Aktuelles

Google Fonts - ein Gerichtsurteil und seine Folgen

Die deutsche Justiz scheint sich mal wieder selbst übertroffen zu haben. Es gibt einige Richtersprüche, die in den letzten Jahren in die Kritik geraten sind und meist hatten die weitreichenden Auswirkungen auf die Internetnutzung in Deutschland und Europa. Insbesondere Seitens der Wirtschaft macht sich dann Erstaunen breit, wenn höchstrichterliche Entscheidungen die technische Wirklichkeit tangieren.

Einen der bemerkenswertesten Fälle kreierte das Landgericht München I, das am 20. Januar 2022 (Az. 3 O 17493/20) einen Unterlassungsanspruch bestätigte und es der seinerzeit beklagten Partei untersagte, Google Fonts auf der Grundlage "berechtigter Interessen" gemäß Art. 6 Abs. 1 der DSGVO zu verwenden. Im Text heißt es unter anderem, dass Website-Betreiber nur mit der Einwilligung der Nutzer die Schriftendateien von den Google-Servern herunterladen dürfen.

Grundlage für dieses Urteil wiederum ist SCHREMS II. Der Europäische Gerichtshof war im Jahre 2015 der Überzeugung, "dass in den USA kein Datenschutz auf EU-Niveau gewährleistet werden kann" und geißelte die Übermittlung von IP-Adressen.

In den letzten Wochen und Monaten werden nun vermehrt Abmahnungen versendet, die sich auf das Urteil des LG München berufen - vorrangig an klein- und mittelständische Unternehmen, die keine eigene Rechtsabteilung vorweisen können und von denen seitens der Abmahner wenig Widerstand erwartet wird.

Worum geht es?

Google Fonts ist eine Online-Bibliothek mit kostenlosen Open-Source-Schriftarten, die für Websites, Apps und andere Projekte verwendet werden können. Aufgrund der Art und Weise, wie der Google-Fonts-Dienst strukturiert ist, hat das LG München das jedoch als Verstoß gegen den Datenschutz eingestuft. Das bedeutet, dass Unternehmen, die Google Fonts auf ihren Websites verwenden, unter Umständen belangt werden können.

Google Fonts (aber auch andere Anbieter sogenannter dynamischer Web-Schriftarten, Stichwort Font Awesome, Adobe Fonts) bieten Web-Publishern die Möglichkeit, individuelle Schriftarten auf ihren Websites zu nutzen, die üblicherweise nicht auf den Geräten der Besucher vorinstalliert sind. Auf dem heimischen Rechner finden sich im Regelfall nur eine Handvoll Schriften, die vom Betriebssystem mitgeliefert werden oder Schriften, die zwar mit lokaler Software (z.B. Office) verwendet, aber nicht im Web-Browser angezeigt werden können.

Bei der Einbindung dynamischer Fonts in die eigene Website werden diese Schriften vom Anbieter zur Laufzeit in die Seite geladen und vom Web-Browser gerendert/angezeigt. Das bedeutet (und liegt in der Natur des Internets), dass bei jedem Aufruf der Schriftart die IP-Adresse der Website-Besucher gelesen und an den jeweiligen Dienste-Anbieter (Google) gesendet wird. Schon an dieser Stelle gibt es meines Erachtens den ersten Denkfehler des Gerichts, denn in den meisten Fällen wird eben keine persönliche IP-Adresse übertragen, sondern die IP-Adresse eines Internet-Providers. Die wenigsten Menschen gehen mit einer Festverbindung bzw. einer sog. Standleitung ins Internet. Ob hier also tatsächlich ein persönliches Datum übertragen wird, ist auch juristisch umstritten.

Das Landgericht München vertrat in dem o.g. Urteil jedenfalls die Meinung, dass die Nutzung externer Schriftarten auch möglich sei, ohne dass eine Verbindung zu einem externen Diensteanbieter hergestellt werden muss. Und stimmte dem Schadensersatzanspruch des Klägers wegen der Verletzung des allgemeinen Persönlichkeitsrechts durch die unaufgeforderte Übermittlung der IP-Adresse an Google zu.

Um genau das zu verhindern, müssen Unternehmen, aber auch Privatpersonen mit einem Website-Angebot einen anderen Weg finden, um auf die Schriftarten zuzugreifen, ohne sie von externen Anbietern auf die eigene Website herunterladen zu müssen. Die technischen Rahmenbedingungen dafür sind gar nicht so kompliziert, denn Web-Schriftarten können auch auf dem eigenen Server gehostet und in die Website eingebunden werden. Das setzt voraus, dass die zu verwendenden Schriftarten-Dateien zunächst in ein entsprechendes Webfonts-Format konvertiert werden. Der Aufruf erfolgt dann mit Import-Routinen in den hauseigenen HTML- und CSS-Dateien. Wenn Schriftarten für diesen Zweck direkt von Google heruntergeladen werden, ist das Webfonts-Format bereits vorbereitet - für andere Schriftartendateien gibt es Online-Plattformen wie Font-Squirrel, Convertio oder fontconverter.org, die die Konvertierung übernehmen und die Schriften zum Download anbieten - oftmals mit vorbereiteten HTML- und CSS-Dateien. Aber Vooorsicht: Auch Schriftarten unterliegen dem Urheberrecht! Verwenden Sie nur freie Schriften aus einer sicheren Quelle, ansonsten installieren Sie sich weitere juristische Fallstricke auf Ihrer Website!

