Gilt das auch für Adobe Fonts oder andere Font-CDNs, nicht nur Google?

Ja. Dieselbe Logik gilt für jeden Drittanbieter von Schriftarten, da das Problem eine externe Anfrage vor der Einwilligung ist, nichts, was spezifisch für Google wäre. Google Fonts erhielt die meiste Aufmerksamkeit und die meisten Abmahnungen einfach, weil es mit Abstand am weitesten verbreitet ist.

Wird das eigene Hosten von Schriftarten etwas auf meiner Website kaputt machen?

Meist nicht. Wichtig ist zu prüfen, dass Sie jede Schriftstärke und jeden Stil einbezogen haben, die Ihr CSS tatsächlich verwendet, und dass die gehosteten Dateiformate, üblicherweise WOFF2 mit einem WOFF-Fallback, die von Ihnen unterstützten Browser abdecken.

Prüft GetGDPRScan das automatisch?

Ja. Ein kostenloser Scan prüft Anfragen an bekannte Drittanbieter von Schriftarten im Rahmen einer breiteren Prüfung von Trackern, Formularen, Cookie-Einwilligung und dem Vorhandensein einer Datenschutzerklärung.

DSGVO-Modul

Verstößt die Nutzung von Google Fonts gegen die DSGVO?

Was ein deutsches Urteil von 2022 feststellte, was sich seither geändert hat, und wie man das Risiko beseitigt.

Kurzantwort

Das Laden von Google Fonts direkt von Googles Servern sendet die IP-Adresse der Besucher an Google, bevor diese eine Einwilligung erteilt haben, was ein deutsches Gericht 2022 als Verstoß gegen die DSGVO wertete. Seit 2023 deckt ein Datentransferabkommen zwischen der EU und den USA Google gezielt ab, was das rechtliche Risiko verringert, die zugrunde liegende Datenschutzfrage aber nicht beseitigt. Das eigene Hosten der Schriftdateien vermeidet das Problem vollständig und dauert in der Regel weniger als eine Stunde.

Von GetGDPRScan Editorial · Zuletzt aktualisiert 2026-09-01

Wenn auf Ihrer Website irgendwo im HTML oder CSS eine Zeile wie fonts.googleapis.com steht, oder ein CSS-@import für Google Fonts, betrifft Sie das. Es ist eines der häufigsten Dinge, die ein automatisierter DSGVO-Scan markiert, und eines der am leichtesten zu behebenden.

Dieser Leitfaden erklärt, worin das zugrunde liegende Problem besteht, was ein bekanntes deutsches Urteil von 2022 feststellte, was sich in den Jahren danach geändert hat, und die konkrete Lösung. Er ist keine Rechtsberatung, und ob Ihre konkrete Situation ein reales Risiko darstellt, hängt von Ihrem Setup und Ihrem Publikum ab.

Nicht sicher, ob das auf Ihre Website zutrifft?

Starten Sie einen kostenlosen DSGVO-Scan und prüfen Sie, ob Ihre Website Google Fonts oder andere Ressourcen Dritter lädt, bevor Besucher eingewilligt haben.

Kostenlosen DSGVO-Scan starten

Was tatsächlich passiert, wenn eine Seite Google Fonts auf diese Weise lädt

Die meisten Websites hosten ihre Schriftarten nicht selbst. Stattdessen weist eine Zeile im HTML oder CSS den Browser des Besuchers an, die Schriftdateien von fonts.googleapis.com oder fonts.gstatic.com abzurufen. Diese Anfrage feuert in dem Moment, in dem die Seite lädt, noch bevor ein Cookie-Banner beantwortet wurde, und enthält die IP-Adresse des Besuchers, Browserdetails und den Zeitpunkt des Besuchs.

Eine IP-Adresse gilt nach der DSGVO als personenbezogenes Datum (Art. 4(1) und Erwägungsgrund 30 definieren sie so). Die Frage lautet also: Was ist die Rechtsgrundlage, sie an Google zu senden, bevor der Besucher irgendetwas zugestimmt hat?

Was das Münchner Gericht tatsächlich entschied

Im Januar 2022 entschied das Landgericht München I (Az. 3 O 17493/20) genau darüber. Eine Website hatte Google Fonts über Googles CDN eingebunden, ohne den Besucher vorher zu fragen. Das Gericht stellte fest, dass die Übermittlung der IP-Adresse des Besuchers an Google keine gültige Rechtsgrundlage hatte, da das eigene Hosten derselben Schriftarten eine ohne Weiteres verfügbare Alternative war, die jegliche Datenübermittlung an Google vermied. Es sprach dem Kläger 100 Euro Schadensersatz zu.

Dieses einzelne Urteil löste im darauffolgenden Jahr eine Welle von Massenabmahnungen an deutsche und österreichische Website-Betreiber aus, die jeweils eine Zahlung zur Beilegung des angeblichen Verstoßes forderten.

Ist das 2026 noch ein reales Risiko?

Seit 2022 haben sich zwei Dinge geändert, und beide sind für eine ehrliche Antwort relevant.

