Google Fonts lokal einbinden: So wird Ihre Website DSGVO-konform

Google Fonts binden Sie lokal ein, indem Sie die Schriftdateien herunterladen und vom eigenen Server ausliefern: Dann baut der Browser Ihrer Besucher keine Verbindung zu Google mehr auf. Ob Ihre Website Schriften noch von Google lädt, verrät der Quelltext – Verweise auf „fonts.googleapis.com“ oder „fonts.gstatic.com“ sind das Erkennungszeichen. Taucht eine der Adressen auf, überträgt der Browser jedes Besuchers dessen IP-Adresse an Google, ohne Einwilligung. Dieser Artikel zeigt, wie Sie das in zwei Minuten prüfen, wie die Umstellung gelingt und welche weiteren Dienste meist eine Einwilligung brauchen.

Hinweis: Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Ob in Ihrem konkreten Fall ein Risiko besteht, klärt eine Fachanwältin oder ein Fachanwalt für IT-Recht.

Worum es bei Google Fonts eigentlich geht

Google Fonts ist eine kostenlose Sammlung von Schriften, die viele Themes, Baukästen und Page-Builder standardmäßig einbinden. Technisch gibt es zwei Wege: Entweder lädt der Browser die Schrift bei jedem Seitenaufruf von Googles Servern, oder die Schriftdateien liegen auf dem eigenen Server. Beim ersten Weg baut der Browser eine Verbindung zu Google auf – und dabei wird zwangsläufig die IP-Adresse des Besuchers übertragen, bevor dieser irgendetwas entscheiden konnte.

Was das Landgericht München I entschieden hat

Mit genau diesem Sachverhalt hat sich das Landgericht München I im Urteil vom 20. Januar 2022 (Az. 3 O 17493/20) befasst. Das Gericht verurteilte den Betreiber einer Website, die Weitergabe der IP-Adresse an Google über dynamisch eingebundene Schriften zu unterlassen, und sprach dem Kläger 100 Euro Schadensersatz zu.

Nach dem Urteil verschickten Anwälte und Privatpersonen in großer Zahl Forderungsschreiben, die sich darauf beriefen. Ob eine solche Forderung im Einzelfall berechtigt ist, lässt sich pauschal nicht beantworten – wer ein solches Schreiben erhält, sollte es rechtlich prüfen lassen, bevor er zahlt. Der einfachste Schutz ist ohnehin, es gar nicht so weit kommen zu lassen.

So prüfen Sie Ihre Website in zwei Minuten

1. Quelltext öffnen: Rufen Sie Ihre Startseite auf und drücken Sie Strg+U (am Mac Cmd+Option+U).
2. Suchen: Mit Strg+F nach „fonts.googleapis“ und „fonts.gstatic“ suchen. Jeder Treffer ist eine Verbindung zu Google.
3. Netzwerk prüfen: Genauer zeigen es die Entwicklerwerkzeuge (F12, Reiter „Netzwerk“). Seite neu laden und nach „fonts.g“ filtern – so finden Sie auch Schriften, die ein Stylesheet nachträglich lädt.
4. Unterseiten nicht vergessen: Kontaktseite, Blog und Shop nutzen manchmal andere Vorlagen als die Startseite.

Unser Website-Check nimmt Ihnen den ersten Teil ab: Er durchsucht die Startseite und ihre eigenen Stylesheets nach Google Fonts und weiteren extern geladenen Schriften und Bibliotheken.

So binden Sie Schriften lokal ein

Die Umstellung ist in den meisten Fällen eine Sache von einer Stunde:

1. Herausfinden, welche Schriften und Schnitte die Website tatsächlich verwendet – meist sind es eine oder zwei Familien.
2. Die Schriftdateien im Format WOFF2 herunterladen. Die Lizenzen der Google-Fonts-Schriften erlauben das Selbst-Hosten.
3. Die Dateien auf den eigenen Server laden und per @font-face im Stylesheet einbinden.
4. Die alte Einbindung entfernen – im Theme, im Page-Builder oder im Plugin. Viele Systeme wie Elementor bieten dafür eine eigene Einstellung, Schriften lokal zu laden.
5. Mit den Entwicklerwerkzeugen prüfen, dass keine Verbindung zu Google mehr entsteht.

Nebeneffekt: Lokal geladene Schriften sind meist sogar schneller, weil keine zusätzliche Verbindung zu einem fremden Server nötig ist.

Nicht nur Schriften: Diese Dienste brauchen meist eine Einwilligung

Nach § 25 TDDDG dürfen Informationen auf dem Gerät der Besucher grundsätzlich nur mit deren Einwilligung gespeichert oder ausgelesen werden, sofern das nicht unbedingt erforderlich ist. Viele eingebundene Dienste setzen Cookies oder übertragen Daten an Dritte und sollten deshalb erst nach Zustimmung laden:

• Analyse-Werkzeuge wie Google Analytics, Microsoft Clarity oder Hotjar,
• Werbe- und Konversions-Pixel von Google Ads, Meta, LinkedIn oder TikTok,
• eingebettete Videos von YouTube oder Vimeo,
• eingebettete Karten von Google Maps,
• Einbettungen aus sozialen Netzwerken, etwa Instagram-Beiträge.

Für Videos und Karten hat sich die Zwei-Klick-Lösung bewährt: Zuerst erscheint ein Vorschaubild mit Hinweis, erst ein Klick lädt den Dienst.

Woran Sie ein brauchbares Einwilligungs-Tool erkennen

• Es lädt Dienste tatsächlich erst nach der Zustimmung – nicht nur den Hinweis anzeigen und trotzdem alles laden.
• Ablehnen ist so einfach wie Zustimmen, ohne versteckte Untermenüs.
• Die Entscheidung lässt sich jederzeit ändern, etwa über einen Link im Fußbereich.
• Es nennt die eingesetzten Dienste und ihren Zweck in verständlicher Sprache.

Unser Website-Check erkennt verbreitete Einwilligungs-Tools und meldet, wenn Tracking- oder Einbettungsdienste auftauchen, aber kein solches Tool zu finden ist. Ob die Dienste wirklich erst nach Zustimmung laden, kann ein automatischer Test allerdings nicht sicher beurteilen – dafür lohnt ein Blick in den Netzwerk-Reiter, bevor Sie zustimmen.

Wie wir das auf dieser Website handhaben

Auf dieser Website läuft die Besucherstatistik cookielos; nur die Erfolgsmessung unserer Anzeigen und die Nutzungsanalyse benötigen Ihre Zustimmung und starten erst danach. Websites, die mit Cortexion entstehen, binden Schriften lokal ein – das schützt die Daten Ihrer Besucher und verkürzt die Ladezeit. Impressum und Datenschutzerklärung gehören zum Umfang jeder Website. Wie das konkret aussieht, zeigt die Übersicht der Funktionen.