Google Fonts & Datenschutz

Google Fonts datenschutzfreundlich lokal einbinden

Google Fonts bietet eine große Auswahl kostenlos nutzbarer Schriftarten, die überwiegend unter offenen Lizenzen veröffentlicht werden. Diese lassen sich entweder dynamisch von Google-Servern laden oder lokal auf dem eigenen Webserver bereitstellen.

Bei der dynamischen Einbindung stellt der Browser des Website-Besuchers eine direkte Verbindung zu Google her. Dabei wird unter anderem die IP-Adresse an Google übermittelt. Aus datenschutzrechtlicher Sicht ist daher die lokale Einbindung zu empfehlen. Die Schriftdateien werden direkt vom eigenen Webserver geladen und es entsteht beim Abruf keine Verbindung zu Google.

In diesem Artikel erfahren Sie:

• Warum die Einbindung von Google Fonts datenschutzrechtlich relevant ist.
• Wie sich die Rechtslage seit der Abmahnwelle 2022 entwickelt hat.
• Wie Sie eine externe Einbindung auf Ihrer Website erkennen.
• Wie Sie Google Fonts auf Ihrer Website lokal bereitstellen.

Kurz erklärt: Google Fonts lokal oder dynamisch eingebunden?

Google Fonts können auf zwei Arten in eine Website eingebunden werden:

Dynamische Einbindung über Google-Server

Bei der dynamischen Einbindung werden die benötigten Schriftarten beim Aufruf der Website direkt von Google-Servern geladen. Dazu stellt der Browser des Website-Besuchers eine Verbindung zu fonts.googleapis.com oder fonts.gstatic.com her. Dabei wird aus technischen Gründen unter anderem die IP-Adresse des Besuchers an Google übermittelt.

Lokale Einbindung auf dem eigenen Webserver

Bei der lokalen Einbindung werden die benötigten Schriftdateien auf dem eigenen Webserver gespeichert und gemeinsam mit der Website ausgeliefert. Der Browser muss keine Verbindung zu Google herstellen, um die Schriftarten zu laden.

Die lokale Bereitstellung ist daher die datenschutzfreundlichere Lösung.

Warum die dynamische Einbindung datenschutzrechtlich relevant ist

Bei der dynamischen Einbindung werden die benötigten Schriftarten nicht zusammen mit der Website vom eigenen Webserver ausgeliefert. Stattdessen enthält die Website einen Verweis auf die Server von Google. Dadurch stellt der Browser des Website-Besuchers automatisch eine zusätzliche Verbindung zu fonts.googleapis.com bzw. fonts.gstatic.com her und lädt die Schriftdateien von dort.

Google erläutert in seinen Hinweisen zu Google Fonts, dass der Dienst keine Cookies setzt. Dennoch werden bei der HTTP-Anfrage technisch notwendige Daten an Google übermittelt. Dazu gehört insbesondere die IP-Adresse des Website-Besuchers, damit die angeforderten Schriftdateien an dessen Browser ausgeliefert werden können.

IP-Adressen gelten gemäß der DSGVO als personenbezogene Daten. Durch die dynamische Einbindung erhält ein externer Anbieter somit Daten des Websitebesuchers, obwohl diese für die Darstellung der Schriftarten nicht zwingend erforderlich sind.

Das Landgericht München I kam 2022 im damaligen Verfahren zu dem Ergebnis, dass sich der Websitebetreiber bei der dynamischen Einbindung von Google Fonts nicht auf ein berechtigtes Interesse berufen konnte. Ausschlaggebend war unter anderem, dass die Übermittlung der IP-Adresse durch eine lokale Bereitstellung der Schriftarten vermeidbar gewesen wäre.

Die datenschutzrechtliche Bewertung dynamischer IP-Adressen und bewusst provozierter Verstöße ist noch nicht in allen Punkten höchstrichterlich geklärt. Unabhängig davon ist die lokale Einbindung technisch die einfachste und datenschutzfreundlichste Lösung: Der Browser lädt die Schriftarten direkt vom Webserver der Website und stellt keine Verbindung zu Google her.

Das Urteil des Landgerichts München I

Das Landgericht München I fällte am 20. Jänner 2022 ein europaweit viel beachtetes Urteil im Verfahren 3 O 17493/20. Konkret hatte ein Websitebetreiber Google Fonts so eingebunden, dass beim Aufrufen der Website die IP-Adresse der Besucher ohne deren Einwilligung an Google übertragen wurde.

