Google Fonts Datenschutzerklärung Muster: zwei Textbausteine, Prüfcheck und rechtssichere Anpassung

Warum die Einbindungsart den Text bestimmt

Eine Schriftart wirkt wie ein rein gestalterisches Detail. Datenschutzrechtlich zählt aber nicht die optische Funktion, sondern der technische Ablauf beim Seitenaufruf.

Bei lokaler Einbindung liegen die Schriftdateien auf Ihrem Webserver oder beim beauftragten Hostinganbieter. Der Browser muss keine Verbindung zu Google herstellen, um die Schrift darzustellen.

Bei externer Einbindung fordert der Browser mindestens ein Stylesheet oder eine Schriftdatei von einer Google-Domain an. Dabei wird die IP-Adresse des Besuchers technisch an den angesprochenen Server übermittelt. Je nach Konfiguration fallen weitere Verbindungsdaten an: Zeitpunkt des Abrufs, angeforderte Datei, Browsertyp, Betriebssystem und Referrer.

Genau hier liegt der rechtliche Kern. Eine dynamische IP-Adresse kann ein personenbezogenes Datum im Sinne der DSGVO sein. Die häufig zitierte Beruhigung, Google Fonts setze keine Cookies, beantwortet die Frage deshalb nicht: Es geht nicht um eine Speicherung im Endgerät, sondern um eine Übermittlung.

Muster 1: Textbaustein für lokal gehostete Google Fonts

Dieser Baustein passt, wenn die Schriftdateien tatsächlich lokal ausgeliefert werden und beim Seitenaufruf keine Verbindung zu Google Fonts, den Google Fonts APIs oder Google Static aufgebaut wird.

Lokale Einbindung von Google Fonts

Diese Website verwendet Schriftarten, die ursprünglich über Google Fonts bereitgestellt werden. Die benötigten Schriftdateien sind lokal auf unserem Server beziehungsweise auf den Servern unseres Hostinganbieters gespeichert.

Beim Aufruf unserer Website werden die Schriftarten deshalb nicht von Servern des Anbieters geladen. Durch die Darstellung der Schriftarten wird keine Verbindung zu Google hergestellt, und es werden in diesem Zusammenhang keine personenbezogenen Daten an Google übermittelt.

Die lokale Verwendung der Schriftarten dient der einheitlichen und ansprechenden Darstellung unseres Onlineangebots. Soweit bei der Auslieferung der Schriftdateien durch unseren Webserver technisch erforderliche Zugriffsdaten verarbeitet werden, erfolgt dies im Rahmen des allgemeinen Websitebetriebs.

Weitere Informationen zur Verarbeitung von Server-Logdaten finden Sie im Abschnitt [Bezeichnung oder Verlinkung des Abschnitts zu Hosting und Server-Logfiles].

Voraussetzungen für Muster 1

Der Text darf nur verwendet werden, wenn alle folgenden Punkte zutreffen:

• Die Schriftdateien liegen auf dem eigenen Server oder beim eigenen Hostinganbieter.
• Sämtliche CSS-Anweisungen verweisen ausschließlich auf lokale Dateipfade.
• Es wird kein Stylesheet von fonts.googleapis.com geladen.
• Es wird keine Schriftdatei von fonts.gstatic.com geladen.
• Kein Theme, Plugin, Formular, Kartenmodul oder eingebettetes Widget stellt an anderer Stelle erneut eine Verbindung zu Google Fonts her.
• Auch vor einer möglichen Consent-Auswahl findet kein externer Schriftabruf statt.

Der häufigste Fehler an dieser Stelle: Auf dem Server liegen lokale Schriftdateien, gleichzeitig lädt ein einzelnes Modul weiterhin einen externen Schriftschnitt oder eine Icon-Schrift nach. Vorhandene lokale Dateien beweisen nichts. Maßgeblich ist allein der beobachtbare Datenverkehr über alle Seitentypen hinweg.

Muster 2: Textbaustein für extern eingebundene Google Fonts

Dieser Baustein gilt, wenn Stylesheets oder Schriftdateien weiterhin von Google-Servern abgerufen werden. Setzen Sie ihn erst nach einer technischen und rechtlichen Prüfung ein: Rechtsgrundlage, Empfänger, mögliche Drittlandübermittlung und eine gegebenenfalls erforderliche vorherige Einwilligung müssen vorher geklärt sein.

Externe Einbindung von Google Fonts

Auf dieser Website nutzen wir Google Fonts zur einheitlichen Darstellung von Schriftarten. Anbieter des Dienstes ist [vollständige Firmierung und Anschrift des Anbieters gemäß dessen aktuellen Anbieterinformationen eintragen]. Je nach Verarbeitung können weitere verbundene Unternehmen einbezogen sein.

