Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Gehosteter Webfont Dienst von Hoefler & Co, der ein projektspezifisches CSS Bundle und WOFF/WOFF2 Schriftdateien von US Servern ausliefert und dabei bei jedem Seitenaufruf die IP Adresse der Besucher übermittelt.
Cloud.typography ist der gehostete Webfont Dienst von Hoefler & Co, der US Schriftgießerei hinter Familien wie Gotham, Whitney, Sentinel und Mercury. Abonnenten lizenzieren Schriften über das Kundenportal typography.com und erhalten ein projektspezifisches CSS Bundle, das auf der Hoefler Infrastruktur gehostet wird. Eine Website bindet dieses Bundle mit einem einzigen link Tag ein, woraufhin der Browser des Besuchers sowohl das CSS als auch die WOFF oder WOFF2 Schriftdateien direkt von cloud.typography.com bezieht (häufig hinter Fastly oder Cloudflare). Es läuft kein JavaScript und es werden standardmäßig keine Cookies gesetzt, doch jeder Seitenaufruf löst eine passive Anfrage an einen Drittserver in den USA aus.
Standardmäßig setzt Cloud.typography keine Cookies im Browser des Besuchers und führt keine clientseitigen Skripte aus. Der Datenschutz Fußabdruck entspricht den Daten, die automatisch in jeder HTTP Anfrage zum Abruf des CSS Bundles oder einer Schriftdatei enthalten sind: die IP Adresse des Besuchers, die User Agent Zeichenfolge zur Identifikation von Browser und Betriebssystem, der Referer Header, der die auslösende Seite verrät, sowie übliche Timing Metadaten am CDN Edge. Diese Elemente werden von Hoefler & Co und jedem zwischengeschalteten CDN (Fastly, Cloudflare) für Sicherheit, Missbrauchsabwehr und projektbezogene Nutzungsstatistik protokolliert.
Nach der DSGVO ist die IP Adresse personenbezogenes Datum und die Übermittlung an einen US Server eine Verarbeitung, die unter der Verantwortung des Websitebetreibers steht. Nach Artikel 5(3) der ePrivacy Richtlinie stellt schon das Herunterladen einer CSS Datei einen Speicherzugriff auf das Endgerät dar, womit gehostete Schriften in strikter Lesart cookieähnlichen Regeln unterliegen. Das Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20) zu Google Fonts ist die maßgebliche Entscheidung: das Gericht sah die Weiterleitung der Besucher IP an einen US Server ohne Einwilligung als DSGVO Verstoß und sprach 100 EUR immateriellen Schadensersatz zu. Cloud.typography folgt genau demselben Auslieferungsmuster und ist damit derselben juristischen Argumentation ausgesetzt.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Nach der Logik des LG München I ist die sicherste Rechtsgrundlage für das Laden von Cloud.typography die ausdrückliche vorherige Einwilligung nach Artikel 6(1)(a) DSGVO in Verbindung mit der ePrivacy Einwilligung nach Artikel 5(3), die auch Paragraf 25 TDDDG für jeden nicht zwingend erforderlichen Zugriff auf das Endgerät verlangt. Berechtigtes Interesse nach Artikel 6(1)(f) wird gelegentlich angeführt, das Münchner Gericht lehnte es für gehostete Google Fonts jedoch ab, weil eine selbst gehostete Alternative existierte. Das Consent Banner muss daher das link Tag bis zur Zustimmung blockieren und eine dokumentierte Ablehnung muss Systemschriften als Fallback wiederherstellen. Bloße Hinweise in der Datenschutzerklärung reichen nicht aus.
Jede Cloud.typography Anfrage überquert die US Grenze, womit die Übermittlungsregeln des Kapitels V DSGVO gelten. Der Websitebetreiber muss sich auf das EU US Data Privacy Framework stützen (falls Hoefler & Co zertifiziert ist) oder auf Standardvertragsklauseln mit einer Übermittlungsfolgenabschätzung, ergänzt um zusätzliche Maßnahmen wie IP Kürzung, soweit unterstützt. Die zentrale praktische Schwierigkeit besteht darin, dass Hoefler & Co Self Hosting der Schriftdateien unter dem Standard Cloud.typography Abonnement in der Regel nicht erlaubt, sodass Betreiber, die den US Transfer vollständig vermeiden wollen, entweder eine Self Hosting Lizenz aushandeln, die Schriftgießerei wechseln müssen (Klim, Grilli, Bunny Fonts, Fontshare, selbst gehostete Google Fonts) oder das Laden hinter einer granularen Einwilligung kapseln.
Websites using Cloud.typography must obtain user consent under GDPR regulations.
DPIA considerations
Eine vollständige DSFA ist für Cloud.typography auf einer Standard Website meist nicht erforderlich, da keine Verhaltensverfolgung stattfindet, doch ein Verarbeitungsverzeichnis und eine Übermittlungsfolgenabschätzung (TIA) sollten die systematische Übermittlung der Besucher IP Adressen an Hoefler & Co Server in den Vereinigten Staaten dokumentieren. Das Urteil des LG München I vom 20. Januar 2022 (Az. 3 O 17493/20) zu Google Fonts ist die unmittelbare juristische Messlatte: das Gericht sprach Schadensersatz zu, weil der Websitebetreiber die Besucher IP ohne Einwilligung an einen US Server weiterleitete, und genau dieses passive Übertragungsmuster liegt auch hier vor. Dokumentieren Sie die gewählte Rechtsgrundlage (Einwilligung ist nach dem Urteil sicherer als berechtigtes Interesse), die mit Hoefler & Co geschlossenen SCC und ergänzenden Maßnahmen sowie alle Restrisiken für Besucher in Deutschland oder anderen strengen Mitgliedstaaten.