Das Gericht verurteilte den Websitebetreiber dazu,

• die Weitergabe der IP-Adresse des Seitenbesuchers an Google künftig zu unterlassen,
• dem Kläger Auskunft über die verarbeiteten personenbezogenen Daten zu erteilen,
• € 100,- (zzgl. Zinsen) Schadenersatz an den Kläger zu bezahlen.

Für den Fall eines Verstoßes gegen die Unterlassungsverpflichtung drohte das Gericht ein Ordnungsgeld von bis zu 250.000 Euro an. Sollte dieses nicht gezahlt werden, droht ersatzweise Ordnungshaft. Das Urteil trägt das Aktenzeichen 3 O 17493/20.

Das Gericht war der Ansicht, dass die dynamische Einbindung nicht auf ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO gestützt werden konnte. Die Verbindung zu Google war für die Darstellung der Website nicht erforderlich, da die Schriftarten auch lokal bereitgestellt werden konnten.

Das Urteil eines deutschen Landgerichts ist jedoch keine allgemein verbindliche Entscheidung für sämtliche Websites in Österreich oder der EU. Es war jedoch der wesentliche Auslöser für die anschließende Abmahnwelle in Österreich.

Die Google-Fonts-Abmahnwelle in Österreich

Im Juli und August 2022 erhielten zahlreiche österreichische Websitebetreiber Schreiben eines niederösterreichischen Rechtsanwalts. Darin wurde behauptet, seine Mandantin habe die Websites besucht und ihre IP-Adresse sei dabei ohne Einwilligung an Google übermittelt worden.

Gefordert wurden regelmäßig 100 Euro Schadenersatz und 90 Euro Rechtsanwaltskosten. Nach den Feststellungen in einem späteren Verfahren wurden insgesamt rund 32.000 derartige Schreiben versendet.

Die Wirtschaftskammer Österreich finanzierte daraufhin ein Musterverfahren für einen betroffenen niederösterreichischen Unternehmer. Die WKO dokumentiert den Verlauf und die Entscheidungen auf einer laufend aktualisierten Informationsseite. Damit sollte gerichtlich geklärt werden, ob die systematische Vorgehensweise Schadenersatz- und Unterlassungsansprüche begründen kann.

In einem parallelen Verfahren vor dem Bezirksgericht Favoriten verzichtete die Klägerin unmittelbar vor Schluss der mündlichen Verhandlung auf ihre Schadenersatzansprüche und musste die Verfahrenskosten tragen. Eine abschließende gerichtliche Beurteilung der datenschutzrechtlichen Kernfragen erfolgte in diesem Verfahren daher nicht.

Aktuelle Rechtslage: Was hat sich bis 2026 geändert?

Landesgericht beurteilt systematische Abmahnungen als rechtsmissbräuchlich

Das Landesgericht für Zivilrechtssachen Wien wies die Klage im von der Wirtschaftskammer unterstützten Musterverfahren mit Entscheidung vom 30. Dezember 2025 ab. Die wesentlichen Ergebnisse veröffentlichte die WKO in ihrem Update zur Google-Fonts-Abmahnwelle.

Laut der WKO stellte das Gericht Folgendes fest:

• Die DSGVO sieht keinen allgemeinen vorbeugenden Unterlassungsanspruch vor.
• Schadenersatz setzt einen tatsächlich entstandenen konkreten Schaden voraus.
• Im konkreten Fall war das Vorgehen rechtsmissbräuchlich: Die Klägerin hatte Websites automatisiert aufrufen lassen, um gezielt möglichst viele Datenverarbeitungen zu erzeugen und daraus finanzielle Vorteile zu erzielen.

Die Entscheidung betrifft somit insbesondere systematisch provozierte Verstöße und Abmahnungen zur Gewinnerzielung. Sie bedeutet jedoch nicht, dass die dynamische Einbindung von Google Fonts generell datenschutzrechtlich unbedenklich wäre.

OGH wartet auf Entscheidungen des EuGH

Eine endgültige höchstgerichtliche Klärung steht weiterhin aus. Der österreichische Oberste Gerichtshof hat das Verfahren 6 Ob 141/24i am 26. November 2025 unterbrochen. Der OGH wartet auf Entscheidungen des Europäischen Gerichtshofs zu vergleichbaren Vorlagefragen.

Dabei geht es unter anderem um folgende Fragen:

• Wann stellt eine dynamische IP-Adresse ein personenbezogenes Datum dar?
• Kann ein immaterieller Schaden entstehen, wenn eine Person einen Datenschutzverstoß bewusst provoziert, um anschließend Ansprüche geltend zu machen?
• Können gleichartige, massenhaft automatisiert erzeugte Verstöße Schadenersatzansprüche begründen?
• Wann kann solchen Ansprüchen der Einwand des Rechtsmissbrauchs entgegengehalten werden?

