Google Fonts, Analytics und DSGVO
Kernaussagen
- Google Fonts lokal einbinden. Das löst das Problem in fünfzehn Minuten und dauerhaft.
- Der EU-US-Datenschutzrahmen steht seit Mitte 2026 rechtlich unter Druck; wer darauf baut, sollte den Stand prüfen.
- Jedes externe Werkzeug ist eine Entscheidung mit rechtlicher Folge, auch wenn es nur eine Zeile Code ist.
- Die sicherste Strategie ist nicht die beste Rechtsberatung, sondern die kürzeste Liste externer Dienste.
Google Fonts: der Fall, der einfach zu lösen ist
Werden Google Fonts von den Servern des Anbieters geladen, wird beim Seitenaufruf die IP-Adresse des Besuchers übertragen. Ein Landgericht in München hat 2022 entschieden, dass das ohne Einwilligung einen Eingriff in das Persönlichkeitsrecht darstellt, und einen Schadensersatz zugesprochen.
Auf das Urteil folgte eine Welle von Abmahnschreiben, von denen viele fragwürdig waren. Die rechtliche Bewertung im Einzelfall ist bis heute nicht einheitlich, aber der Streit lässt sich vollständig vermeiden.
Die Lösung: Schriften lokal einbinden. Die Dateien herunterladen, auf den eigenen Server legen, per CSS einbinden. Kein externer Aufruf, keine IP-Übertragung, keine Einwilligung nötig.
Das dauert etwa fünfzehn Minuten und hat zwei Nebeneffekte: Die Seite wird schneller, weil eine externe Verbindung entfällt, und die Schriften laden zuverlässiger.
Dasselbe gilt für andere externe Ressourcen, die still mitgeladen werden: Symbolbibliotheken, JavaScript-Bibliotheken von fremden Servern, eingebettete Karten.
Der Test, der zwei Minuten dauert
Werden Google Fonts von den Servern des Anbieters geladen, wird beim Seitenaufruf die IP-Adresse des Besuchers übertragen. Ein Landgericht in München hat 2022 entschieden, dass das ohne Einwilligung einen Eingriff in das Persönlichkeitsrecht darstellt, und einen Schadensersatz zugesprochen.
Auf das Urteil folgte eine Welle von Abmahnschreiben, von denen viele fragwürdig waren. Die rechtliche Bewertung im Einzelfall ist bis heute nicht einheitlich, aber der Streit lässt sich vollständig vermeiden.
Die Lösung: Schriften lokal einbinden. Die Dateien herunterladen, auf den eigenen Server legen, per CSS einbinden. Kein externer Aufruf, keine IP-Übertragung, keine Einwilligung nötig.
Das dauert etwa fünfzehn Minuten und hat zwei Nebeneffekte: Die Seite wird schneller, weil eine externe Verbindung entfällt, und die Schriften laden zuverlässiger.
Dasselbe gilt für andere externe Ressourcen, die still mitgeladen werden: Symbolbibliotheken, JavaScript-Bibliotheken von fremden Servern, eingebettete Karten.
Google Analytics: die Lage ist unübersichtlicher geworden
Für Analysewerkzeuge gelten zwei Ebenen.
Die Einwilligung. Analytics greift auf das Endgerät zu und ist nicht technisch notwendig. Nach § 25 TDDDG braucht es eine Einwilligung, unabhängig von allen Fragen zum Datentransfer.
Der Datentransfer in die USA. Hier war seit Juli 2023 der EU-US Data Privacy Framework die Grundlage: ein Angemessenheitsbeschluss der Kommission, auf den sich zertifizierte US-Anbieter berufen konnten.
Dieser Rahmen steht inzwischen unter erheblichem rechtlichem Druck. Eine Entscheidung des US-Supreme-Court vom Juni 2026 zur Unabhängigkeit der Federal Trade Commission hat eine tragende Säule der Vereinbarung infrage gestellt. Wie es weitergeht (Überprüfung durch die Kommission, Verfahren vor dem EuGH oder eine Nachbesserung), ist offen.
Was das praktisch bedeutet: Wer US-Dienste einsetzt, sollte den aktuellen Stand prüfen, bevor er sich auf den Rahmen beruft, und Alternativen zumindest kennen. Eine belastbare Bewertung für den Einzelfall gehört zu einem Fachanwalt. Dieser Beitrag ist keine Rechtsberatung.
Die europäischen Alternativen
Für Reichweitenmessung gibt es Anbieter mit Servern in der EU, teils ohne Zugriff auf das Endgerät und damit ohne Einwilligungspflicht.
