Google Fonts und Datenschutz: Die IP-Adresse deiner Besucher landet bei Google
Google Fonts ist auf unzähligen WordPress-Websites eingebunden – und genau das ist das Problem. Sobald eine Schriftart von Google-Servern geladen wird, schickt der Browser deiner Besucher automatisch ihre IP-Adresse an Google. Das passiert ohne Einwilligung, bei jedem Seitenaufruf. Ein deutsches Gericht hat das 2022 für DSGVO-widrig erklärt. Die Lösung ist einfach, aber du musst sie aktiv umsetzen.
Überblick
Was ist Google Fonts?
Google Fonts ist ein kostenloser Dienst von Google, der eine große Bibliothek an Schriftarten bereitstellt. Website-Betreiber binden die Schriften per Code-Zeile ein, und die Schriftdateien werden bei jedem Seitenaufruf direkt von Google-Servern geladen. Alternativ lassen sich die Schriftdateien einmalig herunterladen und vom eigenen Server ausliefern – dann hat Google keinen Kontakt zu deinen Besuchern.
| Google Fonts – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Google Fonts setzt keine Cookies auf deiner Website. |
| Externe Verbindungen | 🔴 | Jeder Seitenaufruf baut eine Verbindung zu Google-Servern auf und überträgt die IP-Adresse des Besuchers. |
| Datenschutzerklärung | 🔴 | Muss in der Datenschutzerklärung genannt werden, solange externe Einbindung aktiv ist. |
| Drittlandtransfer | 🔴 | IP-Adressen werden an Google LLC in den USA übertragen. |
| Auftragsverarbeitung | 🟢 | Kein Vertrag mit Google nötig – Google handelt bei Fonts als eigenständiger Verantwortlicher. |
| Benutzereingaben | 🟢 | Google Fonts nimmt keine Eingaben von Website-Besuchern entgegen. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert, wenn Google Fonts auf meiner Website aktiv ist?
Bei jedem Besuch einer Seite deiner Website, auf der eine Google-Schriftart eingebunden ist, schickt der Browser des Besuchers automatisch eine Anfrage an Google. Das ist kein Hintergrundprozess, der irgendwann passiert – das passiert direkt beim Öffnen der Seite, bevor der Besucher irgendetwas getan hat.
Google erhält dabei die IP-Adresse des Besuchers, welchen Browser und welches Betriebssystem er nutzt, und von welcher Seite die Anfrage kommt. Die IP-Adresse gilt rechtlich als personenbezogenes Datum. Das Landgericht München hat im Januar 2022 festgestellt, dass diese Übertragung ohne vorherige Einwilligung nicht zulässig ist – und einer Websitebetreiberin Schadensersatz auferlegt.
Google selbst sagt, dass keine Cookies gesetzt und keine Profile für Werbung erstellt werden. Das ändert aber nichts an der Übertragung der IP-Adresse selbst.
Cookies
Setzt Google Fonts Cookies auf meiner Website?
Google Fonts setzt keine Cookies auf deiner Website. Das ist einer der wenigen unkritischen Punkte bei diesem Dienst. Es gibt keine Tracking-Cookies, keine Statistik-Cookies und keine Werbe-Cookies, die durch Google Fonts entstehen. Du musst dein Cookie-Banner für Google Fonts also nicht anpassen, um Cookies zu blockieren.
Externe Verbindungen
Baut Google Fonts eine Verbindung zu Google-Servern auf?
Google Fonts baut bei jedem Seitenaufruf eine Verbindung zu zwei Google-Domains auf: fonts.googleapis.com und fonts.gstatic.com. Über die erste Adresse wird die Schriftarten-Konfiguration geladen, über die zweite kommen die eigentlichen Schriftdateien. Beide Verbindungen gehen direkt vom Browser deines Besuchers aus – inklusive seiner IP-Adresse.
Das ist eine funktionale Verbindung: Ohne sie werden die Schriftarten nicht angezeigt. Dein Cookie-Banner muss diese Verbindung blockieren, bis dein Besucher zugestimmt hat. Das ist technisch möglich, aber du brauchst dann eine Fallback-Schriftart für Besucher, die nicht zustimmen. Einfacher ist es, die Schriftarten lokal auf deinem eigenen Server zu hosten – dann entsteht gar keine Verbindung zu Google.
