Ende 2022 verschickten in Deutschland zahlreiche Kanzleien Abmahnungen wegen extern eingebundener Google Fonts, weil dabei die IP-Adresse des Besuchers ohne Einwilligung an Server außerhalb der EU übertragen wurde. Auch wenn die große Abmahnwelle abgeklungen ist, bleibt das Grundproblem bestehen: Jede extern geladene Schriftart überträgt technisch bedingt die IP-Adresse an den Anbieter.
Wie externe Schriftarten technisch funktionieren
Bindet eine Webseite eine Schriftart über einen externen Server ein, etwa direkt von Google, lädt der Browser jedes Besuchers die Schriftdatei automatisch von diesem Server nach. Dabei überträgt der Browser zwangsläufig die eigene IP-Adresse an den Font-Anbieter, unabhängig davon, ob der Besucher zuvor einer Verarbeitung zugestimmt hat.
Lokales Hosting als sicherste Lösung
Die technisch sauberste Lösung ist, Schriftdateien selbst herunterzuladen und über den eigenen Server auszuliefern, statt sie extern nachzuladen. Damit entfällt die Übertragung an einen Drittanbieter komplett, und die Erklärung braucht für diesen Punkt keinen gesonderten Abschnitt mehr.
Wenn externes Laden trotzdem genutzt wird
Bleibt eine Webseite bei der externen Einbindung, etwa aus Performance-Gründen, gehört der Anbieter mit Namen in die Datenschutzerklärung, zusammen mit der Rechtsgrundlage und einem Hinweis auf den Drittlandtransfer, sofern der Anbieter Server außerhalb der EU nutzt.
Rechtsgrundlage korrekt einordnen
Für das reine Laden einer Schriftart lässt sich in vielen Fällen kein überzeugendes berechtigtes Interesse begründen, weil lokales Hosting technisch problemlos möglich ist und dieselbe Funktion ohne Datenübertragung erfüllt. In der Praxis ist lokales Hosting deshalb meist der einfachere und sicherere Weg als eine Einwilligung einzuholen.
Andere externe Ressourcen mitdenken
Das gleiche Prinzip gilt für andere extern eingebundene Ressourcen wie Icon-Bibliotheken, externe Skript-Bibliotheken oder eingebettete Videos: Jede externe Einbindung überträgt technisch mindestens die IP-Adresse an den jeweiligen Anbieter und gehört entsprechend dokumentiert oder, wo möglich, durch eine lokal gehostete Alternative ersetzt.
Häufig gestellte Fragen
Reicht es, Google Fonts einmal zu erwähnen, auch wenn ich sie lokal hoste?
Nein, wird die Schriftart tatsächlich lokal ausgeliefert, findet keine Übertragung an Google statt, ein Erwähnen in der Erklärung ist dann nicht mehr nötig.
Betrifft das Problem nur Google Fonts?
Nein, jeder extern eingebundene Dienst, der beim Laden automatisch die IP-Adresse überträgt, wirft dieselbe Frage auf, etwa externe Icon-Sets oder Kartendienste.
Wie finde ich heraus, ob meine Seite Google Fonts extern lädt?
Ein Blick in den Quelltext oder die Netzwerk-Analyse des Browsers zeigt, ob Schriftdateien von einer externen Domain nachgeladen werden. Viele Theme- und Plugin-Einstellungen bieten inzwischen eine Option für lokales Hosting an.
Gilt dasselbe Problem auch für eingebettete YouTube-Videos?
Ja, ein eingebettetes YouTube-Video lädt beim Aufruf der Seite standardmäßig Inhalte direkt von YouTube-Servern nach und überträgt dabei ebenfalls die IP-Adresse. Eine datenschutzfreundliche Einbindung mit vorgeschalteter Vorschau, die das eigentliche Video erst nach Klick lädt, reduziert dieses Risiko deutlich.
Warum lokales Hosting oft die pragmatischste Lösung ist
Verglichen mit dem Einholen einer gesonderten Einwilligung für jede einzelne externe Ressource ist lokales Hosting in den meisten Fällen der einfachere Weg: Die Funktion bleibt identisch, das Ladeverhalten ändert sich kaum spürbar, und die Datenschutzerklärung wird an dieser Stelle kürzer statt länger. Für Schriftarten lässt sich das meist mit wenigen Handgriffen über das Theme oder ein Plugin umsetzen, ohne dass optisch etwas an der Webseite sichtbar verändert wird.