Der deutsche Bundesgerichtshof legte diese Fragen mit Beschluss vom 28. August 2025 im Verfahren VI ZR 258/24 dem EuGH vor. Zusätzlich wartet der OGH auf die Entscheidung im EuGH-Verfahren C-526/24, das unter anderem Auskunftsersuchen und Schadenersatz bei möglicherweise missbräuchlichem Vorgehen betrifft.

Nach Vorliegen der EuGH-Entscheidungen wird das österreichische OGH-Verfahren von Amts wegen fortgesetzt.

EU-US-Data Privacy Framework: derzeit gültig, weitere Entwicklung offen

Seit 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss der Europäischen Kommission für zertifizierte US-Unternehmen. Dieser Beschluss gilt weiterhin.

Am 3. September 2025 wies das Gericht der Europäischen Union eine Klage gegen den Angemessenheitsbeschluss zunächst ab. Gegen diese Entscheidung wurde jedoch ein Rechtsmittel beim Europäischen Gerichtshof unter dem Aktenzeichen C-703/25 P eingelegt.

Zusätzlich hat die Entscheidung des US Supreme Court vom 29. Juni 2026 im Fall Trump v. Slaughter eine neue Diskussion über die Unabhängigkeit der US Federal Trade Commission ausgelöst. Datenschutzorganisationen stellen deshalb die langfristige Stabilität des EU-US-Datenschutzrahmens infrage.

Für Websitebetreiber besteht jedoch kein Anlass, den weiterhin gültigen Angemessenheitsbeschluss als aufgehoben zu behandeln. Die Entwicklung zeigt jedoch, dass sich die rechtlichen Rahmenbedingungen für Datentransfers in die USA verändern können.

Durch die lokale Bereitstellung von Google Fonts wird die direkte Datenübertragung an Google bereits auf technischer Ebene vermieden, unabhängig davon, wie sich der EU-US-Datenschutzrahmen weiterentwickelt.

Warum werden Google Fonts eingesetzt?

Google Fonts ist ein umfangreiches Verzeichnis frei verfügbarer Webschriftarten. Der Großteil der Schriften steht unter offenen Lizenzen wie der SIL Open Font License oder der Apache License.

Webdesigner können somit Schriftarten verwenden, die auf den Geräten der Besucher nicht installiert sein müssen. Dadurch lässt sich eine Website auf unterschiedlichen Betriebssystemen und Browsern typografisch weitgehend einheitlich darstellen.

Vor der Verbreitung von Webfonts waren Websites häufig auf wenige sogenannte Systemschriften angewiesen. Fehlte eine verwendete Schriftart auf einem Gerät, musste der Browser auf eine Ersatzschrift zurückgreifen. Dadurch konnte sich das Erscheinungsbild deutlich verändern.

Google Fonts vereinfachte sowohl die Auswahl als auch die technische Einbindung geeigneter Webschriften. Die Schriftarten müssen dafür jedoch nicht dauerhaft von Google-Servern geladen werden. Soweit es die jeweilige Lizenz erlaubt, können die benötigten Dateien heruntergeladen und auf dem eigenen Webserver gespeichert werden.

Unsere Empfehlung: Google Fonts lokal einbinden

Für die lokale Einbindung werden die tatsächlich verwendeten Schriftdateien auf dem eigenen Webserver gespeichert. Das Stylesheet der Website verweist anschließend auf diese lokalen Dateien statt auf fonts.googleapis.com oder fonts.gstatic.com.

Das hat mehrere Vorteile:

• Beim Laden der Schriftarten entsteht keine Verbindung zu Google.
• Die IP-Adresse des Besuchers wird für den Schriftabruf nicht an Google übermittelt.
• Für die Schriftarten ist kein Einwilligungsbanner erforderlich, das zunächst eine Google-Verbindung blockieren müsste.
• Die Website wird unabhängiger von der Erreichbarkeit und rechtlichen Entwicklung externer Dienste.
• Richtig umgesetzt kann die lokale Einbindung auch die Ladezeit und Stabilität verbessern.

Eine dynamische Einbindung kann je nach konkreter Ausgestaltung möglicherweise auf eine vorherige wirksame Einwilligung gestützt werden. In diesem Fall darf die Verbindung zu Google erst hergestellt werden, nachdem der Besucher aktiv zugestimmt hat. Lehnt er ab, muss die Website auf eine lokal verfügbare Ersatzschrift zurückgreifen.