Benutzereingaben
Verarbeitet Google Fonts Eingaben meiner Website-Besucher?
Google Fonts verarbeitet keine Eingaben deiner Website-Besucher. Es gibt kein Formular, keine Suchfunktion und keine Interaktion über Google Fonts. Dieser Punkt ist für Google Fonts nicht relevant.
Drittlandtransfer
Werden Besucherdaten durch Google Fonts in die USA übertragen?
Google Fonts überträgt die IP-Adresse deiner Website-Besucher an Server von Google LLC in den USA. Die USA gelten aus europäischer Datenschutzperspektive als unsicheres Drittland, da US-Behörden unter bestimmten Bedingungen Zugriff auf dort verarbeitete Daten haben können.
Google hat mit der EU Vereinbarungen getroffen, die solche Transfers unter bestimmten Bedingungen erlauben – dieses Rahmenwerk ist jedoch politisch nicht stabil und wurde bereits einmal für ungültig erklärt. Das deutsche Gericht hat den Transfer als DSGVO-Problem gewertet, solange keine ausdrückliche Einwilligung vorliegt.
Wer Google Fonts lokal hostet, vermeidet diesen Transfer vollständig.
Auftragsverarbeitung
Muss ich einen Vertrag mit Google für Google Fonts abschließen?
Für Google Fonts musst du keinen Vertrag zur Auftragsverarbeitung mit Google abschließen. Google stellt Google Fonts als kostenfreien, öffentlichen Dienst bereit und handelt dabei als eigenständig Verantwortlicher – nicht als Dienstleister in deinem Auftrag. Einen solchen Vertrag bietet Google für Fonts auch nicht an. Das ist ein Unterschied zu Diensten wie Google Analytics oder Google Workspace, wo Google tatsächlich im Kundenauftrag Daten verarbeitet.
Datenschutzerklärung
Muss Google Fonts in meiner Datenschutzerklärung stehen?
Google Fonts muss in deiner Datenschutzerklärung erwähnt werden, solange die Schriften extern von Google-Servern geladen werden. Folgende Angaben gehören in den entsprechenden Abschnitt:
- Zweck: Einbindung externer Schriftarten zur Darstellung der Website
- Rechtsgrundlage: Einwilligung (bei externer Einbindung)
- Empfänger: Google Ireland Limited (für Nutzer in der EU) bzw. Google LLC (USA)
- Drittlandtransfer: Übermittlung von IP-Adressen in die USA
- Speicherdauer: Laut Google-Datenschutzerklärung, abhängig von Googles internen Prozessen
Wenn du Google Fonts lokal hostest, entfällt dieser Eintrag vollständig – dann gibt es nichts mehr zu erklären.
Wir nutzen Google Fonts für Webfont-Dienste.
Google Fonts stellt beim Laden der Website eine Verbindung zu Servern von Google Ireland Limited her, die nicht technisch notwendig ist und für die deine Einwilligung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Google Fonts?
Hier siehst du, wo Google Fonts im DSGVO-Vergleich zu anderen Webfont-Dienste steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Google Fonts in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Google Fonts in unseren DSGVO-Checks am häufigsten vor?
Google Fonts taucht bei 39 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Google Fonts gefunden wurde.
DSGVO-Check
Wie erkenne ich, ob Google Fonts auf meiner Website aktiv ist?
Du kannst direkt im Browser prüfen, ob deine Website Verbindungen zu Google Fonts aufbaut. Öffne deine Website im Browser, drücke F12 (Windows) oder Cmd+Option+I (Mac), um die Entwickler-Werkzeuge zu öffnen, und wechsle zum Reiter „Netzwerk“. Lade die Seite neu und suche in der Liste nach Einträgen mit den Domains fonts.googleapis.com und fonts.gstatic.com. Wenn du solche Einträge siehst, werden Google Fonts gerade von Google-Servern geladen.
Alternativ kannst du mit einem Datenschutz-Scan überprüfen lassen, ob diese Verbindungen auf deiner Website aktiv sind – das funktioniert ohne technische Vorkenntnisse.
