Google Fonts und die DSGVO — die Alternative, die schneller ist.
Seit dem Münchner Urteil ist das CDN-Embedding von Google Fonts ein Abmahnrisiko. Die Lösung kostet eine Stunde, verbessert die Ladezeit — und wir haben sie gerade selbst umgesetzt. Die Anleitung.
Wer Google Fonts über Googles Server einbindet (fonts.googleapis.com), übermittelt bei jedem Seitenaufruf die IP-Adresse des Besuchers an Google — ohne dessen Einwilligung. Das Landgericht München I hat genau das am 20. Januar 2022 als DSGVO-Verstoß eingestuft (Az. 3 O 17493/20) und Schadensersatz zugesprochen. Die Lösung heißt Self-Hosting: Schriften vom eigenen Server ausliefern. Sie kostet etwa eine Stunde, beseitigt das rechtliche Risiko vollständig — und macht die Website nebenbei schneller.
Wir haben diese Umstellung gerade auf unserer eigenen Website durchgeführt. Dieser Beitrag ist das Urteil in Klartext, die Anleitung — und die Messpunkte, auf die es danach ankommt.
Das Urteil, in drei Sätzen
Das LG München I entschied: Die dynamische Einbindung von Google Fonts übermittelt die IP-Adresse des Besuchers an Google, eine IP-Adresse ist ein personenbezogenes Datum (so der EuGH bereits 2016 in der Sache Breyer, C-582/14), und für diese Übermittlung gibt es weder eine Einwilligung noch ein berechtigtes Interesse — denn die Schriften lassen sich genauso gut lokal hosten. Ergebnis: Unterlassungsanspruch plus 100 € Schadensersatz für den Kläger.
Die praktische Folge kam 2022 als Abmahnwelle: massenhafte Schreiben an Website-Betreiber, deren Seiten Google Fonts extern luden — automatisiert auffindbar, denn die Einbindung steht im öffentlichen Quelltext jeder Seite. Ob einzelne Abmahnungen rechtsmissbräuchlich waren, ändert am Kern nichts: Die Rechtslage ist seit 2022 bekannt, und das externe Embedding ist seither eine vermeidbare Angriffsfläche.
Es geht nicht darum, was Google mit den Daten tut. Es geht darum, dass die Übermittlung ohne Einwilligung stattfindet — und dass sie technisch schlicht unnötig ist.
Der Selbsttest: Sind Sie betroffen? (30 Sekunden)
Öffnen Sie Ihre Website, dann den Seitenquelltext (Strg+U), und suchen Sie nach fonts.googleapis.com oder fonts.gstatic.com. Ein Treffer bedeutet: Ihre Besucher-IPs gehen bei jedem Aufruf an Google-Server. Das betrifft auch Einbindungen, die ein Theme oder Pagebuilder ungefragt mitbringt — der häufigste Fall bei Legacy-Stacks, und einer der Punkte, die unser kostenloser Audit standardmäßig mitprüft.
Die drei Optionen — und warum nur eine gut ist
- Consent-Banner davor schalten. Rechtlich möglich, praktisch absurd: Die Seite lädt ihre Schrift erst nach einem Klick, der Text springt sichtbar um, und Sie haben ein Banner mehr, das Conversions kostet. Eine Krücke.
- Systemschriften verwenden. Schnellste Option, null Risiko — aber Sie geben die Typografie als Markenelement auf. Für manche Projekte richtig, für die meisten Marken nicht.
- Self-Hosting. Dieselben Schriften, ausgeliefert vom eigenen Server bzw. CDN-Edge wie jede andere Datei der Website. Kein Drittland-Transfer, kein Banner, keine Designänderung. Das ist die Lösung.
Die Anleitung: Self-Hosting in vier Schritten
Schritt 1 — Schriften beschaffen
Zwei saubere Wege: Für npm-basierte Projekte die Fontsource-Pakete (versioniert, lizenzkonform, variable Schnitte verfügbar). Für alles andere der google-webfonts-helper, der WOFF2-Dateien und fertiges @font-face-CSS zum Download erzeugt. Laden Sie nur die Schnitte, die Sie nutzen — jede ungenutzte Variante ist Ballast.
Schritt 2 — Einbinden und die alten Verweise entfernen
Bei uns konkret (Astro, drei Schriftfamilien) sind die CDN-<link>-Tags im Layout drei Importzeilen gewichen:
import '@fontsource-variable/geist';
import '@fontsource-variable/geist-mono';
import '@fontsource-variable/fraunces/full.css';Danach: die <link rel="stylesheet" href="https://fonts.googleapis.com/…">- und preconnect-Zeilen ersatzlos löschen. Achtung, der Stolperstein: Variable Fontsource-Schnitte ändern den Familiennamen — aus "Geist" wird "Geist Variable". Die font-family-Deklarationen im CSS müssen mitziehen, sonst rendert die Fallback-Schrift und niemand merkt es sofort.
Schritt 3 — Auf Performance prüfen
Self-Hosting ist auch ein Geschwindigkeitsgewinn: Es entfallen zwei externe Verbindungen (DNS-Lookup, TLS-Handshake zu fonts.googleapis.com und fonts.gstatic.com), die Schriften kommen vom selben Edge wie das HTML und werden mit langlebigen Cache-Headern ausgeliefert. Zwei Regeln bleiben: font-display: swap (Text erscheint sofort mit Fallback statt unsichtbar zu warten — Fontsource setzt das standardmäßig) und sparsame Schnitt-Auswahl. Das Ergebnis kontrollieren Sie in zwei Minuten mit unserem Performance-Audit — relevant sind LCP und CLS, die Grenzwerte haben wir hier tabelliert.
Schritt 4 — Verifizieren
Nach dem Deploy: Quelltext erneut auf fonts.googleapis prüfen (muss leer sein), einmal mit leerem Cache laden und im Netzwerk-Tab kontrollieren, dass alle Schrift-Requests von der eigenen Domain kommen. Anschließend die Datenschutzerklärung anpassen: Der Passus zur Google-Fonts-Übermittlung entfällt — ein Absatz weniger, der Vertrauen kostet.
Was das mit SEO und GEO zu tun hat
Mehr, als es scheint. Erstens direkt: Schriftladung beeinflusst LCP und CLS, und die sind Ranking-Signal. Zweitens indirekt: Eine Website ohne einwilligungspflichtige Drittverbindungen braucht weniger Consent-Mechanik — weniger Banner-Reibung, bessere SXO. Und drittens grundsätzlich: DSGVO-Sauberkeit ab dem ersten Deploy ist bei uns Teil jedes Website-Neubaus und jeder Migration — als Standard, nicht als Option mit Aufpreis.
Wenn Sie wissen wollen, was Ihre Website außer den Schriften noch an Dritte sendet und wo sie Ladezeit liegen lässt: Der kostenlose Audit zeigt beides, innerhalb von 24 Stunden.
