Auf der einen Seite liegt die Schriftdatei brav auf dem eigenen Server, auf der anderen ruft der Browser bei jedem einzelnen Seitenaufruf heimlich in Kalifornien an – genau dieser Unterschied entscheidet bei Google Fonts darüber, ob eine Website DSGVO-konform ist oder eine Abmahnung riskiert. Als Solopreneurin, die ihr eigenes Webdesign selbst zusammenbastelt, war mir das lange nicht klar: Wenn die Schriftart gut aussah, dachte ich, ist doch alles gut. Ist es nicht. Weil mich seitdem regelmäßig Leserinnen und Bekannte fragen, wie das mit der lokalen Einbindung eigentlich funktioniert, sammle ich hier die Antworten, die ich mir selbst mühsam zusammensuchen musste – Einträge, die inzwischen auch Teil meines kleinen Solopreneur-Tagebuchs zur Rechtssicherheit geworden sind.
Warum ist die dynamische Google-Fonts-Einbindung überhaupt ein DSGVO-Problem?
Das Gefühl, wenn ein Compliance-Scanner plötzlich Alarm schlägt, kenne ich noch von einer ganz anderen Situation: dem Brief vom Finanzamt, bei dem man genau weiß, dass die Steuererklärung noch nicht raus ist. Rot blinkende Warnmeldungen und Behördenpost lösen offenbar den gleichen Reflex aus: erst mal alles zuklappen und so tun, als hätte man nichts gesehen.
Die Antwort steckt in einer einzigen Zeile Code, die in unzähligen WordPress-Themes von Haus aus drinsteckt: ein externer Aufruf an die Google-Server. Sobald jemand deine Seite öffnet, holt der Browser die Schriftdatei nicht von deinem eigenen Server, sondern direkt von Google, und überträgt dabei automatisch die IP-Adresse des Besuchers in die USA, ohne dass vorher irgendjemand gefragt wurde. Das Landgericht München hat genau das im Januar 2022 unter dem Aktenzeichen 3 O 17493/20 für rechtswidrig erklärt: Die dynamische Einbindung ohne Einwilligung verstößt gegen die DSGVO, weil die Übertragung der IP-Adresse eine personenbezogene Datenverarbeitung ohne Rechtsgrundlage ist. Die einzige wirklich saubere Lösung, die seitdem überall empfohlen wird: die Schriftdateien lokal auf dem eigenen Server hosten, damit erst gar keine Verbindung zu Google mehr aufgebaut wird.
Der Unterschied zwischen 'lokal hosten' und 'nur behaupten, es sei lokal'
Lokale Einbindung bedeutet nicht, dass die Schrift irgendwie automatisch von selbst umzieht. Man lädt die eigentlichen Schriftdateien herunter, legt sie in einem Ordner auf dem eigenen Server ab und sagt der Website über eine CSS-Regel namens @font-face ganz genau, wo sie zu finden sind – keine Anfrage an Google mehr, keine IP-Adresse, die irgendwohin wandert. Meine Bekannte Birgit, die freiberuflich Webdesign macht, schickte mir irgendwann kommentarlos einen Link zum Tool 'google-webfonts-helper' und sonst kein Wort dazu. Typisch für sie: Sie wirft dir den Link hin und erwartet, dass du dich selbst durchklickst. Das Tool bereitet die Schriftdateien fertig zum Download auf und liefert den passenden CSS-Code gleich mit, sodass die @font-face-Regel nur noch eingefügt werden muss.
Auf meinem zweiten, etwas älteren Bildschirm hatte ich zwischenzeitlich sieben Tabs offen, während ich mich durch Ordnernamen wie 'wp-content' und 'public_html' klickte, um die Dateien am richtigen Ort abzulegen. Kompliziert ist das nicht, aber ungewohnt für jemanden, der sonst eher an Adjektiven als an Ordnerpfaden feilt. Wer sich damit noch nie beschäftigt hat, sollte für den ersten Durchlauf lieber einen ruhigen Nachmittag einplanen und nicht die letzten zwanzig Minuten vor Feierabend.
Reicht es, nur die Haupt-Schriftart lokal einzubinden?
Nein, und genau das unterschätzen die meisten am Anfang. Sobald ein Kontaktformular-Plugin, eine Landkarte oder ein eingebettetes Video dazukommt, kann im Hintergrund eine ganz eigene Verbindung zu Google entstehen, unabhängig davon, wie sauber die Haupt-Schriftart eingebunden ist. Das gleiche Prinzip gilt zum Beispiel, wenn man YouTube-Videos ohne Tracking einbinden möchte: Auch da schleicht sich sonst eine Verbindung zu Google-Servern ein, die niemand bewusst eingerichtet hat.
