IT-Recht Kanzlei
Fragen oder Anregungen?

Kontaktieren Sie uns:
IT-Recht Kanzlei
Kanzlei Keller-Stoltenhoff, Keller
Alter Messeplatz 2
Tel.: +49 (0)89 / 130 1433-0
Fax: +49 (0)89 / 130 1433-60
E-Mail: info@it-recht-kanzlei.de

Virales Phänomen: Ersatzforderungen von Privatpersonen wegen der Nutzung von Google Webfonts – wie reagieren?

28.06.2022, 14:57 Uhr | Lesezeit: 7 min
Virales Phänomen: Ersatzforderungen von Privatpersonen wegen der Nutzung von Google Webfonts – wie reagieren?

Viele Seitenbetreiber erhalten derzeit per E-Mail Schreiben von diversen Privatpersonen, die mit immer gleichem Wortlaut eine datenschutzwidrige Nutzung on „Google Webfonts“ monieren und unter Androhung gerichtlicher Schritte zur Zahlung eines Schadensersatzes von 100,00 Euro auffordern. Die Verunsicherung unter Online-Unternehmern ist groß. Sind diese Schreiben ernst zu nehmen? Was ist überhaupt schiefgelaufen? Wie ist zu reagieren? Die IT-Recht Kanzlei klärt auf.

I. Virales Phänomen: Private Ersatzforderungen wegen scheinbar datenschutzwidriger Nutzung von Google Webfonts

Die IT-Recht Kanzlei haben in letzter Zeit vermehrt Anfragen von verunsicherten Mandanten erreicht, die von scheinbaren Privatpersonen mit einem Datenschutzverstoß bei der Nutzung von „Google Webfonts“ und mit einer privaten Schadensersatzforderung über 100,00€ konfrontiert wurden.

Die Schreiben, die derzeit – immer mit identischem Wortlaut – massenweise von mindestens fünf Absendern versendet werden, monieren eine nicht datenschutzkonforme Verwendung von „Google Webfonts“, einem online-basierten Service für das Laden von Schriftarten und Typographie-Elementen auf Websites.

Inhaltlich wird (in originalem, fehlerträchtigen Wortlaut) Folgendes mitgeteilt:

Sehr geehrte Damen und Herren,

am XX.XX.2022/ Y Uhr besuchte ich Ihre Website, www.xyz.de, und musste erschreckend feststellen, dass diese ohne meine Zustimmung Schriftarten von Google Fonts beziehungsweise deren Server geladen hat.

Wie ich mich erkundigt habe, wird dabei meine IP-Adresse, wodurch ich zumindest teilweise identifizierbar bin und auch mein Verlauf nachvollzogen werden kann, an Google und deren Server in den USA übermittelt.

Dieses dürfte nicht nur nach der DSGVO nicht zugelassen sein, vielmehr sehe ich mich auch in meiner informellen Selbstbestimmung verletzt, da ich nicht mehr weiß, was Google nun mit meinen Daten anfangen kann.

Ähnlich ging es auch einem anderen Nutzer, hier urteilte bereits das Landgericht München 1 – Aktenzeichen 3 O 17493/20.

Ich habe mir erlaubt, einen entsprechenden Nachweis über die Einbindung der externen Google Fonts Ihrer Website www.xyz.de abzuspeichern.

Damit es nicht weiteren Nutzern so geht wie mir, fordere ich Sie hiermit auf, unverzüglich bis SPÄTESTENS XX.XX.2022 sämtliche Google Fonts, die über die Server von Dritten geladen werden, dauerhaft zu entfernen und mir hierüber Rückmeldung zu geben.

Das Landgericht München hat entschieden, dass dem Nutzer ein Schadensersatz in Höhe von 100,00 Euro zusteht [ist]. Das sehe ich auch hier für angemessen an. Bitte überweisen Sie diesen ebenfalls bis zum XX.XX. 2022 auf mein
Konto (IBAN), Kontoempfänger ….

Sollte ich jedoch bis dahin keine Widergutmachung erhalten haben, muss ich mich bei meinem Rechtsanwalt über weitere Schritte erkundigen, damit ich weiß, wer wie wo was über Ihre Website mit meinen Daten gemacht hat.

