LG München: Google Fonts – Vorsicht bei Übermittlung personenbezogener Daten an Google

Das LG München stellte in seinem Urteil zunächst klar, dass es sich bei dynamischen IP-Adressen für Betreiber:innen einer Website um personenbezogene Daten handle. Personenbezogene Daten sind nach der Legaldefinition des Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Betreiber:innen einer Website verfügen abstrakt über rechtliche Mittel, die vernünftigerweise eingesetzt werden könnten, um mithilfe Dritter, und zwar der zuständigen Behörde und des Internetzugangsanbieters, die betroffene Person anhand der gespeicherten IP-Adressen bestimmen zu lassen (so bereits BGH, Urteil vom 16.05.2017 - VI ZR 135/13).

Für die Verarbeitung personenbezogener Daten gilt das in Art. 6 DS-GVO niedergelegte Verbot mit Erlaubnisvorbehalt. Die Verarbeitung personenbezogener Daten ist danach grundsätzlich unzulässig, es sei denn, dass die Vorschriften DS-GVO oder andere Rechtsvorschriften dies erlauben oder anordnen oder Betroffene in die Verarbeitung eingewilligt haben.

Das LG München urteilte vorliegend, die Übermittlung personenbezogener Daten könne nicht auf ein berechtigtes Interesse des Betreibers i.S.d. Art. 6 Abs. 1 S. 1 lit. f DSGVO gestützt werden. Ein solches läge gerade nicht vor, da Schriften auch lokal auf dem eigenen Server eingebunden werden könnten und eine Übermittlung der IP-Adressen an Google mithin nicht erforderlich sei. In diesem Zuge stellte das LG München ferner klar, dass Nutzer:innen keine Pflicht zur Verschleierung ihrer IP-Adresse treffe.

Das Gericht stellte schließlich fest, dass der Kläger in seinem Recht auf informationelle Selbstbestimmung verletzt sei und verurteilte die Beklagte zur Unterlassung der Offenlegung der IP-Adresse an Google. Zudem sprach es dem Kläger einen Schadenersatzanspruch in Höhe von 100,00 € zu.

Betreiber:innen einer Website, die Google Fonts nutzen, sollten unbedingt prüfen, ob bei Aufruf der Website eine Verbindung zu Servern von Google aufgebaut wird. Sofern dies der Fall ist, sollte diese Praxis eingestellt werden.

Die gute Nachricht ist: Die Bereitstellung der Schriftarten lässt sich technisch auch ohne Datenübermittlung an Google sicherstellen. Es ist alternativ möglich, Schriften lokal auf dem eigenen Server einzubinden. Dafür müssen die verwendeten Google Fonts heruntergeladen und selbst gehostet werden.

Das Urteil des LG München und die darauffolgenden Reaktionen zeigen einmal mehr, dass die Datenverarbeitung auf Websites wohlüberlegt sein und rechtlich geprüft werden sollte.

Insbesondere der Einsatz von Drittanbietertools (z.B. Google Fonts, Google Analytics) bedarf in den meisten Fällen einer Einwilligung der Betroffenen (Stichwort: § 25 TTDSG).

Websitebetreiber:innen sollten genau prüfen, welche (personenbezogenen) Daten aktuell verarbeitet werden sowie die datenschutzrechtliche Zulässigkeit dieser Verarbeitungen und ggf. das Einwilligungsmanagement (insbesondere Consent-Banner bzw. „Cookie-Banner“) prüfen (lassen).