Fazit: In der Praxis ist die lokale Einbindung meist einfacher, zuverlässiger und benutzerfreundlicher.

So prüfen Sie, ob Ihre Website Google Fonts extern lädt

Prüfen Sie nicht nur die Startseite, sondern auch wichtige Unterseiten. Unterschiedliche Themes, Plugins oder Seitenelemente können Schriftarten auf einzelnen Seiten nachladen.

Prüfung mit den Browser-Entwicklertools

1. Öffnen Sie die zu prüfende Website.
2. Drücken Sie die „F12“ Taste oder wählen Sie nach einem Rechtsklick Untersuchen.
3. Öffnen Sie den Bereich „Netzwerk“ beziehungsweise „Netzwerkanalyse“.
4. Laden Sie die Seite neu.
5. Suchen Sie nach fonts.googleapis.com und fonts.gstatic.com.

Wenn dort Anfragen angezeigt werden, lädt die Website Google Fonts dynamisch von Google-Servern.

Alternativ können Sie im Seitenquelltext mit Strg + U nach den beiden Domains suchen. Die Netzwerkanalyse ist allerdings zuverlässiger, da Schriften auch nachträglich durch JavaScript, Plug-ins oder eingebettete Elemente geladen werden können.

Kontrollieren Sie die Website nach jeder Umstellung erneut. Auch Updates eines Themes oder Plug-ins können später wieder eine externe Einbindung hinzufügen.

Anleitung: Google Fonts lokal einbinden

Im Folgenden zeigen wir Ihnen, wie Sie Google Fonts in den Homepage Baukasten, in WordPress und allgemein lokal einbinden.

1. Google Fonts lokal im Homepage Baukasten einbinden

Wenn Sie Ihre Website mit dem Homepage Baukasten erstellt haben, müssen Sie lediglich eine Option in den Einstellungen aktivieren.

• Öffnen Sie dazu im Baukasten die „Einstellungen“.
• Unter „Generell“ aktivieren Sie die Option „Force local copy of fonts on published website“.
• Übernehmen Sie die Änderung und veröffentlichen Sie die Website.

In unserem Artikel zu Schriftarten im Baukasten finden Sie zusätzliche Informationen und hilfreiche Einstellungen.

2. Google Fonts im WordPress Theme prüfen

Wie Google Fonts in WordPress eingebunden werden, hängt vom verwendeten Theme, Page Builder und den aktiven Plugins ab.

Lokale Einbindung über das Theme oder den Page Builder

Viele aktuelle Themes bieten eine eigene Einstellung, um Google Fonts lokal zu laden oder eigene Schriftdateien hochzuladen. Entsprechende Funktionen finden sich beispielsweise in Themes oder Page Buildern wie Avada, Divi, Enfold oder Elementor, abhängig von Version und Lizenz.

Prüfen Sie die Dokumentation und Einstellungen Ihrer konkreten Installation. Achten Sie darauf, dass kein anderes Plugin Google Fonts weiterhin extern lädt.

Lokale Einbindung mit einem Plugin

Wenn das Theme keine geeignete Funktion bietet, kann ein Plugin wie „OMGF | Host Google Fonts Locally“ verwendet werden. Das Plugin erkennt eingebundene Google Fonts, speichert die benötigten Dateien auf dem eigenen Webserver und ersetzt die externen Aufrufe.

Vorgehensweise:

1. Erstellen Sie vor Änderungen ein aktuelles Backup.
2. Installieren und aktivieren Sie OMGF.
3. Lassen Sie die verwendeten Schriftarten erkennen und lokal speichern.
4. Leeren Sie vorhandene Seiten-, Plugin- und CDN-Caches.
5. Prüfen Sie erneut, ob es Verbindungen zu fonts.googleapis.com und fonts.gstatic.com gibt.

3. Einbindung auf selbst programmierten Websites

Wenn Sie Ihre Website ohne CMS oder ein vergleichbares Programm geschrieben haben, sind folgende Schritte erforderlich.

1. Laden Sie die benötigten Schriften auf Ihren Webserver:

Unter https://gwfh.mranftl.com/fonts können Sie die benötigten Google Fonts und Varianten suchen und auswählen.

Die Seite generiert automatisch den benötigten CSS Code, den Sie im Stylesheet Ihrer Website einbinden können und stellt ein ZIP-Archiv zum Download bereit.

Unter „Customize folder prefix“ müssen Sie den Pfad zu den Schrift-Dateien auf Ihrem Server angeben.