Das Landgericht München hat ebenfalls entschieden, dass bei Zuwiderhandlung ein Ordnungsgeld von 250.000 Euro, ersatzweise Haft, fällig wird. Auch wenn ich mich nicht dabei wohl fühle, wo meine Daten nun sind und was Google damit anstellt, möchte ich aber auch nicht, dass Sie eine solche Strafe tragen müssen, weil Ihnen ein Fehler unterlaufen ist.

Ich finde, jeder hat eine zweite Chance verdient, einen Fehler widergutzumachen, und biete Ihnen dies hiermit an.

Vielleicht hilft es Ihnen, über Google finden Sie nützliche Anleitungen zum sicheren Einbinden von Google Fonts und auch diverse Anbieter, die Ihnen sicherlich dabei helfen können.

Nutzen Sie die Chance, ich habe bereits mit meiner Rechtschutzversicherung telefoniert, die mir im Zweifel volle Kostenzusage für eine Klage erteilt hat.

II. Was wird konkret vorgeworfen?

Die Schreiben rügen eine datenschutzwidrige Übertragung von personenbezogenen Daten an Google durch die Einbindung von Google Webfonts auf Webseiten.

In der Tat verhält es sich so, dass durch Einbindung von Google Webfonts bei Seitenaufruf eine Verbindung zum Google-Netzwerk aufgenommen wird, damit die verwendeten Schriftstile geladen werden können. Durch diese Verbindungsaufnahme kommt es zur datenschutzwidrigen Übertragung von Nutzerinformationen, insbesondere der personenbezogenen IP-Adresse, an Google.

Diese Übertragung ist nun aus zweierlei Gründen problematisch.

Einerseits fehlt es an einer hinreichenden datenschutzrechtlichen Rechtfertigung für die Informationsübermittlung an Google. Insbesondere können sich Seitenbetreiber nicht auf berechtigte Interessen an der graphisch ansprechenden Seitengestaltung gemäß Art. 6 Abs. 1 lit. f DSGVO stützen, weil hierfür die Übermittlung personenbezogener Daten an Google nicht zwingend erforderlich ist.

Andererseits werden Informationen, darunter auch die personenbezogene IP-Adresse, zumindest auch an Google-Server in den USA übertragen. Drittstaatentransfers sind aber datenschutzrechtlich nur nach den strengen Voraussetzungen der Art. 44 ff. DSGVO zulässig und aktuell für das Zielland USA allgemein nicht rechtskonform möglich, weil es wegen weiter Datenzugriffsbefugnisse der US-Geheimdienste an einem hinreichenden Schutzniveau für personenbezogene Daten fehlt.

Die Schreiben nehmen vor diesem Hintergrund standardisiert Bezug auf ein aktuelles Urteil des LG München I. In der Tat hat dieses Gericht unter Bezugnahme auf die obigen Feststellungen zu Datentransfers an Google einem Seitenbesucher, dessen IP-Adresse durch eingebundene Webfonts an Google übertragen wurde, kürzlich 100€ Schadensersatz aus einem DSGVO-Verstoß heraus zugesprochen.

Kostenfreies Bewertungssystem SHOPVOTE

III. Wie lassen sich Google Fonts nun rechtskonform nutzen?

Die Crux bei der Verwendung von Webfonts ist, dass Schriftarten und Typo-Stile dadurch geladen werden, dass der Browser des Seitenbesuchers eine Verbindung zu den Servern des Font-Anbieters aufnimmt. Durch diese Verbindungsaufnahme werden regelmäßig diverse Nutzerinformationen an Server des Anbieters übertragen. Enthalten diese Informationen auch personenbezogene Daten wie die IP-Adresse des Nutzers, drohen Verstöße gegen die DSGVO.

Um dies zu umgehen, ist zwingend zu empfehlen, Fonts, insbesondere solche von Google, ausschließlich lokal einzubinden und vom eigenen Server (nicht vom Server des Anbieters) laden zu lassen.

So kommt es nämlich zu keiner Erhebung und Übermittlung von personenbezogenen Daten durch/an Google, weil die Fonts nicht durch eine Verbindungsaufnahme zu Google Servern erst geladen werden müssen.

