Google-Fonts-Abmahnungen: EU-Generalanwalt verneint Schadensersatz
Wer Datenschutzverstöße gezielt und massenhaft provoziert, um Schadensersatz zu verlangen, soll leer ausgehen. So sieht es der EU-Generalanwalt im Streit um die Google-Fonts-Abmahnungen. Die Entscheidung des EuGH steht noch aus.
Worum ging es bei den Google-Fonts-Abmahnungen?
Im Jahr 2022 erhielten zahlreiche Websitebetreiber Zahlungsaufforderungen wegen der dynamischen Einbindung von Google Fonts. Dabei werden Schriftarten direkt von Google-Servern geladen und zugleich die IP-Adressen der Websitebesucher an Google übermittelt.
Wir hatten bereits damals über die massenhaften Google-Fonts-Abmahnungen und die damit verbundenen Zahlungsforderungen berichtet.
Ein vermeintlich betroffener Websitebesucher machte sich diesen Umstand systematisch zunutze: Mithilfe eines Webcrawlers ließ er Websites auf die dynamische Einbindung von Google Fonts überprüfen und anschließend automatisiert aufrufen. Auf diese Weise provozierte er gezielt Datenübermittlungen, um Schadensersatz wegen angeblicher Datenschutzverstöße zu verlangen. Nach Angaben des vorlegenden Gerichts kam diese Methode mehr als 100.000-mal zum Einsatz.
In einem dieser Fälle forderte ein Rechtsanwalt im Namen seines Mandanten einen Websitebetreiber auf, die beanstandete Einbindung einzustellen und 170 Euro zu zahlen. Für den Fall der Zahlung stellte er in Aussicht, auf weitere rechtliche Schritte zu verzichten. Der Websitebetreiber zahlte zunächst, erfuhr später jedoch von dem massenhaften Vorgehen und verlangte sein Geld zurück.
Das Amtsgericht Hannover sprach ihm zunächst lediglich 70 Euro zu. Das Landgericht Hannover verurteilte dagegen den vermeintlich betroffenen Websitebesucher und dessen Rechtsanwalt als Gesamtschuldner zur Erstattung der gesamten 170 Euro. Es ging insbesondere davon aus, dass dem vermeintlich betroffenen Websitebesucher kein ersatzfähiger Schaden entstanden war.
Der Rechtsstreit gelangte schließlich zum Bundesgerichtshof, der dem Europäischen Gerichtshof mit Beschluss vom 28.08.2025 (Az. VI ZR 258/24) mehrere Fragen zur Auslegung der DSGVO vorlegte.
Wann sind dynamische IP-Adressen personenbezogene Daten?
In seinen Schlussanträgen vom 05.11.2026 (Rs. C-654/25) befasst sich Generalanwalt Maciej Szpunar zunächst mit der Frage, wann dynamische IP-Adressen als personenbezogene Daten gelten.
Er spricht sich für einen relativen Ansatz aus: Entscheidend ist nicht, ob irgendeine Stelle den Anschlussinhaber identifizieren könnte, sondern ob der jeweilige Empfänger über Mittel verfügt, die vernünftigerweise eine Identifizierung ermöglichen – gegebenenfalls unter Einbeziehung Dritter. Bereits ein nicht unerhebliches Identifizierungsrisiko soll hierfür ausreichen.
Bei Google könnten insbesondere die umfangreichen Datenbestände des Unternehmens eine Identifizierung ermöglichen. Ob dies tatsächlich der Fall ist, muss das nationale Gericht prüfen.
Auch für den übermittelnden Websitebetreiber kann die IP-Adresse personenbezogen sein, wenn er weiß oder hätte wissen müssen, dass der Empfänger über entsprechende Identifizierungsmöglichkeiten verfügt.
Für Websitebetreiber dürfte sich daraus zunächst wenig ändern: Auch nach der vom Generalanwalt vertretenen Auslegung können die bei der dynamischen Einbindung von Google Fonts übermittelten IP-Adressen personenbezogene Daten sein.
Mit Urteil vom 20.01.2022 (Az. 3 O 17493/20) hatte das LG München I die dynamische Einbindung von Google Fonts ohne Einwilligung beanstandet und einem Websitebesucher 100 Euro Schadensersatz zugesprochen. Die Entscheidung hatte die damalige Abmahnwelle maßgeblich begünstigt.
Warum soll kein Schadensersatzanspruch bestehen?
Die zentrale Frage des Verfahrens lautet, ob jemand Schadensersatz verlangen kann, wenn er den zugrunde liegenden Datenschutzverstoß gezielt selbst herbeigeführt hat.
Nach Art. 82 Abs. 1 DSGVO setzt ein Schadensersatzanspruch voraus, dass durch einen Verstoß gegen die DSGVO tatsächlich ein materieller oder immaterieller Schaden entstanden ist.
Einen solchen Schaden verneint der Generalanwalt bei der hier praktizierten Vorgehensweise. Wer Websites bewusst, automatisiert und wiederholt aufruft, um die Übermittlung seiner IP-Adresse auszulösen und anschließend eine finanzielle Entschädigung zu verlangen, könne sich nicht auf einen dadurch erlittenen immateriellen Schaden berufen.