Sample consent text
Wir verwenden Cloud.typography, einen gehosteten Webfont Dienst von Hoefler & Co (USA), um die Schriften dieser Website anzuzeigen. Beim Laden einer Seite ruft Ihr Browser eine CSS Datei und Schriftdateien von Servern in den USA ab, wobei Ihre IP Adresse, der Browser User Agent und der Referer an Hoefler & Co und dessen CDN Anbieter übertragen werden. Mit Ihrer Einwilligung aktivieren wir diese Schriftauslieferung. Ohne Einwilligung verwenden wir Systemschriften. Sie können Ihre Wahl jederzeit in den Cookie Einstellungen ändern.
Third-party domains contacted
typography.comcloud.typography.comcdn.typography.comcloud.typography.com/cdnhoeflerco.comfastly.netcloudflare.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| (no first party cookie set by Cloud.typography) | none | n/a | Cloud.typography does not set any cookies in the visitor browser by default. The CSS bundle and WOFF/WOFF2 files are delivered without cookie headers; the privacy footprint is limited to the IP address, User Agent and Referer transmitted with each HTTP request. |
| browser font cache (HTTP Cache Control) | browser cache | up to 1 year per Cache Control max age | WOFF/WOFF2 font files and the project CSS are cached locally by the browser using standard HTTP Cache Control headers to reduce repeat requests. This is not a cookie but it is the main client side persistence introduced by the service. |
| Fastly or Cloudflare edge cookies (conditional) | third party CDN | session to 1 year depending on CDN configuration | When Cloud.typography is fronted by Fastly or Cloudflare, those CDNs may set their own operational cookies (for example __cf_bm bot management or routing cookies) when challenging suspicious traffic. Exact names depend on the CDN configuration negotiated by Hoefler & Co. |
| typography.com session cookies (admin portal only) | first party (admin) | session | When a customer logs into the typography.com customer dashboard to manage projects, session cookies are set on the typography.com domain. These are not exposed to website visitors and only affect logged in subscribers managing their account. |
Cloud.typography ist ein essenzieller Dienst, aber Transparenz ist wichtig. Verwalten Sie Ihre gesamte Einwilligung mit FlowConsent.
Standardmäßig keine. Cloud.typography liefert eine CSS Datei und WOFF/WOFF2 Schriftdateien ohne Cookies oder JavaScript Identifikatoren. Das Datenschutzproblem ist die IP Adresse, der User Agent und der Referer, die jede Browseranfrage an Hoefler & Co Server in den USA und an jeden zwischengeschalteten CDN wie Fastly oder Cloudflare überträgt.
Ja in strikter Lesart. Das Urteil des LG München I vom 20. Januar 2022 zu Google Fonts behandelt die Weiterleitung der Besucher IP an einen US Server als Verarbeitung personenbezogener Daten, die eine vorherige Einwilligung benötigt. Cloud.typography nutzt dasselbe Muster, also sollte das link Tag bis zur Zustimmung blockiert werden.
Einwilligung nach Artikel 6(1)(a) DSGVO ist nach dem Münchner Urteil die sicherste Grundlage. Berechtigtes Interesse nach Artikel 6(1)(f) wird gelegentlich angeführt, wurde aber vom Gericht für gehostete Google Fonts abgelehnt, weil eine selbst gehostete Alternative existierte. Dieselbe Argumentation gilt für Cloud.typography.
Ja. Hoefler & Co ist ein US Unternehmen und seine CDN Edges (Fastly, Cloudflare) leiten Traffic ebenfalls über die USA. Jeder Seitenaufruf überträgt IP, User Agent und Referer an diese Server, daher gelten die Regeln des Kapitels V DSGVO: SCC, EU US Data Privacy Framework bei Zertifizierung und eine Übermittlungsfolgenabschätzung.
Eine vollständige DSFA ist für reines Schriftenladen meist nicht erforderlich, da keine Verhaltensverfolgung stattfindet, doch ein Verarbeitungsverzeichnis und eine TIA werden empfohlen. Dokumentieren Sie die Rechtsgrundlage, die SCC mit Hoefler & Co und alle Restrisiken für Besucher in strengen Mitgliedstaaten wie Deutschland.
Verknüpfen Sie das link Tag mit einer granularen Einwilligung und greifen Sie bei Ablehnung auf Systemschriften zurück. Aktualisieren Sie die Datenschutzerklärung mit dem LG München I Kontext und der US Übermittlung. Wichtige Einschränkung: Hoefler & Co erlaubt unter dem Standardabonnement in der Regel kein Self Hosting, eine Self Hosting Lizenz muss separat verhandelt werden.
Ja. EU basiert Bunny Fonts, selbst gehostete Google Fonts, Fontshare der Indian Type Foundry, selbst gehostete Lizenzen von Klim Type Foundry, Adobe Fonts (weiterhin US gehostet mit ähnlichen Bedenken) und selbst gehostete lizenzierte Schriften unabhängiger Schriftgießereien. Manche Kunden verhandeln auch mit Hoefler & Co eine maßgeschneiderte Self Hosting Lizenz.
Fügen Sie einen Abschnitt hinzu, der erläutert, dass die Website Webfonts von Hoefler & Co (Cloud.typography) in den USA lädt, listen Sie die übertragenen Daten (IP, User Agent, Referer) auf, verweisen Sie zum Kontext auf das LG München I Urteil, benennen Sie den Übermittlungsmechanismus (SCC oder EU US DPF) und stellen Sie einen klaren Link zum Widerruf der Einwilligung bereit.