IV. Wie ist auf die privaten Ersatzforderungen zu reagieren?

Wer ein Schreiben bezüglich der Nutzung von Google Fonts mit der Aufforderung zur Zahlung von 100,00€ erhalten hat, wird augenscheinlich mit einem potenziellen Rechtsstreit konfrontiert und verständlicherweise in Unruhe versetzt.

Tatsächlich besteht aber kaum Grund zur Sorge.

Bei den Schreiben handelt es sich offensichtlich um missbräuchliche Versuche, unter dem Deckmantel einer Datenschutzverletzung schnelles Geld zu machen. Der Verdacht eines betrügerischen Bereicherungsversuches liegt hierbei nahe und wird vor allem dadurch bestärkt, dass von mehreren scheinbar privaten Anspruchstellern immer derselbe Wortlaut in teilweise grammatikalisch und ortographisch inkorrektem Deutsch verwendet wird. Nicht auszuschließen ist insofern ein gewerbs- und bandenmäßiges Vorgehen.

Wer ein derartiges Schreiben erhält, sollte in einem ersten Schritt prüfen, ob Fonts von Google auf der Website verwendet werden und ob diese tatsächlich über eine Verbindungsaufnahme zum Google-Netzwerk geladen werden oder vielmehr lokal eingebunden sind.

Werden Webfonts von Google (dann voraussichtlich datenschutzwidrig, s.o.) geladen, enthält der Quelltext der Website Verlinkungen auf „fonts.googleapis.com“ und „fonts.gstatic.com“.

1.) Google Fonts tatsächlich lokal eingebunden

Stellt die Überprüfung heraus, dass Fonts tatsächlich ausschließlich lokal eingebunden wurden, trifft der behauptete Vorwurf, die IP-Adresse des Nutzers werde an Google übermittelt, nicht zu, und das Schreiben ist insgesamt haltlos.

Seitenbetreiber haben in diesem Fall die Möglichkeit, entweder überhaupt nicht darauf zu reagieren, oder aber eine Antwort an den Absender zu verfassen, in der auf die rein lokale Einbindung von Fonts und die dadurch unterbundene Verbindungsaufnahme zu Google ver- und der Vorwurf zurückgewiesen wird.

Natürlich kann dem Schreiben dann auch der Hinweis beigefügt werden, dass man sich vorbehalte, aufgrund des bewussten Vorspiegelns falscher Tatsachen zum Zwecke der Bereicherung Anzeige wegen versuchten Betruges bei der Polizei zu erstatten, um dem Absender eine Lektion zu erteilen.

2.) Google Webfonts mit Verbindungsaufnahme zu Google eingebunden

Ergibt die Prüfung, dass tatsächlich Google Webfonts genutzt und Schriften deswegen durch Verbindungsaufnahme zum Google-Netzwerk geladen werden, sollten Seitenbetreiber unbedingt schnellstmöglich auf eine rein lokale Einbindung der Google Fonts umstellen und so Datenübermittlungen unterbinden.

Das erhaltene Schreiben kann nach Auffassung der IT-Recht Kanzlei aber dennoch ignoriert werden. Insbesondere sollte der Zahlungsaufforderung nicht Folge geleistet werden.

Seitenbetreiber sind in keiner Weise verpflichtet, auf eine bloße vermeintliche Aufforderung wegen eines behaupteten Datenschutzverstoßes eine Geldzahlung zu leisten.

Dazu wären sie vielmehr nur im Falle einer rechtskräftigen gerichtlichen Verurteilung gehalten.

Eine solche würde aber voraussetzen, dass der Anspruchsteller zunächst den Klageweg bestreitet.

Dies ist aufgrund der derzeitigen systematischen Versendung einer Vielzahl gleichlautender Aufforderungsschreiben allerdings äußerst unwahrscheinlich. Das Vorgehen legt stattdessen nahe, dass versucht wird, durch Einschüchterung eine schnelle Banküberweisung anzuregen, und sich so ohne gerichtliche Anstrengungen zu bereichern. Gegen eine klageweise Verfolgung der Ansprüche und die Seriosität des Anliegens spricht schon die massenweise Versendung und der laienhafte, grammatikalisch fragwürdige Aufbau der Schreiben.