Die Grundlage für die Datenübermittlung wurde gestärkt. Seit Juli 2023 gibt der Angemessenheitsbeschluss der Europäischen Kommission für das EU-US Data Privacy Framework Google als zertifiziertem Teilnehmer eine anerkannte Rechtsgrundlage, aus der EU übermittelte Daten zu empfangen. Das adressiert direkt den Teil der ursprünglichen Beschwerde über die "Übermittlung in die USA ohne Schutzmaßnahmen".

Die Abmahnkampagnen selbst stießen auf Widerstand. Mehrere deutsche Gerichte, darunter erneut das LG München I im März 2023 (Az. 4 O 13063/22) und das Amtsgericht Ludwigsburg im Februar 2023, urteilten, dass die massenhaften Abmahnaktionen einen Rechtsmissbrauch darstellten, da sich der Zweck von der Beendigung eines Datenschutzverstoßes hin zur Generierung von Einnahmen aus Vergleichszahlungen verschoben hatte. Ähnliche Feststellungen kamen aus Österreich.

Die zugrunde liegende technische Tatsache hat sich also nicht geändert: Eine externe Schriftanfrage sendet weiterhin die IP-Adresse des Besuchers an Google, bevor irgendeine Einwilligungsentscheidung getroffen wurde. Geändert hat sich, dass die Übermittlung nun eine klarere Rechtsgrundlage hat und Gerichte opportunistische Massenabmahnkampagnen, die das ursprüngliche Urteil ausnutzten, weitgehend zurückgewiesen haben. Ob Ihr konkretes Setup ein nennenswertes Risiko darstellt, hängt weiterhin von Ihren Umständen, Ihrem Publikum und dem Umgang mit Einwilligung im Übrigen ab, was sich nicht verantwortungsvoll mit einem pauschalen Ja oder Nein beantworten lässt.

So prüft GetGDPRScan das: GetGDPRScan prüft Anfragen an Schriftanbieter Dritter im Rahmen eines breiteren Scans von Trackern, Cookie-Einwilligung und dem Vorhandensein einer Datenschutzerklärung, sodass Sie sehen können, ob dies auf Ihre eigene Website zutrifft, statt zu raten.

So beheben Sie es: Schriftarten selbst hosten

Dieser Teil hat eigentlich keine zwei Seiten, unabhängig davon, wie die Rechtsdebatte ausgeht: Eigenes Hosting beseitigt die Exposition vollständig, und der Aufwand ist gering.

•Laden Sie die verwendeten Schriftdateien herunter (die offizielle Google-Fonts-Seite bietet einen direkten Download, oder ein Tool wie google-webfonts-helper kann genau die benötigten Schnitte zusammenstellen)
•Fügen Sie die Dateien Ihrem Projekt hinzu, üblicherweise in einem /fonts-Ordner, und referenzieren Sie sie mit einer lokalen @font-face-Regel statt des von Google gehosteten Links oder @import
•Entfernen Sie den Verweis auf fonts.googleapis.com / fonts.gstatic.com vollständig
•Prüfen Sie, ob die Schriftarten in den von Ihnen unterstützten Browsern weiterhin korrekt dargestellt werden

So prüft GetGDPRScan das: Als Nebeneffekt reduziert eigenes Hosting in der Regel auch die Anzahl der Anfragen beim Laden der Seite, da der Browser keine separate Verbindung zu Googles Servern mehr benötigt. Prüfen Sie bei WordPress, Shopify oder Webflow zuerst die Typografie-Einstellungen Ihres Themes, da viele Themes Google Fonts automatisch selbst hosten können, ohne Code zu bearbeiten.

Wenn Sie es nicht vollständig entfernen können

Wenn eigenes Hosting für Ihr Setup wirklich nicht praktikabel ist, besteht die Ausweichlösung darin, die Schriftanfrage in Ihrer Datenschutzerklärung offenzulegen und sie, je nach Risikobereitschaft, demselben Einwilligungsmechanismus zu unterstellen, den Sie für Ihre übrigen Tracking-Skripte verwenden. Das ist eine schwächere Position als eigenes Hosting, kein Ersatz dafür, da die Anfrage weiterhin feuert, bevor eine Entscheidung getroffen wurde, sofern sie nicht tatsächlich blockiert und nicht nur offengelegt wird.

Das Wichtigste in Kürze

•Das Laden von Google Fonts von Googles Servern sendet die IP-Adresse der Besucher an Google, bevor eine Einwilligungsentscheidung getroffen wurde.
•Ein Münchner Gerichtsurteil von 2022 stellte fest, dass dies gegen die DSGVO verstößt, wenn eigenes Hosting eine ohne Weiteres verfügbare Alternative ist.
•Seit 2023 gibt das EU-US Data Privacy Framework der Übermittlung eine klarere Rechtsgrundlage, und Gerichte haben die massenhaften Abmahnkampagnen separat als missbräuchlich eingestuft.
•Die praktische Lösung, die Schriftdateien selbst zu hosten, dauert deutlich unter einer Stunde und beseitigt die Frage vollständig, unabhängig davon, wie sich die Rechtsdebatte weiterentwickelt.

FAQ

Prüfen Sie Ihre eigene Website in unter einer Minute

Ein kostenloser Scan prüft Google Fonts und andere Anfragen Dritter, die vor der Einwilligung feuern, zusammen mit Ihrem Cookie-Banner und Ihrer Datenschutzerklärung.

Kostenlosen Scan starten