Google Fonts und die DSGVO: Was Website-Betreiber wissen sollten

Google Fonts sind bequem: eine Zeile im Quelltext, und die Schrift sitzt. Genau diese Zeile ist aber der Grund, warum Tausende deutsche Websites seit 2022 Abmahnschreiben bekommen haben. Der technische Kern des Problems ist klein — und in einer Viertelstunde behoben.

Was technisch passiert

Bindet eine Website eine Schrift so ein:

<link href="https://fonts.googleapis.com/css2?family=Roboto" rel="stylesheet">

dann lädt der Browser des Besuchers die Datei direkt bei Google — nicht dein Server. Damit erfährt Google bei jedem Seitenaufruf:

• die IP-Adresse des Besuchers,
• welche Seite gerade aufgerufen wurde (über den Referrer),
• Browser- und Systemangaben aus dem User-Agent.

Die IP-Adresse gilt nach der Rechtsprechung des Europäischen Gerichtshofs als personenbezogenes Datum. Ihre Übermittlung an einen Anbieter in den USA braucht deshalb eine Rechtsgrundlage — in der Praxis die Einwilligung der Besucherin oder des Besuchers, und die liegt beim Seitenaufruf noch nicht vor.

Das Urteil, das die Diskussion ausgelöst hat

Das Landgericht München I sprach im Januar 2022 einem Websitebesucher 100 Euro Schadensersatz zu, weil dessen IP-Adresse durch eingebundene Google Fonts ohne Einwilligung an Google übermittelt worden war (Urteil vom 20.01.2022, Az. 3 O 17493/20). Ein einzelnes Landgerichtsurteil ist keine höchstrichterliche Klärung, und andere Gerichte haben die Frage teils anders bewertet. Praktisch relevant wurde es trotzdem: In der Folge verschickten mehrere Absender massenhaft Zahlungsaufforderungen an Website-Betreiber. Gerichte haben solche Massenschreiben in mehreren Fällen als rechtsmissbräuchlich eingeordnet.

Die Lösung: Schriften lokal ausliefern

Man muss nicht auf die Schrift verzichten. Die meisten Google-Fonts stehen unter der SIL Open Font License und dürfen selbst gehostet werden. Der Ablauf:

1. Schriftdateien herunterladen. Benötigt werden die .woff2-Dateien in den Schnitten, die die Website wirklich verwendet — meist Normal und Fett. Jeder zusätzliche Schnitt kostet Ladezeit.
2. Auf den eigenen Server legen, zum Beispiel nach /fonts/.
3. Im Stylesheet einbinden statt per <link> zu Google:

@font-face {
  font-family: 'Roboto';
  src: url('/fonts/roboto-regular.woff2') format('woff2');
  font-weight: 400;
  font-style: normal;
  font-display: swap;
}

4. Alle Verweise auf fonts.googleapis.com und fonts.gstatic.com entfernen — auch in Theme-Einstellungen, Page-Buildern und Plugins.
5. Nachprüfen. Der wichtigste Schritt, siehe unten.

font-display: swap sorgt nebenbei dafür, dass Text sofort sichtbar ist, statt bis zum Laden der Schrift unsichtbar zu bleiben. Das verbessert auch die Ladezeit-Bewertung.

WordPress

Viele Themes laden Schriften unabhängig vom Quelltext der Seite nach. Prüfen solltest du deshalb: Theme-Einstellungen (oft gibt es eine Option „Google Fonts lokal laden"), aktive Page-Builder wie Elementor oder Divi, sowie Plugins für Formulare und Slider. Es gibt Plugins, die die Umstellung automatisch übernehmen — verlass dich aber nicht darauf, sondern miss das Ergebnis.

Warum Nachmessen entscheidend ist

Der häufigste Fehler: Im Quelltext der Startseite steht nichts mehr von Google — und trotzdem wird geladen. Ursachen sind Schriften, die aus einer CSS-Datei heraus nachgeladen werden, Unterseiten mit anderem Aufbau oder ein Plugin, das seine eigene Schrift mitbringt. Sichtbar wird das nur, wenn man die tatsächlich geladenen Ressourcen betrachtet, nicht nur den HTML-Quelltext.

Genau das prüft Apexly automatisch — und meldet zusätzlich weitere direkt eingebundene Dienste aus Drittländern, etwa Google Maps, YouTube, reCAPTCHA oder externe CDNs.

Wie häufig das Problem wirklich ist

Bei unseren eigenen Messungen über rund 4.000 Websites lag der Anteil mit extern geladenen Google Fonts bei etwa 10 Prozent — mit einem klaren Muster: Je kleiner die Website, desto häufiger. Bei sehr großen, bekannten Seiten waren es rund 6 Prozent, bei kleinen Unternehmensseiten 12 bis 13 Prozent.

Häufige Fragen

Sind Google Fonts generell verboten?

Nein. Verboten ist nichts — problematisch ist die Übertragung der IP-Adresse an Google ohne Einwilligung. Wer die Schriftdateien auf den eigenen Server legt, nutzt Google Fonts weiter, ohne dass Besucherdaten das Haus verlassen.

Reicht ein Cookie-Banner als Lösung?

Nur, wenn die Schrift tatsächlich erst nach der Einwilligung geladen wird. Ein Banner, das eingeblendet wird, während die Schrift im Hintergrund bereits geladen wurde, ändert an der Übertragung nichts. Das lokale Einbinden ist der einfachere und sicherere Weg.

Wie erkenne ich, ob meine Website Google Fonts extern lädt?

Im Quelltext der Seite nach fonts.googleapis.com oder fonts.gstatic.com suchen. Achtung: Viele Themes und Plugins binden Schriften nach, die im Quelltext der Startseite nicht sichtbar sind. Ein automatischer Scan prüft die tatsächlich geladenen Ressourcen.

Betrifft das nur Google Fonts?

Nein. Dieselbe Frage stellt sich bei jedem direkt eingebundenen Dienst aus einem Drittland — etwa Google Maps, YouTube-Videos, reCAPTCHA, Font Awesome oder Skripte von CDN-Anbietern.

Stand: 1. August 2026. Dieser Text erklärt technische Zusammenhänge und ist keine Rechtsberatung.