Selbst wenn der/die Verfasser aber ein Gerichtsverfahren tatsächlich anstreben sollte/n, ließen sich die erhobenen Forderungen gerichtsfest mit dem Vorwurf des Rechtsmissbrauchs (§242 BGB) abwehren, weil aufgrund der belegbaren Masseneintreibung eindeutig bewiesen werden kann, dass es vorliegend nicht um Herstellung rechtskonformer Zustände, sondern um das nicht schutzwürdige Ziel der persönlichen Bereicherung geht.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.


Link kopieren

Als PDF exportieren

Drucken

|

Per E-Mail verschicken

Zum Facebook-Account der Kanzlei

Zum Instagram-Account der Kanzlei

12 Kommentare

U
Ulrike 31.10.2022, 20:08 Uhr
Nachfrage Rechtssicherheit bei lokaler Einbindung
Hallo,
dass das Einbinden von Googlefonts nicht DSGVO konform ist, habe ich soweit verstanden. Meine Frage dreht sich bei einer lokalen Einbindung (die auf vielen Seiten empfohlen wird) darum, ob die lokale Einbindung urheberrechtskonform ist. Also, kann Google gg. eine lokale Einbindung vorgehen, weil sie ja die Eigentümer, Lizenzinhaber, o.ä. der Fonts sind? Muss man hierbei etwas beachten, um sich rechtlich sowohl hinsichtlich DSGVO als auch ggü. Google abzusichern?

Lieben Dank!
M
Markus 19.09.2022, 08:36 Uhr
WordPress: GoogleFonts lokal einbinden sehr einfach möglich
Hallo zusammen,

die Einbindung von GoogleFonts ist bei einer WordPress Website sehr einfach und kostenfrei möglich:
https://www.youtube.com/watch?v=v4gsQ-EVYMk&t=1s
D
DatenschutzDjango 07.09.2022, 01:38 Uhr
Schon der Abruf ist ein Verarbeiten im Sinne der DSGVO
"Beitrag von Roland Giersig
22.08.2022, 15:39 Uhr

Liebe Leute, es ist ganz einfach: GOOGLE SPEICHERT DIE IP-ADRESSE BEIM ABRUF DER FONTS NICHT! Damit liegt auch keine Verarbeitung iSd DSGVO vor und die Abmahnung ist schlichtweg Betrug. Leider hat das das Gericht in München übersehen.

https://developers.google.com/fonts/faq#what_does_using_the_google_fonts_api_mean_for_the_privacy_of_my_users"

Leider falsch: Schon das Abrufen ist eine Verarbeitung von personenbezogenen Daten im Sinne der DSGVO. Ein Verstoß liegt damit vor.
R
Roland Giersig 22.08.2022, 15:39 Uhr
Die ganzen juristischen Analysen kann man sich sparen.
Liebe Leute, es ist ganz einfach: GOOGLE SPEICHERT DIE IP-ADRESSE BEIM ABRUF DER FONTS NICHT! Damit liegt auch keine Verarbeitung iSd DSGVO vor und die Abmahnung ist schlichtweg Betrug. Leider hat das das Gericht in München übersehen.

https://developers.google.com/fonts/faq#what_does_using_the_google_fonts_api_mean_for_the_privacy_of_my_users
U
Ute Dörr 22.08.2022, 10:28 Uhr
Einfache Lösung
Hallo zusammen,

ich war auch lange auf der Suche nach einer Lösung für das Problem. Hier eine, meiner Meinung nach, einfache Lösung zur DSGVO-Konformen Nutzung von Google Fonts, für all diejenigen, die nicht darauf verzichten können bzw. die Fonts nicht lokal auf ihren Server speichern können (z.B. bei vielen Baukasten Online Shops).

Normalerweise werden Google Fonts über folgenden HTML Code eingebunden (hier z.B. der Font Roboto):

<link rel="preconnect" href="https://fonts.googleapis.com">
<link rel="preconnect" href="https://fonts.gstatic.com" crossorigin>
<link href="https://fonts.googleapis.com/css2?family=Roboto:wght@400;500;700&display=swap" rel="stylesheet">

Dabei wird dann jedes mal die Verbindung zum Google CDN Server in den USA aufgebaut inkl. aller DSGVO Nachteile.

