Google Fonts, YouTube und Google Maps DSGVO-konform einbinden

Warum externe Inhalte ein Datenschutzthema sind

Schriften, Videos und Karten werden oft nicht vom eigenen Server geladen, sondern direkt von Google oder YouTube. Dafür muss der Browser des Besuchers eine Verbindung zu diesen Servern aufbauen und überträgt dabei mindestens seine IP-Adresse, die aufgerufene Adresse und technische Angaben wie den Browser.

Daraus ergeben sich zwei rechtliche Fragen:

• DSGVO: Die Übermittlung personenbezogener Daten wie der IP-Adresse an den Drittanbieter braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Die DSK nennt ausdrücklich Schriftarten, Stadtpläne und Videos als typische Drittinhalte.
• § 25 TDDDG: Speichert der eingebettete Inhalt Cookies oder Einträge im Local Storage, oder liest er solche aus, brauchen Sie dafür zusätzlich eine Einwilligung, sofern das nicht unbedingt erforderlich ist.

Das Google-Fonts-Urteil des LG München I

Am 20. Januar 2022 entschied das Landgericht München I (Az. 3 O 17493/20) über eine Website, die Google Fonts dynamisch von Google-Servern lud. Das Gericht sah in der Weitergabe der IP-Adresse ohne Einwilligung eine Verletzung des allgemeinen Persönlichkeitsrechts. Ein berechtigtes Interesse lehnte es ab, weil sich die Schriften auch ohne Verbindung zu Google-Servern nutzen lassen. Der Betreiber wurde zur Unterlassung verurteilt und musste dem Kläger 100 Euro Schadensersatz nach Art. 82 DSGVO zahlen.

Die Abmahnwelle und was daraus wurde

Nach dem Urteil verschickten einzelne Akteure massenhaft Schreiben an Websitebetreiber und forderten Zahlungen. Die Staatsanwaltschaft Berlin ließ im Dezember 2022 Räume eines Rechtsanwalts und seines Mandanten durchsuchen. Laut Polizeimeldung ging es um den Verdacht des (teils versuchten) Abmahnbetrugs und der versuchten Erpressung in mindestens 2.418 Fällen; gefordert wurden jeweils 170 Euro. Die Websites sollen per Software gezielt aufgerufen worden sein.

Mit Urteil vom 30. März 2023 (Az. 4 O 13063/22) stellte das LG München I fest, dass einem solchen Abmahner weder ein Unterlassungsanspruch noch Schmerzensgeld zusteht, wenn die Websites automatisiert aufgerufen wurden.

Das heißt nicht, dass das Thema erledigt ist. Die Übertragung der IP-Adresse an Google ohne Rechtsgrundlage bleibt ein Datenschutzproblem, das Aufsichtsbehörden aufgreifen können. Die einfache Lösung: Schriften lokal hosten.

Google Fonts lokal hosten

Google beschreibt in seiner FAQ ausdrücklich, dass Sie Web-Fonts herunterladen und auf Ihrem eigenen Server bereitstellen können. Dann erhält Google beim Besuch Ihrer Website keine Daten. Die Schriften sind Open Source, meist unter der SIL Open Font License; prüfen Sie die Lizenz der jeweiligen Schrift.

So gehen Sie vor:

1. Schriftdateien herunterladen, am besten im Format WOFF2.
2. Auf Ihren Server hochladen und per @font-face in Ihrem CSS einbinden.
3. Alle Verweise auf fonts.googleapis.com und fonts.gstatic.com entfernen. Achten Sie auf Themes und Plugins, die Google Fonts selbst nachladen.
4. Prüfen Sie im Browser unter „Netzwerk“, dass keine Anfragen an Google-Domains mehr erfolgen.

Lokal gehostete Schriften brauchen keine Einwilligung und meist auch keinen Hinweis im Cookie-Banner.