Die nach dem Urteil des LG München aufkeimende Abmahnwelle sollte für Unternehmer und Kleinunternehmer jedenfalls ein Grund zur Sorge sein - auch wenn Sie noch kein solches Schreiben im Briefkasten hatten. Denn gerade bei etwas älteren Seiten oder üblichen WordPress-Installationen mit Standard-Templates gehören Google-Schriftarten gewissermaßen zum Inventar. Vergessen wir nicht, dass vor dem 20. Januar 2022 die Verwendung vom Webfonts Dritter völlig unbedenklich war - und im außereuropäischen Ausland auch noch ist. Dennoch: Es geht nun mal um geltendes Recht

Abmahnungen großteils fragwürdig

Die jüngste Welle von Abmahnschreiben, die sich alle auf das Urteil des LG München beziehen, haben viele Unternehmen aufgeschreckt. Insbesondere die Kanzlei RAAG (für einen Mandanten Wang Yu) und die Kanzlei Kilian Lenard (für einen Mandanten Martin Ismail von einer IG Datenschutz) haben in den letzten Wochen eine gewisse Berühmtheit erlangt, Abmahnschreiben von Privatpersonen sollen ebenfalls registriert worden sein, was inzwischen aber deutlich nachgelassen hat. Die vergleichsweise niedrige Abmahnsumme, die sich aus "Schadensersatz" und "Anwaltsgebühren" zusammensetzt, überschreitet in den meisten Fällen die 200-Euro-Marke nicht oder nur knapp - damit wird wohl spekuliert, dass viele Abgemahnte ohne Murren zahlen, damit sie die Sache vom Tisch haben.

Namhafte deutsche Anwaltskanzleien haben jedoch Zweifel an der Rechtmäßigkeit der meisten bekannt gewordenen Abmahnungen - und gehen inzwischen dagegen vor. Denn Fakt ist, dass diese Art von Abmahnung auf juristisch sehr dünnem Eis stattfindet. Viele der Abmahnschreiben enthalten jede Menge Beispielurteile mit vielen "Paragraph-Zeichen" - die jedoch mit der Google-Fonts-Problematik wenig bis gar nichts zu tun haben. Wenn man es genau nimmt, gibt es bis heute nur ein einziges wirkliches Urteil, in welchem ein Schadensersatzanspruch bei der Verwendung von Google-Fonts bejaht wird - und das ist genau das Urteil des LG München vom 20. Januar 2022. Zudem sind die Abmahnkosten deutlich höher, als der vom LG München festgestellte Schadensersatzanspruch, damit sind derlei Schreiben anfechtbar. Ein Auskunftsanspruch wird in den meisten Fällen nicht eingefordert - in anderen Fällen die Grundlage einer Abmahnung.
Darüber hinaus sind die meisten der abmahnenden Personen rechtlich überhaupt nicht in der Position, Abmahnungen auszusprechen und mussten die ersten Watschen von engagierten Anwälten hinnehmen. Auf der Website der Kanzlei Christos Paloubis oder der WBS-Kanzlei gibt es neben der juristischen Bewertung des Themas Google-Fonts entsprechende Musterschreiben, die für eine erste Antwort an die Abmahner verwendet werden können - wenn man diese nicht komplett ignorieren möchte (was vielfach keinerlei Reaktionen nach sich zieht). Auch gibt es dort einen Google-Fonts-Scanner, mit dem Sie prüfen können, ob und wie Google-Schriftarten in Ihre Seite eingebunden sind.

Auch von Seiten der Gerichte bläst den Abmahnern ein kalter Wind ins Gesicht. So hat das Landgericht Baden-Baden eine einstweilige Verfügung gegen den Abmahner Martin Ismail erlassen - mit der Androhung eines empfindlichen Ordnungsgeldes bis hin zur Ordnungshaft. Der Beschluss ist bislang noch nicht rechtskräftig, er zeigt aber, wie komplex das Thema ist und wie unterschiedlich der Blickwinkel der Juristen. Doch machen wir uns nichts vor, die Winkeladvokaten werden neue Möglichkeiten finden und neue Abmahnungen aussprechen, solange die gesamte Problematik nicht politisch und datenschutzrechtlich vollumfänglich gelöst ist.

Und jetzt?

