Google Fonts und DSGVO bezeichnet das Datenschutzproblem beim Einbinden von Google-Schriftarten über die Server von Google: Beim Seitenaufruf wird die IP-Adresse des Besuchers an Google übertragen, was nach deutscher Rechtsprechung ohne Einwilligung eine Datenschutzverletzung darstellen kann. Die rechtssichere Lösung ist das lokale Hosting der Schriften auf dem eigenen Server, wodurch keine Verbindung zu Google aufgebaut wird.
Worin liegt das Problem bei Google Fonts?
Google Fonts ist ein Verzeichnis frei nutzbarer Schriftarten. Beim sogenannten Remote-Einbinden lädt der Browser die Schriftdateien direkt von Google-Servern — dabei wird zwangsläufig die IP-Adresse des Besuchers an Google übermittelt, nach verbreiteter Auffassung in die USA. Die IP-Adresse gilt als personenbezogenes Datum; für die Übertragung braucht es eine Rechtsgrundlage nach der DSGVO.
Das Landgericht München entschied 2022, dass die dynamische Einbindung ohne Einwilligung das allgemeine Persönlichkeitsrecht verletzt, und sprach einem Betroffenen Schadensersatz zu. Das Urteil löste eine Abmahnwelle aus, in der massenhaft Websitebetreiber angeschrieben wurden — teils von Kanzleien und Privatpersonen mit fragwürdiger Motivation. Unabhängig von der Bewertung einzelner Abmahnungen bleibt der Kern: Remote geladene Google Fonts ohne Einwilligung sind ein vermeidbares Risiko.
Die Lösung: Google Fonts lokal hosten
Beim lokalen Hosting werden die Schriftdateien einmal heruntergeladen und vom eigenen Webserver ausgeliefert. Der Browser des Besuchers kontaktiert Google dann gar nicht mehr — es fließen keine Daten, eine Einwilligung ist für die Schriften nicht nötig. Die Lizenz der Google Fonts erlaubt das ausdrücklich. Nebeneffekt: Lokales Hosting kann die Ladezeit verbessern, weil ein externer Request entfällt.
Bei WordPress übernehmen viele Themes und Plugins das lokale Einbinden inzwischen automatisch oder bieten eine entsprechende Option. Wichtig ist die Kontrolle: Auch Page Builder, eingebettete Videos, Karten oder Icon-Bibliotheken können Google Fonts nachladen. Ein Test der Website mit den Entwicklertools des Browsers oder einem Website-Scanner zeigt, ob noch Verbindungen zu fonts.googleapis.com oder fonts.gstatic.com aufgebaut werden.
Google Fonts und DSGVO in der Praxis
Für Kanzleien, Steuerberater und andere Unternehmen mit Vertrauensanspruch ist das Thema doppelt relevant: Ein vermeidbarer Datenschutzverstoß auf der eigenen Website wirkt unprofessionell und bietet Angriffsfläche. Beim Website-Relaunch sollte lokales Font-Hosting daher Standard sein; bestehende Seiten lassen sich meist mit geringem Aufwand umstellen.
Ergänzend gehört der Umgang mit Schriften in die Datenschutzerklärung — bei lokalem Hosting genügt in der Regel ein kurzer Hinweis, dass Schriften lokal eingebunden sind. Wer aus technischen Gründen bei der Remote-Einbindung bleibt, müsste die Schriften hinter eine Einwilligung im Cookie-Banner legen, was die Darstellung der Seite vor der Einwilligung beeinträchtigt — praktisch also selten sinnvoll.