Was solche Werkzeuge liefern: Seitenaufrufe, Besucherzahlen, Verweisquellen, Geräte, Länder, beliebteste Seiten, Absprungverhalten. Für die allermeisten Unternehmenswebsites deckt das den Bedarf vollständig ab.
Was sie nicht liefern: geräteübergreifende Nutzerverfolgung, Verknüpfung mit Werbekonten, sehr feingliedrige Zielgruppenauswertung. Wer umfangreiche bezahlte Kampagnen fährt, kommt damit an Grenzen.
Der Nebeneffekt, der oft übersehen wird: Ohne Einwilligungspflicht werden alle Besucher gezählt, nicht nur die, die zugestimmt haben. Bei Ablehnungsquoten im zweistelligen Bereich sind die Zahlen dadurch vollständiger, und damit brauchbarer als eine lückenhafte Statistik mit mehr Funktionen.
Die Umstellung kostet typischerweise einen halben Tag, inklusive Übernahme der wichtigsten Kennzahlen als Vergleichswerte.
Die anderen Dienste, die mitgeladen werden
Analytics und Schriften sind die bekanntesten Fälle. Auf einer typischen Unternehmenswebsite stecken mehrere weitere.
Eingebettete Videos. Laden beim Seitenaufruf Daten, auch wenn niemand abspielt. Lösung: ein Vorschaubild, das Video erst nach Klick laden.
Kartendienste. Dasselbe Prinzip. Auf einer Kontaktseite reicht oft ein Bild mit Link zur Routenplanung.
Symbol- und Skriptbibliotheken von fremden Servern. Lokal einbinden, genau wie Schriften.
Chat- und Terminwerkzeuge. Prüfen, wo die Server stehen und ob sie erst nach Einwilligung laden.
Social-Media-Einbindungen. Ein Link statt einer Einbettung löst das Problem und ist meist auch schneller.
Der Test: Entwicklerwerkzeuge im Browser öffnen, Reiter Netzwerk, Seite neu laden und die Liste der aufgerufenen Domains ansehen, und zwar vor jeder Einwilligung. Alles, was dort auftaucht und nicht eure eigene Domain ist, gehört geprüft.
Die Reihenfolge der Umsetzung
1. Bestandsaufnahme. Netzwerkanalyse für alle Seitentypen: Startseite, Leistungsseite, Blogbeitrag, Kontaktseite. Liste aller externen Domains.
2. Schriften lokalisieren. Der schnellste Punkt mit dem besten Verhältnis von Aufwand zu Wirkung.
3. Alles verschieben, was vor der Einwilligung lädt. Der häufigste und schwerwiegendste Befund. Nichts darf vor der Zustimmung geladen werden, außer technisch Notwendigem.
4. Streichen, was nicht gebraucht wird. Vergessene Werkzeuge, doppelte Statistikdienste, alte Tracking-Codes aus Kampagnen. Auf vielen Websites findet sich davon mehr als erwartet.
5. Einbettungen ersetzen. Videos und Karten auf Klick umstellen.
6. Statistik prüfen. Braucht ihr die Funktionen, für die ihr rechtliche Unsicherheit in Kauf nehmt?
7. Datenschutzerklärung anpassen. Sie muss zu dem passen, was die Seite tatsächlich tut. Dienste nennen, die ihr nicht nutzt, ist so falsch wie welche zu verschweigen.
Der Maßstab, der Arbeit spart
Rechtliche Bewertungen ändern sich. Urteile kommen, Angemessenheitsbeschlüsse wackeln, Aufsichtsbehörden ändern ihre Einschätzung. Wer seine Website an der jeweils aktuellen Rechtslage entlangbaut, baut ständig um.
Es gibt einen Maßstab, der stabiler ist: Wie viele externe Dienste ruft eure Website auf?
Jeder Dienst ist eine Abhängigkeit: rechtlich, technisch und in der Ladezeit. Eine Website mit drei externen Verbindungen hat drei Risiken. Eine mit dreißig hat dreißig, von denen die meisten niemandem bewusst sind.
Die praktische Konsequenz ist unspektakulär: Bei jedem neuen Werkzeug eine Minute innehalten und fragen, ob der Nutzen die Abhängigkeit wert ist. Bei den meisten Chatfenstern, Bewertungswidgets und Analysezusätzen lautet die Antwort nein.
Das ist keine juristische Strategie, sondern eine technische. Sie wirkt aber zuverlässiger als jede Anpassung an die jeweils letzte Entscheidung.
Weitere Beiträge