Der CDN Dienst bunny.net mit Sitz in der Slowakei (EU) hat alle Google Fonts heruntergeladen und bietet diese kostenlos und ohne Registrierung unter https://fonts.bunny.net/ auf seine Servern an. Man kann also o.g. HTML Code bearbeiten und ab sofort DSGVO-Konform nutzen. Das obere Beispiel würde jetzt so aussehen:

<link rel="preconnect" href="https://fonts.bunny.net" crossorigin>
<link href="https://fonts.bunny.net/css?family=Roboto:wght@400;500;700&display=swap" rel="stylesheet">

Dadurch wird nur eine direkte Verbindung zum Server von bunny.net aufgebaut (Sitz in EU) und Google ist nicht mehr involviert. Auf deren Seite steht:

Fully GDPR Compliant
Bunny Fonts are hosted by BunnyWay d.o.o. - an EU-based company - and were designed to help you stay fully GDPR compliant. No data or logs are ever collected or passed to a third party. Simply put: we cannot track or monitor your end-users in any way or form.

Hoffe ich konnte hier einigen helfen und vielleicht kann ein RA der IT Recht Kanzlei bestätigen, dass diese unter Lösung akzeptabel ist.

Grüße,
Ute
T
Themenbetroffener 15.08.2022, 13:27 Uhr
DSGVO
Leider wird nicht auf die Dringlichkeit hingewiesen, dass tatsächlich ein DSGVO-Verstoss vorliegt bei der dynamischen Einbindung von Google-Fonts bzw. Webfonts & Co. Klar kann man die Abmahnung ignorieren, ändert aber nichts an dem Verstoss selbst.

weitere News

OVG Niedersachsen: Pauschale Abfrage des Geburtsdatums in Online-Shops unzulässig
(28.03.2024, 12:24 Uhr)
OVG Niedersachsen: Pauschale Abfrage des Geburtsdatums in Online-Shops unzulässig
FAQ: Schadensersatzpflicht von Händlern bei Datenschutzverstößen
(15.03.2024, 08:17 Uhr)
FAQ: Schadensersatzpflicht von Händlern bei Datenschutzverstößen
EuGH: Fehlendes Verarbeitungsverzeichnis führt nicht automatisch zu einer unzulässigen Datenverarbeitung
(16.02.2024, 10:48 Uhr)
EuGH: Fehlendes Verarbeitungsverzeichnis führt nicht automatisch zu einer unzulässigen Datenverarbeitung
Auch weiterhin gilt: Die Weitergabe von E-Mail-Adressen an Paketdienstleister zu Paketankündigungszwecken bedarf einer Einwilligung
(05.01.2024, 13:23 Uhr)
Auch weiterhin gilt: Die Weitergabe von E-Mail-Adressen an Paketdienstleister zu Paketankündigungszwecken bedarf einer Einwilligung
EuGH: Keine Spürbarkeitsschwelle für immateriellen Schadensersatz nach DSGVO
(02.01.2024, 09:42 Uhr)
EuGH: Keine Spürbarkeitsschwelle für immateriellen Schadensersatz nach DSGVO
Hamburger Datenschutzbeauftragter: Gemeinsame Verantwortlichkeit nach DSGVO bei geteilter Kundendatenbank im Unternehmensverbund
(04.12.2023, 08:13 Uhr)
Hamburger Datenschutzbeauftragter: Gemeinsame Verantwortlichkeit nach DSGVO bei geteilter Kundendatenbank im Unternehmensverbund
Kommentar
verfassen
Ihre Meinung zu unserem Beitrag.
* mit Sternchen gekennzeichnete Felder sind Pflichtfelder
speichern

Vielen Dank für Ihren Kommentar

Wir werden diesen nach einer kurzen Prüfung
so schnell wie möglich freigeben.
Ihre IT-Recht Kanzlei
Vielen Dank!

Ihr Kommentar konnte nicht gespeichert werden!

Bitte versuchen Sie es zu einem späteren Zeitpunkt noch einmal.
Ihre IT-Recht Kanzlei
Vielen Dank!

Kontakt:

IT-Recht Kanzlei

Alter Messeplatz 2
80339 München

Tel.: +49 (0)89 / 130 1433 - 0
Fax: +49 (0)89 / 130 1433 - 60

E-Mail: info@it-recht-kanzlei.de

© 2004-2024 · IT-Recht Kanzlei