Schadensersatz wegen rechtswidriger Einbindung von Google Fonts

Vor dem Landgericht München I ist eine Website-Betreiberin zu Unterlassung und Schadensersatz verurteilt worden (Urteil v. 20.01.2022, Az. 3 O 17493/20). Stein des Anstoßes war die Einbindung des Schriftartendienstes Google Fonts, mit der es zu einer Weiterleitung der IP-Adresse des klagenden Website-Besuchers an das US-Unternehmen kam. Eine Einwilligung hatte die Website-Betreiberin dafür nicht eingeholt und damit Persönlichkeitsrechte des Besuchers verletzt. Zwar betrifft das Urteil nur den konkreten Fall der Einbindung von Google Fonts, die Ausführungen des Urteils lassen sich jedoch auch auf vergleichbare US-Dienste übertragen. 

Einbindung von Google Fonts: Darum geht es

Über Google Fonts werden verschiedene, grundsätzlich kostenlose Schriftarten zur Verfügung gestellt, die Betreiber:innen von Websites einbinden können. Dazu bestehen zwei verschiedene Möglichkeiten: Bei der statischen Einbindung wird die Schriftart heruntergeladen und fest in die Website eingebunden. Im Fall vor Gericht aber hatte die Website-Betreiberin die andere, dynamische Variante gewählt. Die Schriftart ist dabei nicht auf dem Server der Website-Betreiber:innen gespeichert. Vielmehr wird beim Besuch eine Verbindung zum Google-Server aufgebaut und die Schrift von dort geladen. Ein Vorteil: Die besuchte Website lädt möglicherweise schneller. Ein potenzieller Nachteil: Die IP-Adresse der Besucher:innen wird an das anbietende US-Unternehmen übermittelt. Bei solchen IP-Adressen handelt es sich um personenbezogene Daten, sodass grundsätzlich der Anwendungsbereich der DSGVO eröffnet ist. 

Datenübermittlung ohne Einwilligung führt zur Klage

Die Einwilligung für diesen Vorgang hatte die Website-Betreiberin vom klagenden Nutzer nicht eingeholt, weshalb dieser schließlich Unterlassung und Schadensersatz verlangte. Der Klage gab das Landgericht München I statt und bestätigte den Anspruch des Klägers auf Unterlassung der Weitergabe seiner IP-Adresse an Google. Durch die unerlaubte Weitergabe sei es zu einer Verletzung des informationellen Selbstbestimmungsrechts des Nutzers gekommen, das das Recht der einzelnen Person umfasst, über Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen. Neben der Unterlassung wurde die Website-Betreiberin zu einem Schadensersatz von 100 Euro verurteilt. Außerdem muss sie dem Kläger Auskunft darüber erteilen, ob und welche personenbezogenen Daten über ihn gespeichert bzw. verarbeitet wurden. 

Berechtigtes Interesse und Schadensersatz

Auch die Berufung auf das von der DSGVO als Rechtfertigungsgrund vorgesehene berechtigte Interesse half der Website-Betreiberin vor Gericht nicht weiter. Wie es im Urteil heißt, hätte die Beklagte Google Fonts auch nutzen können, ohne dass es beim Aufruf der Website zum Aufbau einer Verbindung zu Google-Servern kommt und dabei die IP-Adresse des Nutzers übermittelt wird – mit der statischen Einbindungsvariante. Auch könne man vom Kläger nicht verlangen, dass dieser seine eigene IP-Adresse zum Beispiel durch die Nutzung eines VPN (Virtual Private Network) verschlüsselt. 

Die Verhängung des Bußgelds begründet sich auf Art. 82 Abs. 1 DSGVO. „Der damit verbundene Eingriff in das allgemeine Persönlichkeitsrecht ist im Hinblick auf den Kontrollverlust des Klägers über ein personenbezogenes Datum an Google, ein Unternehmen, das bekanntermaßen Daten über seine Nutzer sammelt und das damit vom Kläger empfundene individuelle Unwohlsein so erheblich, dass ein Schadensersatzanspruch gerechtfertigt ist“, heißt es im Urteil. Auch sei zu berücksichtigen, dass mit der Übermittlung der IP-Adresse an Google eine Datenweitergabe in die USA erfolgte, wo kein angemessenes Datenschutzniveau gewährleistet sei. Die Höhe des Bußgeldes wurde von der Beklagten nicht angegriffen. 

Nutzung von Google Fonts & Co. – Was bedeutet das Urteil?

Die Nutzung von Google Fonts ist nicht per se datenschutzrechtlich problematisch. So kommt es bei einer statischen Einbindung der Schriftarten beim Seitenaufruf zu keiner Datenübermittlung an Google, sodass es nicht zum Vorgang der streitgegenständlichen Datenverarbeitung kommt. Wer sich für die dynamische Einbindung entscheidet, sollte aber eine ordnungsgemäße Einwilligung der Website-Besucher:innen einholen, etwa mithilfe eines entsprechenden Consent Tools. Die seit einem Urteil des EuGH diskutierte Situation der Übermittlung von personenbezogenen Daten in die USA bleibt jedoch weiterhin offen. 

Mittelbar könnte sich das Urteil auch auf die Nutzung vergleichbarer Dienste auswirken, die dynamisch in einer Website eingebunden werden und personenbezogene Daten der Nutzer:innen in die USA übermitteln. Auch kann der hier geltend gemachte Anspruch auf Unterlassung einer entsprechenden Datenverarbeitung grundsätzlich allen von einer vergleichbaren Situation betroffenen Website-Besucher:innen offen stehen und zu Abmahnungen oder Klagen führen.

Dieses Urteil gilt übrigens auch für fertige (WordPress-)Templates, welche die Google Fonts beispielsweise über ein Plugin nachladen. Jedoch ist auch diese Verwendung nicht DSGVO-konform. Hier ist ebenso eine individuelle Nachbesserung des Webseiten-Besuchers notwendig. Eine Anleitung dazu gibt es hier.