Dringende Empfehlung: Keine Verwendung vom Google Fonts per link – es droht Schadensersatz

Das Landgericht München I hat in einem Urteil vom 20.01.2022, Az. 3 O 17493/20 einem Nutzer einer Internetseite einen Schadensersatz von 100 € zugesprochen. Das klingt nicht nach viel, aber der Webseitenbetreiber muss darüber hinaus die Nutzung von Google Fonts per link unterlassen.

Worum geht es?
Ein Webseitenbetreiber hat die von Google bereitgestellten kostenlosen Schriftarten (Google Fonts) so in seine Seite integriert, dass diese bei einem Aufruf durch den Nutzer von den Servern bei Google nachgeladen werden. Das ist ein Vorgang, der kaum bemerkt wird. Bemerkenswert ist allerdings, dass dadurch automatisch eine IP-Adresse des Nutzers an die Google Server gesendet wird.

Was sagt das Gericht?
Das Gericht untersagt die automatische Übertragung der IP-Adresse, da es sich dabei um persönliche Daten handelt und diese dürfen nach der DSGVO nur weitergegeben werden, wenn dafür eine Rechtfertigung vorliegt. Da die Übertragung ohne Mitwirkung des Nutzers, also automatisch abläuft, kann keine Einwilligung des Nutzers vorliegen. Auch nachträglich kann man sich die Einwilligung nicht geben lassen, denn die Datenübertragung erfolgt bereits beim ersten Aufruf der Seite.
Der Webseitenbetreiber hat die Rechtsgrundlage Art. 6 Abs. 1 f) DSGVO angeführt und meint, er habe ein berechtigtes Interesse an dem Abruf der Google Fonts und damit an der Übertragung der persönlichen Daten des Nutzers. Hier aber winkt das Gericht ab. Da man die Google Fonts nicht nur per link verwenden kann, sondern diese herunterladen und auf dem eigenen Server speichern könnte, gibt es kein berechtigtes Interesse. Die Folge ist für das Gericht zwingend: es gibt Schadensersatz und einen Unterlassungsanspruch.

Was sind die Folgen?
Wie bei jeder Datenverarbeitung gilt der Grundsatz: Keine Verarbeitung ohne gesetzliche Erlaubnis. Möchte man sich auf das berechtigte Interesse stützen, so muss man gewissenhaft prüfen, ob die Verarbeitung wirklich notwendig ist oder es Alternativen gibt. Im konkreten Fall gab es die Alternative der lokalen Installation der Schriftarten, die dann keine Weiterleitung an die Google Server in Bezug auf persönliche Daten erforderlich macht.

Das Urteil ist zunächst nur für den Service der Google Fonts ausgesprochen und gilt für alle, die diesen Service ohne lokale Installation nutzen. Diesen Webseitenbetreibern ist dringend angeraten, dass die Webseite auf die Verwendung der Google Fonts geprüft und entsprechend gehandelt wird.

Eine generelle Übertragbarkeit auf andere Services kann bislang nicht in dem Urteil gesehen werden. Denn entscheidend war, dass der Webseitenbetreiber die Alternative hatte, die Schriftarten entweder von den Google Servern zu laden oder lokal zu installieren. Das geht bei Services wie zum Beispiel Google Maps nicht. Hier wäre ein Abruf von den Google-Servern zwingend notwendig. Es muss dem Webseitenbetreiber nur klar sein, dass dann zwingend IP-Adresse, also persönliche Daten der Nutzer, an Google übertragen werden. Ob dies von einem berechtigten Interesse abgedeckt ist oder letztlich doch eine Einwilligung erforderlich macht, muss sorgsam abgewogen werden. Im Zweifel ist die Empfehlung, lieber keine personenbezogenen Daten zu verarbeiten.