Blog · 2026-08-06
Google-Fonts-Abmahnung vermeiden — die 15-Minuten-Lösung
By the howsafeismyapp team
Wenn Ihre App oder Website eine Zeile wie diese im <head> hat, geht bei jedem Seitenaufruf eine Anfrage an Google-Server — inklusive der IP-Adresse Ihrer Besucher:
<link href="https://fonts.googleapis.com/css2?family=Inter" rel="stylesheet">
Das Landgericht München I hat 2022 entschieden (Urteil vom 20.01.2022, Az. 3 O 17493/20), dass genau das ohne Einwilligung das allgemeine Persönlichkeitsrecht der Besucher verletzt, und einem Betroffenen Schadensersatz zugesprochen. Danach rollte eine Abmahn- und Forderungswelle über kleine Website-Betreiber — gezielt über solche, die den Standard-Einbindungscode kopiert hatten.
Bei Apps aus AI-Buildern wie Lovable, Bolt oder v0 ist die Google-Einbindung bis heute einer der häufigsten Funde, weil sie in Templates und generierten Layouts steckt. Die gute Nachricht: Kaum ein Compliance-Problem ist so schnell behoben. (Praktische Orientierung, keine Rechtsberatung.)
Warum das überhaupt ein DSGVO-Thema ist
Eine IP-Adresse ist ein personenbezogenes Datum. Sie an einen Dritten zu übermitteln braucht eine Rechtsgrundlage (Art. 6 DSGVO); bei US-Anbietern kommen die Drittlandsfragen der Art. 44 ff. DSGVO dazu. "Das CSS lädt bei Google schneller" ist keine Rechtsgrundlage — zumal selbst gehostete Fonts in der Praxis gleichwertig oder schneller sind: kein zusätzlicher DNS-Lookup, kein TLS-Handshake zu einer fremden Domain, aggressives Caching auf der eigenen.
Was unser Scanner dazu prüft, steht auf der Check-Seite: Google Fonts loaded directly from Google.
Bin ich betroffen? In zwei Minuten prüfen
1. App im privaten Fenster öffnen, DevTools → Netzwerk. 2. Neu laden und nach fonts.googleapis.com oder fonts.gstatic.com filtern. 3. Alternativ im Code nach googleapis suchen — die Einbindung sitzt meist in index.html oder einer globalen CSS-Datei.
Taucht dort eine Anfrage auf, überträgt Ihre Seite Besucher-IPs an Google — vor jeder Einwilligung.
Die Lösung: Fonts selbst hosten
1. Font-Dateien herunterladen. Das Open-Source-Tool *google-webfonts-helper* verpackt jede Google-Schrift als .woff2 samt fertigem CSS. .woff2 allein genügt für alle aktuellen Browser. 2. Dateien ins eigene Projekt legen, z. B. public/fonts/inter-v13-latin-regular.woff2. 3. Google-<link> durch lokale @font-face-Regeln ersetzen:
` @font-face { font-family: "Inter"; font-style: normal; font-weight: 400; font-display: swap; src: url("/fonts/inter-v13-latin-regular.woff2") format("woff2"); } `
4. Die fonts.googleapis.com-Zeile löschen — das ist der eigentliche Fix. Abmahner (und unser Scanner) prüfen die tatsächliche Anfrage, nicht Ihre Absichten. 5. Mit offenem Netzwerk-Tab neu laden: Es darf keine Font-Anfrage mehr die eigene Domain verlassen.
Gesamtaufwand bei einer typischen App mit zwei Schriften: rund 15 Minuten.
Häufige Fragen
Reicht ein Hinweis in der Datenschutzerklärung?
Nein. Die Übermittlung passiert vor jeder Interaktion — ein Text weiter unten ändert daran nichts. Nur das Entfernen der Anfrage (oder eine vorherige, echte Einwilligung — unpraktikabel für Schriften) löst das Problem.
Gilt das auch für andere CDNs — Bootstrap, jQuery, Icons?
Dieselbe Logik: Jede Ressource, die beim ersten Laden von einer Dritt-Domain kommt, überträgt Besucher-IPs dorthin. Selbst hosten, was geht; der Rest gehört begründet und in die Datenschutzerklärung.
Ich habe schon eine Abmahnung bekommen — was jetzt?
Nicht ungeprüft zahlen: Viele Massenschreiben der damaligen Welle waren rechtsmissbräuchlich und wurden von Gerichten auch so bewertet. Frist notieren, den Fund technisch sofort beheben (siehe oben) und für die Antwort anwaltlichen Rat einholen — das ist keine Rechtsberatung, aber die übliche Reihenfolge.
Und der Rest der Seite?
Wo Fonts von Dritten geladen werden, laden meist auch andere Dinge zu früh — Tracker vor der Einwilligung sind das deutlich größere Problem derselben Kategorie: Tracking loads before anyone could consent. Unser kostenloser passiver Check prüft beides und 13 weitere Punkte von außen — ohne Login, ohne Installation, ohne Speicherung. Eine Minute, und Sie wissen, wo Sie stehen.