Abmahnwelle Google Fonts: Wie Sie reagieren sollten und sich vorbereiten können

Das Thema Google Fonts hält nicht nur die Datenschutz-Welt, sondern eine Vielzahl an Unternehmen in Schach. Der Grund: Tausende von Abmahnungen werden von wenigen Einzelpersonen als vermeintlich Betroffene eines Datenschutzverstoßes aufgrund der Nutzung von Google Fonts im Akkord an Unternehmen geschickt und Schadensersatz eingefordert. Dabei ist egal, ob die Unternehmen tatsächlich Google Fonts einsetzen.

Die Aufsichtsbehörden freuen sich, weil der Datenschutz dadurch massiven Aufwind bekommt und Unternehmen ihre Websites genauer unter die Lupe nehmen. Insgesamt herrscht allerdings große Verunsicherung, wie mit eintreffenden Abmahnungen umzugehen ist.

Wir zeigen, was das Problem mit Google Fonts ist, wie es zur Abmahnwelle kam und erklären, wie Sie am besten auf ein solches angebliches Abmahnschreiben reagieren.

Hinweis: Wir können und dürfen keine Rechtsberatung geben. Holen Sie daher im Zweifel juristische Unterstützung ein. 

Google Fonts sind – wie der Name schon suggeriert – Schrifttypen, die von Google kostenlos zur Einbindung in Websites zur Verfügung gestellt werden. Bei einer dynamischen Einbindung werden diese direkt von Googles Servern geladen. Problematisch daran ist, dass dabei auch personenbezogene Daten – insbesondere die IP-Adresse – der Websitebesucher:innen an Google übermittelt werden.

Google sitzt allerdings in den USA, einem Drittland ohne ausreichendem Datenschutzniveau (offiziell seit Schrems II). Für diese Drittlandübermittlung ist prinzipiell eine Einwilligung erforderlich, obwohl hier fraglich ist, ob diese ausreicht. Zudem ist es schwierig, eine Einwilligung einzuholen, da die Schriftarten bis zum Erteilen der Einwilligung nicht eingesetzt werden dürfen.

Auch mit einem berechtigten Interesse kann nicht argumentiert werden, da Google Fonts relativ einfach auch lokal eingebunden und über eigene Server geladen werden können, ohne dass eine Übermittlung an Google stattfindet. Ein milderes Mittel steht also zur Verfügung. Dem gegenüber stehen die vergleichsweise hohen Risiken der Besucher:innen.  

Der Ursprung der aktuellen Abmahnwelle liegt in einem Urteil des Landgerichts München von Anfang des Jahres. Hier hat das Gericht einem Nutzer 100 Euro Schadensersatz gegen einen Webseitenbetreiber zugesprochen, weil dieser Google Fonts ohne Einwilligung genutzt hat.

Das Landesgericht München befand, dass die unerlaubte Weitergabe der IP-Adresse an Google eine Verletzung des allgemeinen Persönlichkeitsrechts in Form des informationellen Selbstbestimmungsrechts darstellt. Gleichzeitig hat es bestätigt, dass die Interessen der Besucher:innen das Interesse von Webseitebetreiber:innen, Google Fonts nicht lokal einbinden zu wollen, überwiegen. Um Google Fonts dynamisch nutzen zu dürfen, bedarf es gemäß dem Urteil einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Das Urteil ist allerdings nicht unumstritten. Grundsätzlich ist zudem zu beachten, dass das gefällte Urteil nur für die beteiligten Parteien gilt und in anderen Fällen auch andere Urteile möglich sind. Zudem ist das Landgericht München keine höhere Instanz und somit nicht zwangsläufig richtungsweisend. Hier wird beispielsweise auf längere Sicht noch eine Entscheidung des Europäischen Gerichtshofs erwartet, ob ein Schadensersatz auch bei immateriellen Schäden zulässig ist.

