2022 hat das Landgericht München I entschieden, dass die Einbindung von Google Fonts über Googles Server ohne Einwilligung gegen die DSGVO verstößt. Der Grund: Beim Laden der Schrift wird die IP-Adresse des Besuchers an Google in die USA übertragen, ohne dass er gefragt wurde.
Danach kam eine Abmahnwelle. Serienbriefe mit Zahlungsaufforderungen über 100 bis 200 Euro, oft von zweifelhaften Absendern. Viele dieser Schreiben waren rechtsmissbräuchlich, und mehrere Gerichte haben das später auch so gesehen.
Warum das Thema trotzdem nicht erledigt ist
Die Abmahnwelle ist abgeebbt. Der zugrunde liegende Punkt nicht: Wer Schriften von einem fremden Server lädt, übermittelt personenbezogene Daten, ohne dass der Besucher zugestimmt hat.
Das gilt nicht nur für Google Fonts. Dieselbe Frage stellt sich bei Icon-Sammlungen, JavaScript-Bibliotheken von CDNs, eingebetteten Karten und Videos.
Die Lösung ist unspektakulär
Schriften herunterladen, auf den eigenen Server legen, im Stylesheet mit
@font-face einbinden. Das ist eine halbe Stunde Arbeit und erledigt das
Thema dauerhaft.
Die Lizenz erlaubt das ausdrücklich: Google Fonts stehen unter der SIL Open Font License, die das Selbsthosten einschließt. Es gibt also keinen Grund, es nicht zu tun.
Der Nebeneffekt: Es wird schneller
Eine Schrift vom eigenen Server spart:
- Einen DNS-Aufruf zu
fonts.googleapis.com - Einen Verbindungsaufbau zu einem fremden Host, inklusive TLS-Handshake
- Einen zweiten zu
fonts.gstatic.com, wo die Dateien tatsächlich liegen
Das sind auf einer Mobilverbindung schnell 200 bis 400 Millisekunden, bevor das erste Zeichen erscheint. Browser teilen ihren Cache seit Jahren nicht mehr zwischen Websites, das alte Argument „die Schrift ist beim Besucher schon geladen" gilt also nicht mehr.
Wie du prüfst, ob deine Seite betroffen ist
Öffne die Seite, drücke F12, geh auf den Reiter Netzwerk und lade neu.
Suche nach googleapis, gstatic, cdn oder fonts. Was dort auftaucht,
wird von fremden Servern geladen.
Bei unseren Projekten liegen Schriften grundsätzlich lokal. Nicht wegen der Abmahnungen, sondern weil eine Seite, die ohne fremde Server auskommt, schneller ist und in der Datenschutzerklärung einen Absatz weniger braucht.