Schadensersatz wegen Einsatz von Google Web Fonts

Am 20.01.2022 verurteilte das Landgericht München einen Webseitenbetreiber zu einem Schadensersatz in Höhe von 100 € wegen der unrechtmäßigen Weitergabe der IP-Adresse eines Webseitenbesuchers an Google. Diese Weitergabe erfolgte im Rahmen des Einsatzes von „Google Web Fonts“. Hierbei handelt es sich um einen Google-Dienst, der genutzt werden kann, um das Schriftbild einer Webseite zu gestalten und zu vereinheitlichen.

Laut der „Google Font API Usage Statistics“ von „Built-with“ gibt es allein in Deutschland derzeit fast 2,5 Millionen Webseiten, auf denen die Schriftarten von Google Web Fonts eingebunden sind; weltweit sind es über 60 Millionen Webseiten.

Folglich hat das Urteil des LG München rechtliche Relevanz für viele Webseitenbetreiber, insbesondere weil Google Fonts auch oft über Plug-Ins (wie Smart Slider) oder andere Dienstleister und Auftragsverarbeiter (wie z.B. durch Kontaktformulare) unerkannt auf Webseiten eingebunden werden kann.

Die zentralen Punkte der Entscheidung werden im Folgenden kurz zusammengefasst und erläutert. Außerdem werden die Folgen für die Nutzung des Google-Dienstes beschrieben.

Wie funktioniert die Datenverarbeitung durch Google Web Fonts?

Viele Webseitenbetreiber nutzen Google Web Fonts zur einheitlichen Darstellung der Schriftarten auf ihrer Seite. Eine Datenverarbeitung liegt vor, weil beim Aufruf der Seite der Browser des Nutzers die benötigten Schriftarten in den Browsercache herunterlädt und hierfür eine Verbindung zu den Servern von Google aufbaut. Google erlangt so Kenntnis über die IP-Adresse, über welche die Webseite aufgerufen wurde.

Dass es sich bei IP-Adressen um personenbezogene Daten im Sinne des Art. 4 Nr.  1 der EU-Datenschutz-Grundverordnung (DSGVO) handelt, hat der Europäische Gerichtshof (EuGH) bereits in seinem Urteil vom 19. Oktober 2016 entschieden. Aus diesem Grund stellt die Übermittlung der IP-Adresse an Google eine Datenverarbeitung nach Art. 2 DSGVO dar, auf die die Vorschriften der DSGVO anzuwenden sind. Erschwerend kommt hinzu, dass es sich bei der Übermittlung der Daten an Google, um eine Datenverarbeitung mit Drittlandsbezug handelt. Die Daten werden an Server in den USA übermittelt, die in den Augen des EuGH keine ausreichenden Datenschutzgarantien bieten (vgl. „Schrems II“- Urteil vom 16. Juli 2020).

Die Frage der Rechtmäßigkeit des Einsatzes von Google Web Fonts

Nach der DSGVO gilt der Grundsatz der Rechtmäßigkeit bzw. ein Verbot der Datenverarbeitung mit Erlaubnisvorbehalt. Daraus folgt, dass die Verarbeitung nur durchgeführt werden darf, wenn einer der Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO erfüllt wird.

Einwilligung – Nach Art. 6 Abs. 1 lit. a) DSGVO ist eine Verarbeitung etwa dann rechtmäßig, wenn die betroffene Person in die Verarbeitung eingewilligt hat. Eine solche Einwilligung könnte beim Einsatz von Google Fonts beispielsweise durch einen sogenannten „Cookie Banner“ oder „Consent Banner“ eingeholt werden. Hier müssen jedoch einige Voraussetzungen beachtet werden, beispielweise muss der Nutzer seine Einwilligung verweigern oder im Nachhinein widerrufen können. Darüber hinaus muss der Webseitenbesucher über den Umfang seiner Einwilligung informiert werden und die Nutzung der entsprechenden Webseite muss auch ohne die Datenverarbeitung, also ggf. ohne den Einsatz von Google Web Fonts, möglich sein.

Berechtigtes Interesse – Um die geschilderten Nachteile einer Einwilligung zu umgehen, stützen viele Webseitenbetreiber ihre Nutzung von Google Web Fonts stattdessen auf ein berechtigtes Interesse des Webseitenbetreibers gem. Art. 6 Abs. 1 lit. f) DSGVO. Das berechtigte Interesse wird darin gesehen, eine visuell interessante und gleichzeitig nutzerfreundliche Webseite anbieten zu können. Der Vorteil gegenüber der Einwilligung liegt darin, dass Nutzer der Datenverarbeitung nicht zustimmen müssen, sodass eine einheitliche Darstellung unabhängig von den Entscheidungen der Webseitenbesucher immer gewährleistet werden kann.

Kann die Nutzung von Google Fonts auf ein berechtigtes Interesse gestützt werden?

In seiner Entscheidung vom 20.01.2022 kam das LG München im Rahmen der Interessenabwägung aber zu dem Ergebnis, dass zwar in der Regel ein berechtigtes Interesse des Webseitenbetreibers vorliegt, dass die entgegenstehenden Rechte und Freiheiten der betroffenen Personen jedoch überwiegen. Insbesondere ging es dem Gericht um die Frage, ob es ein milderes Mittel gibt, durch welches das berechtigte Interesse des Webseitenbetreibers erreicht werden könnte und welches weniger stark in die Rechte und Freiheiten der betroffenen Personen eingreift.

Das Gericht argumentierte, dass die Verarbeitung lediglich bei einer lokalen Einbindung von Google Web Fonts auf den eigenen Servern durch ein berechtigtes Interesse gerechtfertigt werden kann. Diese Art der Einbindung unterbindet den Verbindungsaufbau mit Google Servern und somit auch die Übertragung der IP-Adressen. Sie stellt ein milderes Mittel dar und nur sie ist damit von einem berechtigten Interesse gedeckt.

Fazit und Folgen

Das Urteil des Landgerichts München hat erhebliche Auswirkungen auf den Einsatz von Google Web Fonts auf Webseiten. Denn die Verwendung von Google Web Fonts kann in Zukunft nur dann auf das berechtigte Interesse gestützt werden, wenn eine lokale Einbindung erfolgt ist, sodass keine personenbezogenen Daten in die USA übermittelt werden. Andernfalls ist eine wirksame Einwilligung erforderlich.

Es sollte dabei auch vor allem darauf geachtet werden, dass automatische Updates bei Subunternehmern dazu führen können, dass Google Fonts auch auf Ihrer Webseite unerkannt wieder genutzt wird. Eine regelmäßige Überprüfung der datenschutzrechtlichen Compliance Ihrer Webseite ist somit unerlässlich.

Wir helfen Ihnen selbstverständlich gerne bei der datenschutzrechtlichen Bewertung Ihrer Webseite. Treten Sie gerne mit uns in Kontakt.