Adobe Fonts (Typekit)

Was ist Adobe Fonts (Typekit)

Adobe Fonts, früher unter dem Namen Typekit bekannt, ist der Abonnementdienst von Adobe Inc. für Webschriften. Er ist in den meisten Adobe Creative Cloud Tarifen enthalten und stellt Designern Tausende Schriften zur Verfügung, die in Websites eingebunden werden können. Die Auslieferung erfolgt per kleinem JavaScript Snippet oder per CSS Link auf use.typekit.net. Sobald ein Besucher eine Seite mit Adobe Fonts öffnet, lädt sein Browser die Schriftdateien und ein Konfigurationsskript direkt von den Adobe Servern in den USA.

Welche Daten Adobe Fonts erhebt

Beim Laden der Schriften werden die IP Adresse des Besuchers, die aufgerufene URL (Referer Header), der User Agent und Anfragemetadaten an Adobe übertragen. Zusätzlich verwendet Adobe ein Tracking Pixel auf p.typekit.net, um die Nutzung für Abrechnung und Reporting zu zählen. Adobe erklärt, dass diese Anfragen nicht zur Bildung von Werbeprofilen genutzt werden, doch die IP Adresse bleibt ein personenbezogenes Datum im Sinne der DSGVO und der Drittlandtransfer wirft dieselben rechtlichen Fragen auf wie die deutschen Google Fonts Entscheidungen.

DSGVO und ePrivacy Folgen

Artikel 5 Absatz 3 der ePrivacy Richtlinie und der deutsche Paragraf 25 TTDSG verlangen eine Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Die von Adobe Fonts geladenen CSS und JavaScript Dateien werden vom Browser zwischengespeichert und das p.typekit.net Pixel kann kurzzeitige Identifier setzen, was in vielen EU Jurisdiktionen unter die Cookie Regeln fällt. Unter der DSGVO muss der Drittlandtransfer von IP Adressen in die USA auf einem gültigen Mechanismus nach Artikel 46 beruhen, heute also Standardvertragsklauseln oder die Zertifizierung im EU US Data Privacy Framework, der Adobe im Juli 2023 beigetreten ist.

Ist eine Einwilligung erforderlich

Die meisten europäischen Datenschutzbehörden behandeln externe Webschriften wie Google Fonts: eine vorherige Einwilligung ist der sicherste Weg, weil der Ladevorgang nicht zwingend für die Darstellung erforderlich ist und die IP Adresse mit einem US Verantwortlichen geteilt wird. In Deutschland gilt das Urteil des LG München I, 3 O 17493/20 vom 20. Januar 2022 weithin als auf alle externen Schriftdienste anwendbar, die IP Adressen übertragen. Die französische CNIL vertritt eine ähnliche Linie. In der Praxis sollte Adobe Fonts blockiert werden, bis der Besucher die passende Kategorie akzeptiert, üblicherweise die Kategorie Funktional oder Präferenzen.

Datenübermittlung in die USA

Adobe Inc. hat seinen Sitz in San Jose, Kalifornien, und verarbeitet Adobe Fonts Anfragen über US Infrastruktur. Adobe hat sich im Juli 2023 im EU US Data Privacy Framework selbst zertifiziert, was eine Angemessenheitsentscheidung für Datenflüsse zu zertifizierten US Empfängern bietet. Für Verantwortliche im EWR stellt Adobe zudem Standardvertragsklauseln in seinen Allgemeinen Geschäftsbedingungen für Abonnementdienste bereit. Beide Mechanismen sollten in der Datenschutzerklärung genannt werden, gemeinsam mit den Kategorien der übermittelten Daten (IP, URL, User Agent) und der bei Adobe geltenden Speicherdauer.

Praktische Schritte zur Compliance

Empfohlen wird, die Adobe Fonts Einbettung erst nach erteilter Einwilligung zu laden, Adobe Inc. als Auftragsverarbeiter und US Empfänger in der Datenschutzerklärung auszuweisen und die Nutzung von SCC bzw. DPF zu dokumentieren. Soll die Einwilligungspflicht vermieden werden, beseitigt eine selbst gehostete Alternative den Transfer: Adobe lizenzierte Schriften vom eigenen Server (sofern der Tarif dies erlaubt) oder selbst hostbare freie Schriften wie Inter, Roboto oder IBM Plex. Im Consent Banner sollte Adobe Fonts in einer granularen Präferenzen Kategorie sichtbar sein, damit Nutzer ablehnen können, ohne funktionale Cookies zu verlieren.