Sind mit der sauberen lokalen Installation der Google-Schriften und dem Engagement der Anwälte nun alle Probleme gelöst? Mitnichten. Zwar bezieht sich das Urteil des LG München nur auf die Verwendung von Google-Schriftarten - der Richterspruch kann jedoch auch auf unzählige andere Dienste und Widgets externer Anbieter übertragen werden. Mal ein paar Beispiele gefällig? Google Maps, Google Analytics, Google Ads, Google News, Login-Routinen, Widgets und Gimmicks nahezu aller SocialMedia-Plattformen, Dienste von Microsoft, von Adobe, von Apple, eingebettete Code Bibliotheken und Content Delivery Networks, Links zu Shopping-Plattformen und beliebten Kommunikationsdiensten - von denen sich viele auch noch im Mutterland des Datenschutzes, nämlich in China befinden. Und die sich vielfach eben nicht - wie eine Google-Schrift - lokal installieren lassen.

Mit der Lesart der Richter zu Ende gedacht, wäre JEDER Link, der auf Seiten außerhalb der EU führt angreifbar - denn es wird die IP-Adresse als persönliches Datum übertragen. Und der Referer meist noch dazu, also die Herkunft des Besuchers. Das Internet wäre dann natürlich komplett am Arsch, das Server-Logging sowieso - zumindest für Menschen in Ländern, in denen die Staatslenker und Juristen einen vermeintlichen Datenschutz über die Lebenswirklichkeit und den gesunden Menschenverstand stellen. Schon jetzt gibt es auf manchen Seiten veritable Klickmichweg-Orgien, um alles zu bestätigen und zu verifizieren, was eventuell einer Datenschutzverordnung engegenstehen könnte - gar nicht so selten schon aus vorauseilendem Gehorsam.

"So funktioniert nun mal das Internet"

Auch die Google-Mutter Alphabet hat auf das Münchner Urteil reagiert und versucht, Privatsphärebedenken bei der Nutzung von Google-Fonts zu zerstreuen. Die Schnittstellen, die zur Einbettung der Schriftarten aus der Google-Bibliothek dienten, seien so konzipiert, dass die Verwendung von Daten auf das beschränkt werde, was für die effiziente Bereitstellung der Schriften und für anonyme Nutzungsstatistiken erforderlich sei, so ein Google-Manager in einem Blogbeitrag. Es sei keine Besonderheit, dass IP-Adressen an Server zur Übertragung von Schriftarten gesendet würden – so funktioniere das Internet eben.

Klar, es gibt Alternativen, natürlich lassen sich beispielsweise Google-Maps mit Open Street Maps ersetzen. Die Standard-Karten sind Geschmacksache - was Marketer, Website- und Onlineshop-Betreiber wirklich vermissen dürften, sind die fehlenden "Branchenbuch"-Möglichkeiten und die weiterführenden Funktionen zur Datenanalyse. Und das betrifft viele der frei verfügbaren Open-Source-Alternativen zu etablierten Diensten - und dann kommt noch dazu, dass auch die Alternativen nicht immer in europäischen Rechenzentren laufen. Was dann?

Selbstverständlich müssen Grundrechte, insbesondere das Recht auf informationelle Selbstbestimmung bei der Verarbeitung personenbezogener Daten geschützt werden. Klar ist aber auch, sich im Internet unsichtbar und unidentifiziertbar zu bewegen, ist ohne weitreichende Hacker-Kenntnisse nicht möglich (und kommt mir jetzt blos nicht mit VPN...!). Die DSGVO beschreibt Personen, "die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden können". Das ist nicht möglich - wenn die IP-Adresse eines deutschen Internetproviders als personenbezogenes Datum gewertet wird. Mit weiteren Urteilen dieser Art wird wohl auch kaum dem Datenschutz Genüge getan, es werden nur weitere Wettbewerbsnachteile für inländische Unternehmen aufgebaut. Die ganze Problematik gehört europäisch gelöst - mehr noch, es müssen globale Lösungen her, an die sich die großen Internetkonzerne auch zu halten haben. Und nicht nur ein kleiner Online-Shop-Betreiber aus der deutschen Provinz.

Aufgabe der Politik ist es vor allem, den 2020 vom Europäischen Gerichtshof für ungültig erklärten Privacy Shield umgehend mit einem neuen und tragfähigen Abkommen zu ersetzen. Darin muss ein restriktives und dennoch realistisches Schutzniveau für die Daten von EU-Bürgern in den USA geregelt - und die vorherrschende Rechtsunsicherheit für Unternehmen beim Datenaustausch mit den Vereinigten Staaten beseitigt werden.

Oder wir umgehen das Problem, in dem sich jedes Land sein eigenes Internet zusammenschustert - was wir derzeit schon in China, Rußland und in anderen autoritär geführten Staaten bewundern können.

08.12.2022