Steinzeit zu landen und dennoch DSGVO-konform zu handeln? Um eine Abmahnung oder sogar Klage zu vermeiden, empfehlen wir, Website-Inhalte, wie Schriftarten, Skripte oder Bilder auf dem eigenen Server einzubinden. Dies ist sowohl aus datenschutzrechtlicher Sicht die beste Variante als auch urheberrechtlich unbedenklich, da dies von Google explizit erlaubt wurde.
Eine Anpassung der Einverständniserklärung allein stellt keine gute Alternative dar, da unklar ist, ob dies ausreicht, die Weitergabe der Daten in die USA zu rechtfertigen. Sollten Betreibende weiterhin die Fonts direkt von Google beziehen, müssen sie mit dem Risiko leben, trotz entsprechender Anpassungen in der Datenschutzerklärung und im Banner, eine Abmahnung oder sogar Strafe dafür zu erhalten.
Achtung bei neuen Inhalten und Plugins: Meist ändern sich die Inhalte einer Seite regelmäßig. Mit der Zeit kommt neuer Content, wie zum Beispiel ein YouTube Video oder eine Karte von Google Maps dazu oder es werden neue Plug-ins installiert. Dadurch können zuvor überprüfte, „saubere“ Seiten plötzlich wieder eine Verbindung zu den Google-Servern herstellen, was eine erneute Überprüfung zwingend notwendig macht.
Hier ein Beispiel: Schon die Installation eines Plugins zur einfachen Einbindung von Popups kann dazu führen, dass die Seite wieder ungefragt mit den Servern in den USA kommuniziert, da in der Standard-Einstellung die Nutzung von Google Fonts aktiviert ist.