Das Urteil war der Anlass für einige Personen, um selbst Schadensersatzforderungen zu stellen: Aktuell erhalten tausende Unternehmen angebliche Abmahnungen mit Titeln wie „Persönlichkeitsverletzung Datenschutz Google Fonts“. Diese gehen vor allem von einigen wenigen Privatpersonen aus, die mit juristischer Unterstützung vermeintliche Abmahnschreiben verschicken und Schadensersatz von meist ca. 100 bis 200 Euro fordern. Von diesen Massenschreiben geht eine richtige Abmahnwelle aus. Dabei ist wichtig zu wissen, dass es sich im juristischen Sinne nicht um eine durch eine anwaltlich ausgesprochene Abmahnung, sondern um einen Vorschlag zum Vergleich gegen Zahlung einer Summe handelt. Diese Feinheit ist auch hinsichtlich der Kosten dieses Schreibens wichtig.

Besonders bestimmte Namen, die im Rahmen dieser Abmahnwelle bekannt geworden sind, tauchen immer wieder auf: Kilian Lenard für Martin Ismail und Wang Yu durch RAAG und Loris Bachert. 

Wenn Sie eine Abmahnung erhalten – bzw. im Idealfall schon im Vorfeld –, sollten Sie prüfen, ob und wie Google Fonts bei Ihnen eingebunden sind. Dafür gibt es einige Tools, die Sie nutzen können. Problematisch ist vor allem die dynamische Einbindung. Wenn Sie Google Fonts nutzen möchten, binden Sie diese daher lokal ein und dokumentieren Sie dieses Vorgehen. Werden Verstöße bekannt, ist es wichtig, dass Sie belegen können, dass Sie sich umgehend gekümmert haben.

Trifft dennoch eine solche vermeintliche Abmahnung ein, ist die gängige Meinung, dass Sie – zumindest im Regelfall – nicht darauf reagieren sollten. Der niedrige Betrag der Schadensersatzforderung ist bewusst so gewählt, damit es sich nicht lohnt, juristische Beratung zu beanspruchen. Dennoch sollten Sie diesen Betrag unter keinen Umständen ungeprüft bezahlen. Denn bei der schieren Masse an Schreiben ist es sehr unwahrscheinlich, dass die gestellten Ansprüche tatsächlich weiterverfolgt werden. Das würde zu viele Ressourcen binden und den Abmahnenden selbst enorme Kosten verursachen. Die Masche ist daher, möglichst viele Anschreiben zu verschicken und darauf zu hoffen, dass genug überweisen, damit es sich lohnt. Der Rest wird als Portokosten abgeschrieben. Außerdem ist es wahrscheinlich, dass Sie Opfer weiterer Schreiben werden, wenn Sie einmal geantwortet haben.

Teilweise liegen den Abmahnungen auch strafbewerte Unterlassungserklärungen bei – inklusive Muster, das unterschieben werden soll. Damit würden Sie sich allerdings verpflichten, eine Vertragsstrafe zu zahlen, wenn Sie erneut Google Fonts von Googles Servern beziehen. Daher sollten Sie diese Erklärung auf gar keinen Fall ohne Rechtsberatung unterschreiben. 

In einigen Fällen wird neben Schadensersatz auch Auskunft gefordert. Darauf haben prinzipiell alle Personen ein Recht – ganz unabhängig von dem Einsatz von Google Fonts. Auch hier muss der Fall allerdings differenziert betrachtet werden. Es ist nämlich zu prüfen, ob es sich um eine ernsthafte Auskunftsabsicht oder einen Rechtsmissbrauch handelt. Werden beispielsweise nur finanzielle Ansprüche verfolgt oder Auskunftsersuchen quasi als Drohung eingesetzt, können Sie in der Regel von einem Rechtsmissbrauch ausgehen. Das schreibt auch der Hessische Beauftragte für Datenschutz und Informationsfreiheit. In einer Stellungnahme heißt es, dass Auskunftsersuchen am Einwand der Rechtsmissbräuchlichkeit scheitern können, wenn es nicht um die Durchsetzung der Betroffenenrechte geht, sondern vielmehr verordnungsfremde Ziele verfolgt werden.

Zudem muss die Identität der anfragenden Betroffenen zweifelsfrei festgestellt werden. Hierzu fehlen aber in den Schreiben häufig die notwendigen Angaben.

