Google Fonts DSGVO konform in WordPress einbetten

Google Fonts sind die beliebteste Variante, Schriften auf einer Website einzubinden, damit sie optisch ansprechend ist und zum Unternehmen passt.

Mit Einführung der DSGVO war die weit verbreitete Meinung, dass Google Fonts nicht datenschutzrelevant sind, da sie zwar von einem Google Server geladen werden, aber keine Cookies gesetzt werden und man sich mit der Nutzung von Google Fonts auf Art. 6 (1) S.1 lit. f der DSGVO – „berechtigtes Interesse“ – stützen kann. Das hat sich mit einem Gerichtsurteil am LG München I (20.01.2022, 3 O 17493/20) geändert, wo ein Websitebetreiber zu € 100 Schadenersatz verurteilt wurde, da die IP-Adresse von Websitebesuchern ohne ausreichende Grundlage iSd Kap V (Art 44 ff DSGVO) in ein unsicheres Drittland übermittelt wird.

Man könne sich nicht mehr auf „berechtigtes Interesse“ berufen, da Google Fonts mittlerweile auch ohne großen Aufwand lokal gehostet werden können – auf dem Server, auf dem die Website läuft.

In Österreich wurde bisher in Hinblick auf die DSGVO nicht so wild geklagt wie in Deutschland. Offenbar gibt es nun aber auch in Österreich einen Rechtsanwalt, der „Unterlassungsschreiben samt Auskunftsbegehren“ als Massenbrief verschickt und € 190 Schadenersatz verlangt (lt. Newsletter der WKO vom 12.7.2022).

Werden Google Fonts auf meiner Website von einem Google Server geladen?

Ob Google Fonts extra von einem Google Server geladen werden, lässt sich für jede einzelne Webseite über den Quellcode oder ein Developer-Tool wie die Chrome Search Console feststellen. Dafür z.B. im Browser Chrome eine Website öffnen > rechte Maustaste > Untersuchen > Quellcode. Das schaut dann ungefähr so aus:

Ein Klick auf den kleinen Pfeil zeigt, welche Font-family geladen wird.

Zusätzlich sollte man in den Einstellungen des WordPress Themes bzw. im CSS überprüfen, ob noch andere Fonts im Einsatz sind, die man bei den überprüften Seiten nicht gesehen hat. Auch Plugins und Google Maps können zusätzliche Fonts laden.

Ob Google Fonts geladen werden, können Sie auch mit einem der mittlerweile zahlreichen Google Fonts Checker testen, z.B. diesem sicher3.de/google-fonts-checker/ … da reicht es, seine Domain einzugeben.

Wie bindet man Google Fonts DSGVO konform ein?

Die verwendeten Google Fonts kann man direkt von der Google Fonts Website oder über Google webfonts helper downloaden. Google Fonts sind Open Source, daher braucht man keine Lizenz dafür.

Die nächsten Schritte sind:

hochladen der Schrift auf die eigene Website (den eigenen Server)
einbinden, damit die Schriften bei jedem Website Aufruf auch geladen werden
Auswahl der Schriftarten im Theme, ev. in Plugins (Layer Slider, …) und ev. Anpassung des CSS

Je nach verwendetem Theme, Plugins und Editor kann das mehr oder weniger aufwändig sein. Bei Verwendung von „Elementor“ ist z.B. die kostenpflichtige Variante „Elementor Pro“ erforderlich, um lokal gehostete Fonts auswählen zu können. Bei Google Maps ist es etwas tricky, das Laden von lokal gehosteten Fonts zu forcieren.

Ein abschließender Check sollte beinhalten:

Browser und Server Cache leeren (damit keine alte Version zwischengespeichert wird)
neuerliche Überprüfung, ob nicht noch immer Google Fonts von einem Google Server geladen werden (siehe screenshot oberhalb … sollte jetzt nicht mehr auftauchen) oder über einen Google Fonts Checker wie diesen: https://sicher3.de/google-fonts-checker/
einen optischen Check zum Schluss – die Website sollte gleich aussehen wie vor der Umstellung.

Was kann man tun, wenn man einen Brief vom Rechtsanwalt bekommt?

WKO / Kammer kontaktieren
Wenn man ein „Unterlassungsschreiben samt Auskunftsbegehren“ wegen Google Fonts auf der eigenen Website erhalten hat, soll man sich lt. WKO bei der zuständigen Bezirksstelle melden. Ich gehe davon aus, dass die Wirtschaftskammer (und andere Kammern) sich darum kümmern, dass Massenabmahnungen in Österreich nicht erfolgreich werden. Etwas Druck bei der Rechtsanwaltskammer wäre sicher auch eine gute Idee.
Google Fonts lokal vom eigenen Server laden, auf dem die Website liegt (dabei bin ich gerne behilflich)
Auf dem Server der eigenen Website nach der angeführten IP Adresse und dem Namen der Mandantin lt. Schreiben des Rechtsanwalts – das dürfte immer „Eva Zajaczkowska“ sein – suchen, um das Auskunftsbegehren gemäß Art 15 DSGVO beantworten zu können.

Hinweis:
Da ich keine Juristin bin, stellt dieser Beitrag weder eine Rechtsberatung dar, noch ersetzt er eben diese. Bitte wenden Sie sich im Zweifel an eine Rechtsanwältin oder einen Rechtsanwalt mit Spezialisierung auf Datenschutz.