Die personenbezogenen Daten seien gerade so verwendet worden, wie es der Betroffene selbst vorgesehen hatte. Ein Kontrollverlust liege unter diesen Umständen ebenso wenig vor wie eine begründete Befürchtung eines Datenmissbrauchs. Das mit der Übermittlung verbundene Risiko habe der Betroffene vielmehr bewusst in Kauf genommen.
Nach Auffassung des Generalanwalts scheitert der Schadensersatzanspruch bereits am fehlenden Schaden. Ob der Betroffene wirksam in die Datenverarbeitung eingewilligt hat, ist hierfür nicht entscheidend.
Diese Bewertung betrifft allerdings die besonderen Umstände des Ausgangsfalls, in dem Datenschutzverstöße gezielt und massenhaft provoziert wurden, um daraus Schadensersatzforderungen abzuleiten.
Wann liegt ein Rechtsmissbrauch vor?
Daneben untersucht der Generalanwalt, ob die geltend gemachten Ansprüche rechtsmissbräuchlich sind. Diese Frage stellt sich insbesondere für den Fall, dass entgegen seiner Auffassung ein ersatzfähiger Schaden angenommen wird.
Ein Rechtsmissbrauch setzt nach der unionsrechtlichen Rechtsprechung zweierlei voraus: Das Vorgehen muss objektiv dem Zweck der in Anspruch genommenen Vorschriften widersprechen. Zudem muss die Absicht bestehen, durch die künstliche Schaffung der Anspruchsvoraussetzungen einen Vorteil zu erlangen.
Insbesondere das subjektive Element sieht der Generalanwalt im vorliegenden Fall als erfüllt an. Der Betroffene habe Websites ohne Interesse an deren Inhalten automatisiert aufrufen lassen, um anschließend massenhaft Zahlungsforderungen zu erheben. Der behauptete Schaden sei damit gezielt herbeigeführt worden.
Dabei verweist der Generalanwalt auf das EuGH-Urteil „Brillen Rottler“ vom 19.03.2026 (Rs. C-526/24). Danach kann bereits ein erstes Auskunftsersuchen nach Art. 15 DSGVO rechtsmissbräuchlich sein, wenn es allein dazu dient, die Voraussetzungen für einen Schadensersatzanspruch künstlich zu schaffen.
Die Gewinnerzielung muss nach Auffassung des Generalanwalts allerdings nicht das einzige Motiv sein. Es genügt, wenn sie das vorrangige Ziel des Vorgehens darstellt. Hierzu zieht er Parallelen zum EuGH-Urteil „M.I.C.M.“ vom 17.06.2021 (Rs. C-597/19), das sich mit der missbräuchlichen Durchsetzung urheberrechtlicher Ansprüche befasst.
Dass die Google-Fonts-Abmahnungen möglicherweise zugleich auf Datenschutzverstöße aufmerksam machen sollten, schließt einen Rechtsmissbrauch daher nicht aus.
Welche Folgen hat dies für Websitebetreiber?
Die Schlussanträge könnten die Position von Websitebetreibern stärken, die mit Schadensersatzforderungen wegen gezielt provozierter Datenschutzverstöße konfrontiert wurden. Folgt der EuGH dem Generalanwalt, könnten solche Forderungen bereits daran scheitern, dass kein ersatzfähiger immaterieller Schaden vorliegt.
Für den Ausgangsfall wäre dies von erheblicher Bedeutung: Nach Auffassung des Bundesgerichtshofs hängt die Rückforderung der gezahlten 170 Euro davon ab, ob dem vermeintlich betroffenen Websitebesucher überhaupt ein Schadensersatzanspruch aus Art. 82 DSGVO zustand.
Allerdings sind die Schlussanträge für den EuGH nicht bindend. Eine Entscheidung steht noch aus. Selbst wenn der Gerichtshof dem Generalanwalt folgt, wären damit nicht sämtliche früheren Google-Fonts-Abmahnungen automatisch unberechtigt.
Wer im Zusammenhang mit der Google-Fonts-Abmahnwelle bereits Zahlungen geleistet hat, sollte mögliche Rückforderungsansprüche auch im Hinblick auf die Verjährung prüfen.
Die regelmäßige Verjährungsfrist beträgt drei Jahre und beginnt nach § 199 Abs. 1 BGB grundsätzlich mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Betroffene von den maßgeblichen Umständen sowie der Person des Schuldners Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen. Ob eine Rückforderung noch möglich ist, hängt daher von den Umständen des Einzelfalls ab.
An der Empfehlung, Google Fonts lokal einzubinden, ändert das Verfahren nichts. Denn die Schlussanträge stellen die datenschutzrechtlichen Anforderungen an die Übermittlung von IP-Adressen an Google nicht grundsätzlich infrage.
Wie sich entsprechende Risiken vermeiden lassen, erläutert die IT-Recht Kanzlei in ihrem Beitrag zur datenschutzkonformen Nutzung von Google Fonts.
Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.
0 Kommentare