Wenn Sie der Nutzung von Google Fonts über unser Consent-System zugestimmt haben, stellt Ihr Browser eine Verbindung zu Servern des Anbieters her. Dabei wird insbesondere Ihre IP-Adresse übermittelt. Zusätzlich können technische Informationen wie Zeitpunkt des Abrufs, aufgerufene Datei, Browsertyp, Betriebssystem und Referrer verarbeitet werden.

Zweck der Verarbeitung ist die technisch zuverlässige und einheitliche Darstellung unserer Website.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 Buchstabe a DSGVO. Soweit für den Zugriff auf Informationen in Ihrem Endgerät oder deren Speicherung eine Einwilligung nach den anwendbaren telemedien- beziehungsweise digitaldienstespezifischen Vorschriften erforderlich ist, umfasst die abgefragte Einwilligung auch diesen Vorgang.

Die Verbindung wird erst hergestellt, nachdem Sie Ihre Einwilligung erteilt haben. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft über [Link oder Bezeichnung der Consent-Einstellungen] widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Eine Übermittlung personenbezogener Daten an Empfänger außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums kann nicht ausgeschlossen werden. Zu den eingesetzten Übermittlungsmechanismen und Garantien: [konkrete Angaben zu Angemessenheitsbeschluss, Zertifizierung, Standardvertragsklauseln oder sonstigem Mechanismus ergänzen].

Weitere Informationen zur Datenverarbeitung durch den Anbieter, zu Speicherdauern und zu Ihren Rechten: [aktuelle Datenschutzhinweise des Anbieters verlinken].

Was Sie vor der Veröffentlichung ergänzen müssen

Die Platzhalter sind kein Stilmittel, sondern Pflichtangaben. Nach Art. 13 DSGVO müssen betroffene Personen unter anderem über Verantwortliche, Zwecke, Rechtsgrundlage, Empfänger, Speicherdauer und ihre Rechte informiert werden. Ein Satz wie “Wir verwenden Google Fonts” genügt dafür regelmäßig nicht.

Konkret einzutragen sind:

• Anbieter mit aktueller, vollständiger Firmierung und Anschrift
• die tatsächlich aufgerufenen Domains
• die verarbeiteten Datenarten und der konkrete Zweck
• die gewählte Rechtsgrundlage
• das eingesetzte Consent-Management-System und der Weg zum Widerruf
• Empfänger oder Kategorien von Empfängern
• Speicherdauer oder die Kriterien für ihre Festlegung
• mögliche Drittlandübermittlungen und der konkrete Übermittlungsmechanismus
• aktuelle Links zu den Anbieterinformationen

Braucht die externe Einbindung eine Einwilligung?

Ob eine Einwilligung nötig ist, hängt von der technischen Ausgestaltung und der rechtlichen Bewertung im Einzelfall ab. Sicher ist: Ein Absatz in der Datenschutzerklärung ersetzt eine erforderliche Einwilligung nicht.

Praktische Aufmerksamkeit bekam das Thema durch eine Entscheidung des LG München I aus dem Jahr 2022. Das Gericht bewertete die automatisierte Weitergabe einer dynamischen IP-Adresse an Google durch eine remote eingebundene Google-Schrift ohne Zustimmung als Verletzung des Persönlichkeitsrechts. Es stellte dabei ausdrücklich darauf ab, dass Google Fonts auch lokal eingesetzt werden können, ohne beim Seitenaufruf eine Verbindung zu einem Google-Server herzustellen. Die Entscheidung betrifft einen Einzelfall, benennt aber genau das Risiko einer ungeprüften Remote-Einbindung.

Wenn Sie die externe Einbindung auf eine Einwilligung stützen, muss die Verbindung technisch blockiert bleiben, bis die Zustimmung vorliegt. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit weist für einwilligungsbedürftige Drittanbieterdienste darauf hin, dass die Einwilligung vor der betreffenden Verarbeitung eingeholt werden muss und weder vorangekreuzte Felder noch bloße Hinweise ausreichen.

Für die Umsetzung heißt das:

• Vor der Einwilligung geht keine Anfrage an eine Google-Fonts-Domain hinaus.
• Ablehnen ist genauso einfach möglich wie Zustimmen.
• Die Website bleibt bei einer Ablehnung nutzbar.
• Die Entscheidung wird nachvollziehbar dokumentiert.
• Ein Widerruf ist jederzeit möglich und verhindert danach zuverlässig weitere Abrufe.
• Der Text der Datenschutzerklärung beschreibt genau diesen Ablauf.

Wer die externe Einbindung stattdessen auf ein berechtigtes Interesse stützen will, sollte das nicht ungeprüft aus einem Muster übernehmen. Nötig wären eine belastbare Interessenabwägung, eine Prüfung der Erforderlichkeit und eine Begründung, warum keine mildere Alternative eingesetzt wird. Die Möglichkeit des lokalen Hostings ist dabei ein schwer zu übergehender Gesichtspunkt.

