Seit Anfang Oktober 2022 erhielten Betreiber von Internetseiten massenhaft Abmahnungen, da diese Google Fonts auf der Webseite eingebunden und hierüber rechtswidrig Daten an Google in den USA übermittelt hätten.

In den Schreiben werden nun Geldbeträge zwischen 150,00 Euro und 300,00 Euro gefordert, damit die Angelegenheit eingestellt und nicht weiter verfolgt wird. Gleichzeitig wird auf diverse Urteile verwiesen, in denen deutsche Gerichte schon deutliche höhere Beträge (teilweise mehrere tausend Euro) in vergleichbaren Fällen zugesprochen hätten. Sofern der Webseitenbetreiber die Forderung nicht bezahlt, wird bereits eine Klage angedroht.

Bei Google Fonts handelt es sich um spezielle Schriftarten. Bei der Einbindung von Google Fonts wird den Besuchern der Webseite der Text in der entsprechenden Schriftart angezeigt. Hierfür lädt der Webbrowser des Besuchers die Schriftart auf dem Server von Google herunter.

Technisch wird dieser Download umgesetzt, indem die Webseite personenbezogene Daten des Besuchers (z.B. IP-Adresse, verwendetes Betriebssystem, Verwendeter Browser, Datums- und Zeitangaben etc.) an Google übermittelt.

Problematisch ist nicht die Verwendung von Google Fonts, sondern die Übermittlung von personenbezogenen Daten an Google in die USA.

Eine solche Übermittlung ist nur zulässig, wenn hierfür im Vorfeld eine Einwilligung des Besuchers eingeholt wurde. Der Besucher muss daher im Vorfeld zustimmen, dass er mit der Übermittlung seiner Daten an Google einverstanden ist. Willigt er nicht ein, ist eine Übermittlung rechtswidrig.

Diese Einwilligung wird (üblicherweise) mit den Cookie-Bannern, die inzwischen auf fast allen Webseiten angezeigt werden, erteilt.

Die Anforderungen an solche Cookie-Banner wurden bereits vor rund einem Jahr deutlich verschärft. Weitere Informationen zu den Anforderungen an Cookie-Banner finden Sie auch in unserem Blog-Beitrag „Neues zum Online-Tracking“ vom 03. Januar 2022.

Problematisch an vielen Webseiten ist, dass die Cookie-Banner (sofern solche verwendet werden) nicht korrekt arbeiten. Es findet daher bereits eine Übermittlung der Daten an Google statt, bevor der Besucher im Cookie-Banner seine Einwilligung erteilt hat.

Inhaltlich haben die Versender dieser Abmahnschreiben grundsätzlich Recht. In der Regel werden auf den abgemahnten Webseiten entweder gar keine Cookie-Banner verwendet oder diese sind nicht korrekt eingestellt und konfiguriert. Es findet daher eine Übertragung der personenbezogenen Daten an Google statt, ohne dass es hierfür eine Rechtsgrundlage gibt. Die Übermittlung der personenbezogen stellt daher einen Datenschutzverstoß dar.

Eine ganz andere Frage ist aber, ob auf Grund dieses Verstoßes ein Geldbetrag gefordert werden kann.

Dies dürfte nicht der Fall sein. Den abmahnenden Personen fehlt es bereits an einem Rechtsschutzbedürfnis. Die derzeit kursierenden Abmahnschreiben wurden an viele 100.000 Betroffene verschickt. Offensichtlich ging es den abmahnenden Personen daher darum, sich ein entsprechendes Einkommen zu verschaffen. Dies verstößt aber gegen den Sinn und Zweck der Datenschutzvorschriften. Datenschutz ist Verbraucherschutz und soll nicht dafür missbraucht werden, dass Dritte hierauf ein „Abmahn-Geschäftsmodell“ aufbauen können. Zur Verfolgung von Verletzungen gegen Datenschutzvorschriften sind in Deutschland vielmehr die Landesdatenschutzbeauftragten der jeweiligen Bundesländer zuständig.

Das Vorgehen der Abmahnkanzleien ist daher damit zu vergleichen, dass jemand privat einen Blitzer aufstellt und anschließend privat Strafzettel verschickt.

Darüber hinaus dürfte wohl auch an der Echtheit der angeblich betroffenen Personen ernsthafte Zweifel bestehen. Zum einen haben diese Personen zum Teil irrwitzige Wohnanschriften (z.B. in Berlin gegenüber dem Brandenburger Tor zwischen Hotel Adlon und amerikanischer Botschaft), zum anderen haben Vergleiche der in den jeweiligen Abmahnschreiben angegebene Zeitpunkte inzwischen ergeben, dass die angeblich betroffenen Personen binnen teils weniger als einer Minute viele Tausend Internetseiten aufgerufen und dort die angeblichen Verstöße hätten protokollieren müssen.

Sofern Sie Anwendungen bzw. Funktionen von Dritt-Anbietern auf Ihrer Internetseite eingebunden haben (z.B. Google Fonts, Youtube Videos, Google Maps etc.), darf eine Datenübermittlung an diese Drittanbieter erst stattfinden, nachdem der Besucher seine Einwilligung erteilt hat. Vorher dürfen die entsprechenden Plugins nicht laden.

Wenn ein Besucher daher (erstmalig) Ihre Internetseite besucht und bei dem Cookie-Banner keine Auswahl trifft (bzw. alle Cookies ablehnt) dürfen Dienste wie Google Maps auf Ihrer Internetseite erst gar nicht starten. Startet auf Ihrer Internetseite beispielsweise ein Karte von Google dennoch „automatisch“, ist Ihr Einwilligungsbanner nicht korrekt konfiguriert.

Sie sollten daher entweder auf die Verwendung solcher Plugins komplett verzichten oder diese korrekt einbinden. Entsprechende Cookiebanner bieten diverse Anbieter an.

Sofern für die Erstellung Ihrer Webseite WordPress verwendet wurde, können ebenfalls spezielle Font Blocker verwendet werden.

Die meisten Urteile haben nichts mit der Verwendung von Google Fonts zu tun. Vielmehr haben die Abmahnkanzleien – mehr oder weniger willkürlich – irgendwelche Urteile angegeben, in denen es (auch) um datenschutzrechtliche Fragen geht. Überwiegend handelt es sich hierbei um Urteile von Arbeitsgerichten. Diese haben allerdings inhaltlich nichts mit einer Internetseite, Google Fonts oder Cookie-Banner zu tun.

Lediglich ein Urteil vom Landgericht München beschäftigt sich tatsächlich mit einer Verletzung wegen Google Fonts. In diesem Verfahren wurde dem Geschädigten ein Schmerzensgeld von 100 Euro zugesprochen.