Laden Sie die .zip-Datei herunter und entpacken Sie diese lokal. Verbinden Sie sich mit FTP und laden Sie die Schrift-Dateien in das gewünschte Verzeichnis am Server. In unseren FTP Anleitungen finden Sie Hilfe für die Verbindung.

Kostenfreie Schriftarten gibt es auch auf der Website https://www.fontsquirrel.com/.

2. Fügen Sie die Schrift zu Ihrem Stylesheet (CSS) hinzu:

Öffnen Sie Ihre .css-Datei und fügen Sie den CSS-Code, den Sie vorhin kopiert haben, ein. Anweisungen für Schriften sollten am Beginn der .css-Datei eingefügt werden. Achten Sie bei „url“ auch auf den richtigen Pfad, damit die Schrift geladen werden kann.

Ein Beispiel für die Einbindung einer Schrift im Verzeichnis „fonts“ in einem Stylesheet:

@font-face {
  font-family: 'MeineFont';
  font-style: normal;
  font-weight: 300;
  src: local(''),
       url('../fonts/MeineFont.woff2') format('woff2'), /* Chrome 26+, Opera 23+, Firefox 39+ */
       url('../fonts/MeineFont.woff') format('woff'); /* Chrome 6+, Firefox 3.6+, IE 9+, Safari 5.1+ */
}

3. Passen Sie Ihr Stylesheet weiter an:

Haben Sie exakt die Schriften gewählt, die vorher über Google Fonts geladen wurden, sind keine weiteren Anpassungen erforderlich.

Möchten Sie für bestimmte Texte eine neue oder andere Schriftart verwenden, können Sie diese mit der Anweisung „font-family“ konfigurieren.

Beispiel, damit die Überschriften h1, h2 und h3 die eigene Schriftart verwenden:

h1, h2, h3 {
  font-family: "MeineFont", Helvetica, Arial, sans-serif;}

Bei „Helvetica“ und „Arial“ handelt es sich um Schriften, die nicht extra heruntergeladen werden müssen. Wenn die erste Schriftart nicht verfügbar ist, greift der Browser auf die nächste Schriftart in der Liste zurück.

Weitere externe Dienste überprüfen

Unabhängig von Google Fonts sollten Websitebetreiber prüfen, welche weiteren Inhalte von externen Servern geladen werden. Dazu können beispielsweise gehören:

• Google Maps
• Google Analytics oder andere Analysedienste
• YouTube-Videos
• Social-Media-Plugins
• Captcha-Dienste
• Content Delivery Networks
• eingebettete Widgets oder Buchungssysteme

Ob für einen Dienst eine Einwilligung, ein Vertrag zur Auftragsverarbeitung, zusätzliche Datenschutzmaßnahmen oder eine Anpassung der Datenschutzerklärung erforderlich ist, muss jeweils gesondert beurteilt werden.

Was tun bei einem Abmahnschreiben?

Wer ein Abmahnschreiben oder Auskunftsersuchen wegen Google Fonts erhält, sollte es weder ungeprüft erfüllen noch ignorieren.

Empfohlene Schritte:

• Prüfen Sie, ob Google Fonts aktuell extern eingebunden sind, und stellen Sie die Einbindung bei Bedarf auf eine lokale Bereitstellung um.
• Sichern Sie das Schreiben, die Websitekonfiguration und vorhandene Logdateien. Verändern oder löschen Sie keine möglicherweise relevanten Unterlagen.
• Prüfen Sie, ob der im Schreiben genannte Zugriff in den vorhandenen Protokollen nachvollziehbar ist.
• Lassen Sie das konkrete Schreiben rechtlich beurteilen, beispielsweise durch das Rechtsservice Ihrer Wirtschaftskammer oder eine auf Datenschutz spezialisierte Rechtsberatung.
• Beantworten Sie Auskunftsersuchen fristgerecht und bezogen auf die tatsächlich verarbeiteten personenbezogenen Daten.

Bei Domaintechnik werden in den regulären Webserver-Logdateien keine vollständigen IP-Adressen gespeichert. Das letzte Oktett wird vor der Speicherung entfernt ( 192.168.17.18 -> 192.168.17.0). Die Logdateien können im Dateisystem des Webspaces unter „logs” oder über den „Log Viewer” im Modul „Entwicklung” des Control-Panels eingesehen werden.

Ob darüber hinaus personenbezogene Daten auf der Website, in einer Anwendung, einem Plugin oder einem anderen System verarbeitet wurden und wie ein Auskunftsersuchen zu beantworten ist, muss im Einzelfall geprüft werden. Aus den gekürzten Webserver-Logdateien allein lässt sich daher nicht ableiten, dass eine Negativauskunft zu erteilen ist.