Schriftarten sind das Letzte, woran viele Website-Betreiber beim Datenschutz denken. Ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20) zeigt jedoch, dass gerade die beliebten Google Fonts zum Haftungsrisiko werden können. Das Gericht verurteilte einen Website-Betreiber zur Unterlassung und zur Zahlung von 100 Euro Schadensersatz, weil beim Aufruf der Seite die IP-Adresse des Besuchers ohne dessen Einwilligung an Google übermittelt wurde.
Was war passiert?
Die beklagte Website band Schriftarten des Dienstes Google Fonts dynamisch ein. Das bedeutet: Bei jedem Seitenaufruf lädt der Browser des Besuchers die Schriftarten direkt von Servern von Google. Dabei wird zwangsläufig die IP-Adresse des Besuchers an Google übermittelt. Der Kläger hatte die Website aufgerufen und verlangte Unterlassung und Schadensersatz.
Die Entscheidung
Das LG München I gab der Klage statt. Die dynamische IP-Adresse sei für den Website-Betreiber ein personenbezogenes Datum, da er abstrakt über rechtliche Mittel verfüge, den Anschlussinhaber bestimmen zu lassen. Die Weitergabe an Google sei ohne Einwilligung erfolgt und lasse sich auch nicht auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen. Denn Google Fonts könnten auch lokal auf dem eigenen Server gehostet werden, ohne dass beim Seitenaufruf eine Verbindung zu Google hergestellt wird. Zur Frage, ob IP-Adressen personenbezogene Daten sind, haben wir bereits früher berichtet, etwa im Beitrag „Eine dynamische IP-Adresse kann ein personenbezogenes Datum sein“.
Den Schadensersatz von 100 Euro nach Art. 82 DSGVO begründete das Gericht mit dem Kontrollverlust über ein personenbezogenes Datum und dem individuellen Unwohlsein des Klägers, das angesichts der Übermittlung an ein Unternehmen, das bekanntermaßen Daten über seine Nutzer sammelt, so erheblich sei, dass ein Schadensersatzanspruch gerechtfertigt sei. Zusätzlich wies das Gericht auf die Übermittlung in die USA hin, wo nach dem Schrems-II-Urteil kein angemessenes Datenschutzniveau gewährleistet sei.
Einordnung
Es handelt sich um eine Entscheidung eines Landgerichts, nicht um höchstrichterliche Rechtsprechung. Ob ein immaterieller Schaden bereits bei einem bloßen Kontrollverlust ohne weitere Folgen vorliegt, wird von deutschen Gerichten derzeit uneinheitlich beurteilt; die Frage liegt inzwischen auch dem EuGH vor. Dennoch ist das Risiko für Website-Betreiber real: Das Urteil dürfte zahlreiche ähnliche Forderungen nach sich ziehen.
So prüfen und lösen Sie das Problem
- Öffnen Sie die Entwicklertools Ihres Browsers und kontrollieren Sie im Netzwerk-Tab, ob beim Laden Ihrer Seite Anfragen an „fonts.googleapis.com“ oder „fonts.gstatic.com“ gehen. Auch Themes und Plugins laden Fonts häufig automatisch nach.
- Laden Sie die Schriftarten herunter und binden Sie sie vom eigenen Server ein. Viele Content-Management-Systeme bieten dafür Plugins oder Einstellungen.
- Prüfen Sie andere Drittdienste nach demselben Muster: Karten, Videos, Captchas und Icon-Bibliotheken. Was ohne Einwilligung Verbindungen zu Dritten aufbaut, sollte über den Cookie- bzw. Consent-Banner gesteuert oder lokal gehostet werden.
- Passen Sie anschließend die Datenschutzerklärung an.
Technisch ist das Problem schnell gelöst: Fonts lokal hosten. Wenn Sie bereits ein Schreiben wegen Google Fonts erhalten haben oder Ihre Website vorsorglich prüfen lassen möchten, melden Sie sich bei uns über das Kontaktformular oder per Online-Terminbuchung.