YouTube-Videos einbinden

Ein normal eingebettetes YouTube-Video lädt den Player schon beim Seitenaufruf von YouTube, bevor der Besucher etwas anklickt.

Der erweiterte Datenschutzmodus (Einbettung über youtube-nocookie.com) sorgt laut Google dafür, dass die Wiedergabe nicht zur Personalisierung genutzt wird. Ein Freibrief ist er nicht. Die BfDI hat in einem Rundschreiben vom Dezember 2023 festgestellt, dass auch in diesem Modus Player und Inhalte von der Plattform geladen und Informationen in IndexedDB, Local Storage und Session Storage gespeichert werden. Ob das technisch notwendig ist, lasse sich nicht nachvollziehen. Der Modus sei deshalb keine verlässliche Alternative.

Was die Aufsichtsbehörden empfehlen:

• Zwei-Klick-Lösung: Statt des Players zeigen Sie ein Vorschaubild mit einem Hinweis, dass beim Abspielen Daten an YouTube übertragen werden. Erst nach dem Klick wird das Video geladen. Diese Lösung beschreiben die BfDI und der Landesbeauftragte Baden-Württemberg.
• Einwilligung im Cookie-Banner: Hat der Besucher der Kategorie „Externe Medien“ zugestimmt, darf das Video direkt laden.
• Selbst hosten: Den größten Datenschutz bietet ein Video auf dem eigenen Server. Die BfDI nennt das den Goldstandard.

Google Maps einbinden

Für eingebettete Google-Karten gilt dasselbe Prinzip. Die Karte wird von Google-Servern geladen, dabei werden Daten übertragen. Die DSK zählt Kartendienste zu den Zusatzfunktionen, die Nutzer nicht schon mit dem Aufruf einer Seite ausdrücklich wünschen.

Gängige Lösungen:

• Ein statisches Bild der Karte mit einem Link „Route in Google Maps öffnen“. Es werden erst Daten übertragen, wenn der Besucher klickt.
• Eine Zwei-Klick-Lösung wie bei YouTube.
• Einwilligung über das Cookie-Banner in einer Kategorie wie „Externe Medien“.

Checkliste

1. Prüfen Sie mit einem Scanner oder den Entwicklertools des Browsers, welche externen Domains Ihre Website beim ersten Aufruf kontaktiert.
2. Hosten Sie Schriften und, wenn möglich, Skripte lokal.
3. Laden Sie Videos und Karten erst nach Einwilligung oder Klick.
4. Nennen Sie alle verbleibenden Drittanbieter in Ihrer Datenschutzerklärung und Cookie-Erklärung.

Cookie Confirm hilft bei Schritt 1 und 4: Der Scanner zeigt jeden Monat, welche Dienste auf Ihrer Website Cookies setzen, das Banner blockiert einwilligungsbedürftige Skripte bis zur Zustimmung, und die Cookie-Erklärung wird aus dem Scan erstellt. Mehr zur Einwilligung lesen Sie unter Cookie-Banner-Pflicht in Deutschland.

Quellen

• LG München I, Urteil vom 20.01.2022, 3 O 17493/20 (gesetze-bayern.de)
• LG München I, Urteil vom 30.03.2023, 4 O 13063/22 (gesetze-bayern.de)
• Polizei Berlin: Polizeimeldung vom 21.12.2022 zu den Google-Fonts-Abmahnungen
• DSK: Orientierungshilfe Digitale Dienste, Version 1.2 (November 2024)
• BfDI: Rundschreiben Telemedien 02/2023 zur Einbindung von Videoinhalten (PDF)
• BfDI: Automatisierte Webseitenprüfung zu YouTube-Einbettungen (2025)
• LfDI Baden-Württemberg: Einbindung von Videos in eigene Webseiten
• Google Fonts: FAQ zu Datenschutz und Selbst-Hosting
• YouTube-Hilfe: Videos mit dem erweiterten Datenschutzmodus einbetten