Drittlandübermittlung gesondert prüfen

Werden IP-Adressen oder andere personenbezogene Daten an Empfänger außerhalb der EU und des EWR übermittelt, reicht die Wahl einer Rechtsgrundlage nach Art. 6 DSGVO nicht aus. Zusätzlich müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein.

Zu klären ist deshalb, welche Gesellschaften tatsächlich beteiligt sind, wo verarbeitet wird und welcher Übermittlungsmechanismus greift: Angemessenheitsbeschluss, wirksame Zertifizierung, Standardvertragsklauseln oder eine andere gesetzlich vorgesehene Garantie. Der pauschale Satz “Google verarbeitet Daten möglicherweise in den USA” dokumentiert nichts davon. Die Angaben müssen zur aktuellen Vertragslage und zur tatsächlichen Einbindung passen.

Implementierungscheck: fünf Schritte vor der Veröffentlichung

1. Netzwerkverbindungen kontrollieren. Im Netzwerkreiter der Entwicklerwerkzeuge alle Anfragen prüfen: fonts.googleapis.com, fonts.gstatic.com, weitere Google-Domains, externe CSS-Dateien mit Schriftdefinitionen sowie Dateien mit den Endungen .woff, .woff2, .ttf oder .otf. Prüfen Sie dreimal: vor jeder Consent-Auswahl, nach Ablehnung und nach Zustimmung.

2. Alle Seitentypen testen. Die Startseite allein genügt nicht. Schriften erscheinen oft nur in Formularen, Karten, Buchungsstrecken, Pop-ups oder eingebetteten Anwendungen. Testen Sie mindestens Startseite, Leistungsseiten, Kontaktseite, Landingpages und dynamische Seitentypen.

3. Nachgeladene Inhalte erfassen. Manche Verbindungen entstehen erst nach einer Nutzeraktion, etwa beim Öffnen eines Dialogs oder eines externen Widgets. Diese gehören ebenso in die Messung.

4. Consent-Blockierung verifizieren. Eine Kategorie im Banner ist nur eine Anzeige. Entscheidend ist, ob vor der Zustimmung messbar keine Verbindung aufgebaut wird.

5. Text gegen Messergebnis abgleichen. Steht in der Datenschutzerklärung “lokal gehostet”, darf im Netzwerkprotokoll keine Google-Schriftdatei auftauchen. Umgekehrt muss eine externe Einbindung vollständig und konkret beschrieben sein. Wiederholen Sie diesen Abgleich nach jedem Theme-Update und nach jedem neu eingebauten Modul.

Welche Variante ist für Unternehmen praktikabel?

In den meisten Fällen ist lokales Hosting die technisch einfachere und datensparsamere Lösung. Sie verhindert den Schriftabruf bei Google und reduziert den Aufwand für Consent, Drittlandprüfung und Anbieterinformationen spürbar.

Lokales Hosting löst allerdings nicht alle Datenschutzfragen Ihrer Website. Ihr Server verarbeitet weiterhin technisch erforderliche Zugriffsdaten, und andere eingebundene Dienste bauen eigene Verbindungen auf. Außerdem sind Lizenzbedingungen, Updates, verwendete Schriftschnitte und die korrekte Auslieferung der Dateien zu berücksichtigen.

Die externe Einbindung kann im Einzelfall bewusst beibehalten werden. Dann muss sie technisch kontrolliert und rechtlich dokumentiert sein. Ein kopierter Mustertext macht eine unzulässige Übermittlung nicht zulässig, er dokumentiert sie nur.

Google Fonts prüfen und Datenschutztext individualisieren lassen

Sie wollen wissen, ob Ihre Website Google Fonts lokal oder extern lädt, und welcher der beiden Textbausteine für Sie tatsächlich gilt? Wir messen die realen Netzwerkverbindungen über alle Seitentypen, decken versteckte Nachladevorgänge auf und gleichen Technik, Consent-System und Datenschutzerklärung miteinander ab.

Je nach Befund unterstützen wir Sie bei:

• der technischen Bestandsaufnahme inklusive Messprotokoll
• der Umstellung auf lokales Hosting
• der zuverlässigen Blockierung bis zur Einwilligung
• der Prüfung des gesamten Consent-Ablaufs inklusive Widerruf
• der Ermittlung aller relevanten Domains und Datenflüsse
• der Vorbereitung eines individuell passenden Datenschutztextes
• der Abstimmung mit Ihrer Datenschutzbeauftragten oder Ihrer Rechtsberatung

Am Ende steht kein allgemeines Google Fonts Datenschutzerklärung Muster, sondern ein Text, der zu Ihrer gemessenen Einbindung passt. Für eine verbindliche rechtliche Beurteilung kann der erarbeitete technische Befund zusätzlich durch eine qualifizierte Rechtsberatung geprüft werden.