Dennoch sollten Sie prüfen, ob Sie personenbezogene Daten der anfragenden Person verarbeiten. Prüfen Sie dafür Ihre Logfiles und beispielsweise Cookie-Opt-Ins sowie Ihre CRM-Systeme. Ist es ein ernsthaftes Auskunftsersuchen, sollten Sie – nach Prüfung der Identität – natürlich entsprechend Auskunft erteilen.

Sie können sich natürlich auch zur Wehr setzen. Das hat eine Frau getan und eine einstweilige Unterlassungsverfügung gegen einen der Hauptversender dieser Abmahnungen erreicht. Dieser darf ab Zustellung der einstweiligen Verfügung keinen Partnerbetrieb der Mandantin mehr im Zusammenhang mit der Einbindung von Google Fonts kontaktieren.

Zudem können Sie den Abmahnenden auch eine Frist zur Rücknahme ihrer Ansprüche stellen. Auch eine negative Feststellungsklage ist möglich. Hierbei beantragen Sie, dass ein Gericht feststellt, dass die Zahlungs- und Unterlassungsansprüche unberechtigt sind. Außerdem können Sie einen Strafantrag wegen Betrugs stellen. Bei diesen Möglichkeiten sollte Ihnen allerdings bewusst sein, dass der Ausgang bei solchen Verfahren ungewiss ist, Verfahren sich hinziehen und enorme Kosten verursachen können. Die einfachste Variante ist daher in der Regel, auf derartige Schreiben einfach nicht zu reagieren und maximal Auskunftsersuchen nachzukommen. 

Google Fonts ist natürlich nicht die einzige problematische Datenübermittlung, die auf vielen Webseiten zu finden ist. Hier reihen sich beispielsweise noch YouTube, Google Maps, reCAPTCHA oder Google Analytics ein. Auch hier werden Daten an Dritte in Ländern mit unzureichenden Datenschutzbestimmungen übermittelt. Es gilt ebenso, dass eine Einwilligung notwendig ist und die Dienste erst nach Erteilen der Einwilligung aktiviert werden dürfen.

Es ist leider nicht auszuschließen, dass sich die aktuelle Abmahnwelle auch auf derartige Dienste erweitert – spätestens, wenn es zu einem Urteil aus höherer Instanz kommt, das Schadensersatzansprüche in Bezug auf die Nutzung von Google Fonts einschränkt und neue Felder gesucht werden müssen.

Wir raten daher, schon jetzt Maßnahmen zu ergreifen und Dienste, bei denen Daten an Dritte – vor allem bei unsicheren Drittländern – wo möglich einzuschränken und nur nach Erteilung von Einwilligungen zu nutzen.

Hinzu kommt, dass Verbraucher:innen Ansprüche zukünftig auch gebündelt geltend machen können. Denn eine EU-Richtlinie zur Einführung der Verbandsklage sieht vor, dass gebündelt gegen Unternehmen geklagt werden kann, wenn diese gegen verbraucherschützende EU-Vorschriften verstoßen. Dazu zählt auch das Datenschutzrecht. Die Klage kann auch direkt die Zahlung von Schadensersatz zum Ziel haben. Derartige Klagen dürfen allerdings nur von qualifizierten Einrichtungen kommen, also Organisationen und öffentliche Stellen, die Interessen von Verbraucher:innen vertreten und von einem Mitgliedsstaat zur Erhebung von Verbandsklagen benannt wurden. Diese Richtlinie muss in Deutschland nun bis Mitte 2023 eingeführt werden.

Dies hat enorme Auswirkungen auf das Datenschutzrecht. Denn: Oft entstehen Datenschutzvorfälle aus einem fehlerhaften Prozessdesign oder einer unzureichenden IT-Sicherheit. Davon sind in der Regel eine Vielzahl von Personen betroffen und Schadensersatzsummen multiplizieren sich schnell. Gerade mit Blick auf Abmahnwellen wie aktuell in Bezug auf Google Fonts könnte hier noch einiges auf Unternehmen zukommen.