Ludmila, eine Etsy-Verkäuferin, die mir vor einiger Zeit über das Kontaktformular schrieb, wollte genau das wissen: Reicht es, wenn sie nur die Schriftart ihres Shops lokal einbindet, oder holt sie sich das Problem über ihr Buchungs-Plugin wieder zurück? Die ehrliche Antwort war: Es kommt darauf an, was das jeweilige Plugin im Hintergrund lädt, deshalb lohnt sich nach jeder neuen Erweiterung ein zweiter Blick. Ein paar Tage später schrieb sie zurück, sie habe die Verbindung im Buchungs-Tool gefunden und abgestellt – fertig.
So prüfst du, ob deine Website noch heimlich Kontakt zu Google hält
Am zuverlässigsten funktioniert das über den Seitenquelltext: Wer nach den Begriffen 'fonts.googleapis' oder 'fonts.gstatic' sucht, sieht sofort, ob noch eine externe Verbindung eingebaut ist. Genauso hilfreich ist der Netzwerk-Tab in den Entwicklertools des Browsers, der jede einzelne externe Anfrage auflistet, während die Seite lädt. Wichtig ist, diesen Check nicht nur einmal zu machen, sondern nach jedem Plugin-Update, jedem Theme-Wechsel und jeder neuen Einbindung von Karten, Videos oder Formularen zu wiederholen.
Getestet habe ich das übrigens nicht nur zuhause am Schreibtisch, sondern einmal auch im Basislager Co-Working in Leipzig-Zentrum, über das dortige öffentliche WLAN. Das Ergebnis war identisch, die Verbindung zu Google blieb blockiert, egal von welchem Netz aus ich die Seite aufgerufen habe. Das war für mich die Bestätigung, dass es an der eigenen Website liegt und nicht am Zufall irgendeiner Internetverbindung.
Ist die lokale Einbindung schon alles, was für eine rechtssichere Website zählt?
Nein, Google Fonts ist nur ein Puzzleteil unter mehreren. Ob überhaupt ein Impressum nötig ist, ist meistens die allererste Frage, die sich neue Website-Betreiberinnen stellen, dicht gefolgt von der Datenschutzerklärung, die praktisch jede Seite mit Kontaktformular oder Statistik-Tool braucht. Dazu kommt das Cookie-Banner, sobald irgendein Tracking oder externe Einbindungen genutzt werden, und ein paar DSGVO-Grundlagen, die man einmal verstanden haben sollte, bevor die Seite überhaupt online geht. Auch bei Bildern lohnt sich ein zweiter Blick, denn wie ich Bilder auf meiner Website rechtssicher nutze, hängt von einer ganz ähnlichen Frage ab wie bei den Schriftarten – nämlich, ob dabei unbemerkt Kontakt zu einem fremden Server aufgebaut wird.
Beim Newsletter gilt außerdem eine eigene Regel, das sogenannte Double-Opt-in-Verfahren. Ich weiß noch genau, wie ich nach dem allerersten Versand meines eigenen Newsletters zwei Stunden lang mit dem Handy neben der Tastatur saß und auf eine Mail von einem Anwalt wartete, die einfach nicht kam. Weil ich als Texterin Verträge mit meinen Kundinnen schließe, verstehe ich inzwischen auch, warum ich als Texterin eigene AGB für meine Dienstleistungen brauche, und weil ich mit mehreren Online-Tools arbeite, weiß ich genauso, warum ich als Solopreneur für jedes Tool einen AV-Vertrag brauche.
Ganz am Anfang, noch bevor ich mich mit alldem beschäftigt hatte, half ich mir mit einem kostenlosen Impressum-Generator, der noch auf das Jahr 2019 zurückging. Keine Ahnung, wie viele Gesetzesänderungen der seitdem verpasst hat – genau das hätte ich gerne vorher gewusst, bevor ich mich blind darauf verlassen habe. Nicht jedes Tool, das man online findet, ist eben auf dem aktuellen Stand.
Mein Fazit: Lokal ist unbequemer, aber die einzig ruhige Lösung
Für mich bleibt eine einfache Faustregel hängen: Sobald eine Website fremde Inhalte von Google, YouTube oder ähnlichen Diensten lädt, ohne dass ich das bewusst entschieden habe, ist das ein Warnsignal und kein Zufall. Die lokale Einbindung von Google Fonts kostet einen Nachmittag Geduld und ein bisschen Frust mit Ordnerstrukturen, aber danach muss ich nicht mehr hoffen, dass niemand genau hinschaut.
Wer selbst an seiner Website bastelt, sollte sich diese eine Regel merken: nach jedem neuen Plugin, jedem Theme-Update und jeder neuen Einbindung noch einmal kurz den Seitenquelltext oder einen Scanner checken. Es wird zur Gewohnheit, sobald man sie ein paar Mal gemacht hat. Und falls du dir bei deiner eigenen Seite unsicher bist, hilft immer noch der Griff zu einer Fachperson, die den Einzelfall wirklich beurteilen kann.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.