So können Google Fonts DSGVO-konform genutzt werden

Viele Online-Händler und Webseitenbetreiber können oder wollen die Standard-Schriften Arial oder Times New Roman nicht mehr sehen. Dabei greifen viele Nutzer auch auf das kostenlose Portfolio von Google zurück. In den 20 Jahren, in denen es die Google Fonts gibt, ist das Portfolio auf 977 verschiedene Schriftstile in über 135 verschiedenen Sprachen angewachsen. Kann es beim Einbinden der Google Fonts zu Problemen datenschutzrechtlicher Natur kommen? Ein berechtigte Frage.

Google: „Making the web more beautiful, fast, and open through great typography”

Google möchte mit seinen Schriftarten mehr Persönlichkeit und Leistung auf Webseiten bringen. Genau hinter dem Punkt „Leistung” verbirgt sich jedoch ein rechtlicher Aspekt, den viele Webseitenbetreiber nicht auf den ersten Blick erkennen. 

Google Fonts sollen Webseiten nicht nur schöner, sondern auch schneller machen. Über das Cross-Site-Caching soll eine Schriftart mit jeder Website nur einmal aktiviert werden müssen. Auf jeder anderen Website, auf der die Google Fonts auch verwendet werden, kann dieselbe zwischengespeicherte Schriftart dann noch schneller geladen werden. Das soll letztendlich das gesamte Web schneller machen.

Google und der Datenschutz

Mit Google Fonts können Schriften auf der eigenen Website genutzt werden, ohne dass diese auf den eigenen Server hochgeladen werden müssen. In diesem Fall werden die Schriftarten beim Aufruf der Webseite durch einen Benutzer über einen Google-Server geladen. Genau hier liegt ein mögliches datenschutzrechtliches Problem: Die Privatsphäre und Sicherheit der Nutzer ist in Gefahr. Der externe Aufruf der Schriftarten über den Google Server könnte bewirken, dass in diesem Zuge auch personenbezogene Daten des Webseitenbesuchers an Google übertragen werden. Dafür spricht auch, dass Google Fonts im Gegensatz zu vielen anderen Fonts kostenlos heruntergeladen werden können. Bietet Google seine Dienste so freigiebig an, um statt zur monetären Kasse zur Übertragung von Daten zu bitten? 

Das erste Gebot der DSGVO: Daten verarbeiten nur mit Zustimmung

Der Grundgedanke der DSGVO ist, dass jeder Betroffene vor Verwendung von dessen Daten seine Zustimmung dazu geben muss. Nun also die Frage: Werden persönliche Daten der Webseitenbesucher verwertet, wenn eine Webseite die Google Fonts verwendet?

Zunächst Google’s offizielles Statement dazu: Die Erfassung, Speicherung und Verwendung von Endbenutzerdaten wird auf das beschränkt, was zur effizienten Bereitstellung von Schriftarten erforderlich ist. Laut Google’s Eigendarstellung werden bei der Nutzung der Webfonts personenbezogene Daten nur in einem technisch notwendigen Mindestmaß erhoben oder übermittelt. Google führt die Daten nach eigenen Angaben auch nicht mit anderen Google-Diensten (z. B. Gmail) zusammen. Weiter geht Google in seinen FAQ aber nicht darauf ein. Welche Daten, beispielsweise Browserinformationen oder die IP-Adresse des Webseitenbesuchers, übertragen werden, findet man offiziell an keiner Stelle.

Ergo: Es gibt keine ausreichenden Information darüber, um welche „technisch notwendigen Daten” es sich handelt, wo diese hingeleitet werden und was genau mit ihnen passiert. Eine Einwilligung und/oder Information der Webseitenbesucher wäre schon aus diesem Grund nicht möglich. Zudem werden die Daten vermutlich schon an Google übertragen, bevor der Nutzer sich informieren oder reagieren kann. Ein Problem, was wir von Facebook-Plugins schon zur Genüge kennen.

Schnelle Ladezeiten und Suchmaschinenoptimierung als berechtigtes Interesse

Zu denken wäre alternativ an das sogenannte berechtigte Interesse, das keine gesonderte Einwilligung der Nutzer erforderlich macht. Ein guter Grund für die Nutzung der Google Fonts ist die verbesserte Ladezeit der Webseite, da durch das Zwischenspeichern gerade eine Leistungssteigerung hervorgerufen werden soll. Zudem kann die Nutzung der Google Fonts einen Vorteil in der Suchmaschinenplatzierung bringen. Ob das den Aufsichtsbehörden schon als berechtigtes Interesse ausreicht, ist fraglich. Der doch sehr schwammige Begriff des berechtigten Interesses sollte jedenfalls nicht überstrapaziert werden.

Die rechtssichere Lösung: Selbst ist der Mann/die Frau

Eine rechtssichere Lösung ist aktuell, die Google Webfonts herunterzuladen, über den eigenen Webserver einzubinden und selbst zu hosten. Es erfolgen über diese Variante keine direkten Anfragen der Website-Besucher bei Google-Servern mehr. Die Thematik der Übertragung von personenbezogenen Daten an Google hat sich dann erledigt. Eine Einwilligung oder Information der Webseitenbesucher in der Datenschutzerklärung ist bei diesem Weg nicht erforderlich. Auch wenn diese Lösung einige praktische Nachteile mit sich bringt (etwa langsamere Ladezeiten), ist diese Variante zumindest datenschutzrechtlich vorzuziehen.