Google Fonts: Schreiben wegen Datenschutzverstoß erhalten. Was tun?

Kategorien: Datenschutz

Seit dem Urteil des LG München zu Google Fonts werden vermehrt Webseitenbetreiber angeschrieben und aufgefordert, eine Zahlung zu leisten und Unterlassungserklärung abzugeben. Was ist zu tun?

Einleitung

Google Fonts sind Schriften für Webseiten, die von Google Servern geladen werden. Diese Schriften stammen nicht von Google, sondern von vielen Designern weltweit, die mit Google nichts zu tun haben. Google stellt lediglich die Infrastruktur für die Designer bereit, um ihre Schriftarten zu publizieren. Weiterhin stellt Google Server bereit, damit Webseitenbetreiber die Fonts auf ihren Webseiten integrieren können.

Das LG München hatte im Urteil vom 20.01.2022 (Az.: 3 O 17493/20) dem Kläger 100 Euro Schadenersatz zugesprochen, weil eine von ihm besuchte Webseite Google Fonts eingebunden hatte. Außerdem musste der Beklagte eine strafbewehrte Unterlassungserklärung abgeben und somit die Google Fonts von seiner Webseite entfernen.

Mittlerweile erhielten mehrere Mandanten von uns und von befreundeten Datenschutzbeauftragten Anschreiben von Privatpersonen. Die Schreiben kamen meist per E-Mail. In diesen Schreiben wurde dazu aufgefordert, die Schriften von der Webseite zu entfernen. Weiterhin wurde eine Unterlassungserklärung gefordert, die beispielsweise mit einer Vertragsstrafe von 3000 Euro belegt wurde. Alternativ wurde angeboten, die Sache gegen einmalige Zahlung von 100 Euro friedlich beizulegen.

Wie ist die Rechtslage?

Google Fonts dürfen nicht ohne Einwilligung von Google Servern abgerufen werden. Die Gründe sind folgende.

Google ist ein Unternehmen mit Muttergesellschaft in den USA. Der EuGH hatte im Urteil vom 16.07.2020 (Az.: C-311/18, „Schrems II„) festgestellt, dass Datentransfers, die einen hypothetischen Zugriff aus den USA zulassen, ohne Einwilligung des Dateninhabers (= Besucher einer Webseite) unzulässig sind. Schriften mit Einwilligung zu laden, ergibt wenig Sinn und wird in der Praxis nicht gelebt.

IP-Adressen sind personenbezogene Daten. Dies gilt selbst für dynamische IP-Adressen. Siehe EuGH-Urteil vom 19.10.2016 – C-582/14 und BGH-Urteil vom 16.05.2017 – VI ZR 135/13 („Breyer“).

Beim Abruf von Google Fonts wird die IP-Adresse des Website-Besuchers in der Verantwortung des Website-Betreibers an Google übermittelt.

Zudem sind Google Fonts vermeidbar. Es gibt also ein milderes Mittel. Dazu müssen die Schriften einfach nur heruntergeladen und dann auf dem eigenen Web Server abgelegt werden. Von dort können sie dann datenschutzkonform eingebunden werden. Ein Datenschutztext für die Google Fonts, der sowieso ohne heilende Wirkung wäre, ist dann nicht mehr erforderlich. Eine genaue Untersuchung zeigt, dass keine wesentlichen Nachteile beim lokalen Einbetten von Google Schriften gegenüber dem Laden vom Google Server existieren.

Was ist zu tun?

Wenn Sie ein Schreiben erhalten haben und aufgefordert werden, eine Zahlung zu leisten oder eine Unterlassungserklärung abzugeben, sollten Sie folgendes tun.

Zunächst sollten Sie den Verstoß unverzüglich abstellen. Hierzu sollten Sie zunächst einen Webseiten-Check durchführen. Unser Online Check kann hierfür kostenfrei und ohne Registrierung genutzt werden. Sie sehen direkt nach Eingabe der Adresse (URL) Ihrer Webseite, ob ein Problem vorliegt.

Wenn Sie im Ergebnis Google Fonts angezeigt bekommen, sollten Sie handeln und Ihren Web-Betreuer kontaktieren. Der online Check prüft maximal fünf Unterseiten. Das ist für viele Fälle ausreichend. Für einen vollständigen Check über die gesamte Webseite finden Sie hier Möglichkeiten.

Häufig kommen solche Anschreiben von Personen wie Loris Bachert, Susanne Schober, Vernis Jankovskis oder von einer Person mit einem Namen mit griechischer Herkunft. Wenn dies der Fall ist, ist die Wahrscheinlichkeit hoch, dass Sie eines von vielen „Opfern“ sind. Demnach ist die Wahrscheinlichkeit gering, dass Sie eine Abmahnung verklagt werden.

Sie sollten gar nicht reagieren, wenn Sie wie oben per Mail mit einem Standardschreiben kontaktiert wurden. Oft enthalten diese Mails auch einen PDF-Anhang, in dem nur Ihre Webseite, nicht aber Ihre Kontaktdaten genannt sind. Dieses PDF ist dann oft automatisch oder aus einer Vorlage manuell erstellt. Auch hier ist keine Reaktion oft die beste Möglichkeit.

Übrigens gilt ein PDF-Anhang in einer Mail NICHT als zugestellt, wenn der Absender eine automatische Zustellbestätigung beim Absender seiner Nachricht an Sie eingestellt und erhalten hat. Der Absender hat dann nur einen Beweis, dass die Mail an sich, nicht aber deren Anhang, bei Ihnen angekommen ist. Vgl. etwa Urteil des LG Duisburg vom 17.07.2019 (Az.: 21 O 6/19). Niemand kann gezwungen werden, einen PDF-Anhang zu öffnen, der möglicherweise Schadsoftware enthält.

Wichtig: Entfernen Sie die Google Fonts und weitere Datenschutzverstöße von Ihrer Webseite. Es ist nicht damit getan, ein Consent Tool einzubinden, das oft als Cookie Tool bezeichnet wird. Cookie Tools können Google Fonts nicht blockieren!

Sie müssen Ihre Webseite manuell anpassen oder Ihre Agentur bitten, dies zu tun. Ihre Agentur hätte die Google Schriften gar nicht erst so einbinden dürfen, dass die Fonts von Google Servern geladen werden (außer, Sie haben das explizit gewünscht). Im Zweifel haftet Ihre Agentur mindestens zusammen mit Ihnen mit.

Wenn Ihre Webseite eigentlich nur eine Visitenkarte ist, sollten Sie darüber nachdenken, eine vollkommen DSGVO-konforme Webseite über unseren rechtssicheren Baukasten zu betreiben. Die Merkmale sind: einfach, günstig, sicher. Kontaktieren Sie uns bei Bedarf.

Gerne beraten wir Sie auch kostenfrei, wenn Sie ein Schreiben zu Google Fonts erhielten.