Google Font API

Was ist die Google Font API?

Die Google Font API ist ein kostenloser Webschriftdienst von Google LLC, der Zugang zu über 1.400 Open-Source-Schriftfamilien über ein globales CDN bietet. Entwickler binden einen Stylesheet-Link zu fonts.googleapis.com ein, und der Browser lädt die eigentlichen Schriftdateien von fonts.gstatic.com herunter. Der Dienst unterstützt variable Schriften, Teilmengen und Darstellungsoptimierungsparameter, die Layout-Verschiebungen minimieren und die Seitenleistung verbessern. Seine einfache Integration hat ihn zu einer der meistgenutzten Drittanbieterressourcen im Web gemacht.

Welche Daten erfasst die Google Font API?

Die Google Font API setzt keine Browser-Cookies. Jede Schriftanforderung überträgt jedoch technische Metadaten an Google-Server: die IP-Adresse des Besuchers, die angeforderte Schriftfamilie und -stärke, den Browser-User-Agent-String, den HTTP-Referrer und einen Zeitstempel. Unter der DSGVO gelten IP-Adressen als personenbezogene Daten, da sie zur Identifizierung von Personen herangezogen werden können. Google erklärt, sie nicht dauerhaft zu speichern, doch die Übertragung selbst löst europäische Datenschutzpflichten aus, wie der EuGH in mehreren Entscheidungen bestätigt hat.

DSGVO- und ePrivacy-Implikationen

Im Januar 2022 urteilte das Landgericht München I (Az. 3 O 17493/20), dass die Einbindung von Google Fonts ohne Einwilligung gegen Art. 6 DSGVO verstößt, da sie eine unnötige Übertragung der IP-Adresse des Besuchers an Google in den USA verursacht. Das Gericht sprach 100 EUR immateriellen Schadensersatz zu. Dieses Urteil ist ein Referenzpunkt für Datenschutzbehörden in ganz Europa. Nach dem deutschen TTDSG erfordert das Laden jeder Drittanbieterressource, die identifizierende Daten überträgt, entweder eine Einwilligung oder eine Ausnahme der strikten Notwendigkeit.

Einwilligungsanforderungen

Die Einwilligung muss eingeholt werden, bevor der Browser eine Anfrage an fonts.googleapis.com oder fonts.gstatic.com stellt. Sowohl die Stylesheet-Anfrage als auch der Schriftdaten-Download müssen blockiert werden, bis der Besucher über eine Consent-Management-Plattform aktiv zustimmt. Der einfachste konforme Ansatz ist die Definition eines System-Schrift-Fallbacks in CSS und das Laden von Google Fonts erst nach Einwilligung. Das Stützen auf berechtigtes Interesse ist nach dem Münchner Urteil rechtlich riskant. Die Einwilligung muss gemäß Art. 7 DSGVO freiwillig, spezifisch, informiert und unmissverständlich sein.

Datenübertragungen außerhalb der EU

Jede Google-Fonts-Anfrage wird an Google-Infrastruktur in den USA geleitet. Google stützt sich auf Standardvertragsklauseln im Rahmen des EU-US Data Privacy Framework für diese Übertragungen. Die Angemessenheit dieser Klauseln für Google-Dienste wird jedoch von nationalen Aufsichtsbehörden fortlaufend überprüft, und mehrere EU-Behörden haben bestimmte Google-Transfers für rechtswidrig befunden. Website-Betreiber, die vollständige Sicherheit über die Datenresidenz wünschen, sollten Schriften lokal hosten.

Praktische Schritte zur Compliance

Option 1 ist das Self-Hosting: Schriftdateien herunterladen und auf dem eigenen Server hosten, ohne jede Anfrage an Google. Option 2 ist das Consent-gesteuerte Laden: alle Anfragen an fonts.googleapis.com und fonts.gstatic.com standardmäßig blockieren und das Stylesheet erst nach Einwilligung injizieren. Option 3 ist der Wechsel zu datenschutzfreundlichen Schrift-CDNs wie Bunny Fonts, die denselben Katalog ohne IP-Protokollierung anbieten. Aktualisieren Sie in jedem Fall Ihre Cookie-Richtlinie und Datenschutzerklärung, um Ihre Schriftladestrategie korrekt zu beschreiben.