Google Fonts DSGVO-konform einbinden

Was das Problem mit Google Fonts ist

Schriften sind ein Designmittel, das lange selbstverständlich wirkte: Wer eine Webseite baut, bindet die gewünschte Schriftart ein und denkt kaum über den technischen Weg nach, auf dem die Dateien beim Besucher ankommen. Genau dieser Weg ist bei Google Fonts über das Content-Delivery-Network von Google nicht neutral.

Das Landgericht München hat entschieden, dass die dynamische Einbindung von Google Fonts über das CDN eine unzulässige Übertragung der IP-Adresse des Besuchers an Google darstellen kann. Die IP-Adresse gilt als personenbezogenes Datum. Wer sie ohne Rechtsgrundlage an einen Drittanbieter übermittelt, verarbeitet personenbezogene Daten, ohne dass dafür eine Einwilligung vorliegt oder eine andere rechtliche Grundlage das rechtfertigt.

In der Praxis hat das bereits zu Abmahnungen geführt. Betroffen sind nicht nur große Shops, sondern prinzipiell jede Seite, die die Schriftdateien im Browser direkt von den Google-Servern lädt. Das Risiko ist also nicht theoretisch, sondern ein realer, wiederkehrender Anlass für kostenpflichtige Aufforderungen.

Warum die dynamische Einbindung das Kernproblem ist

Der entscheidende Punkt ist nicht, dass eine bestimmte Schriftart verwendet wird, sondern wie sie ausgeliefert wird. Bei der dynamischen Einbindung verweist der Quellcode der Seite auf Adressen unter fonts.googleapis.com oder fonts.gstatic.com. Der Browser des Besuchers holt sich die Schriftdateien dann direkt von dort. Bei jedem Aufruf entsteht so ein Kontakt zwischen dem Endgerät des Besuchers und den Servern von Google – und damit eine Übermittlung der IP-Adresse.

Die Schrift selbst ist nicht das Problem. Sie kann unverändert weiterverwendet werden. Was geändert werden muss, ist der Übertragungsweg: Statt die Datei bei Google abzuholen, liegt sie auf dem eigenen Server und wird von dort ausgeliefert. Dann entsteht kein Kontakt mehr zu Google, und es fließt auch keine IP-Adresse dorthin.

Self-Hosting als Lösung

Self-Hosting bedeutet: Die Schriftdateien werden direkt auf dem eigenen Server oder im eigenen Projekt abgelegt und von dort eingebunden. Statt eines Verweises auf fonts.googleapis.com enthält der Quellcode einen relativen Pfad zu einer Datei, die im eigenen Projekt liegt. Die Schriftart bleibt dieselbe – nur die Quelle ändert sich.

Praktisch bedeutet das meist drei Schritte. Erstens: die Schriftdateien herunterladen, wofür die Anbieter der Schriften oder Werkzeuge wie das Fontsource-Projekt die Dateien bereitstellen. Zweitens: die Dateien im Projektverzeichnis ablegen, etwa unter einem Ordner für statische Assets. Drittens: im Stylesheet die Schrift über einen lokalen Pfad einbinden, mit den passenden Formaten und einer passenden Schriftfamilie.

Wer zuvor Google Fonts eingebunden hatte, baut damit jede einzelne Schriftreferenz um. Es reicht nicht, einen Hinweis in die Datenschutzerklärung zu setzen und die dynamische Einbindung beizubehalten – das Problem ist gerade die Übermittlung selbst, und die lässt sich nur durch den Wechsel der Quelle beheben.

Die Datenschutzerklärung anpassen

Nach dem Wechsel muss die Datenschutzerklärung entsprechend angepasst werden. Solange Google Fonts dynamisch eingebunden waren, gehörte ein Hinweis auf diese Übermittlung zu den Angaben, die dort erwartet werden. Sobald keine Verbindung zu Google mehr besteht, weil die Schriftdateien selbst gehostet werden, entfällt dieser Hinweis. Er sollte dann auch nicht stehen bleiben, denn eine veraltete Erklärung kann genauso irreführend sein wie eine lückenhafte.

Wer ganz sicher gehen will, prüft nach dem Umbau, ob im gerenderten HTML tatsächlich keine Anfrage mehr an fonts.googleapis.com oder fonts.gstaticum gestellt wird. Ein Blick in die Netzwerk-Ansicht des Browsers zeigt das schnell. Solange dort keine Google-Anfrage mehr auftaucht, ist die Schrift erfolgreich selbst gehostet.

Worauf es ankommt

Die Änderung ist technisch klein, aber rechtlich wesentlich. Die IP-Adresse des Besuchers verlässt die eigene Seite nicht mehr in Richtung Google. Damit entfällt der Grund, der zu Abmahnungen geführt hat. Die Schriftart bleibt erhalten, das Design ändert sich nicht.

Wer den Aufbau eines eigenen Shops oder einer eigenen Anwendungsseite plant, sollte von vornherein auf Self-Hosting setzen und gar nicht erst den Weg über das Google-CDN wählen. Nachträglich umzubauen ist kein Drama, aber es ist ein Schritt mehr, der sich durch eine bewusste Entscheidung am Anfang vermeiden lässt.

Allgemeine Information, keine Rechtsberatung. Stand: 10. September 2026.