Google Fonts DSGVO konform nutzen: So binden Sie Schriften lokal ein

Wir, Talha Aslan und Team, begegnen dieser Frage bei fast jedem Website Check für Kunden mit Besuchern aus Deutschland. Deshalb bleibt dieser Leitfaden eng beim Thema: welche Daten den Browser verlassen, wie Sie versteckte Schriftaufrufe finden, wie die lokale Einbindung funktioniert und was Lizenz und Ladezeit dabei bedeuten. Hinweis: Dieser Beitrag ist keine Rechtsberatung; für Ihren konkreten Fall fragen Sie bitte eine Anwältin oder einen Anwalt für Datenschutzrecht.

Kurz gesagt: Beim Thema Google Fonts DSGVO ist die Schrift selbst ist nie das Problem, sondern ihre Herkunft. Liefern Sie dieselbe Schriftfamilie von Ihrer eigenen Domain aus, bleibt das Design gleich. Der Browser Ihrer Besucher spricht dann allerdings mit keinem Dritten mehr.

Welche Daten überträgt ein Aufruf von Google Fonts?

Beim klassischen Einbettungscode fordert der Browser zunächst ein Stylesheet von fonts.googleapis.com an. Danach lädt er die Schriftdateien von fonts.gstatic.com. Jede dieser Anfragen enthält zwangsläufig die IP Adresse, die angefragte Adresse und die üblichen HTTP Header.

Google bestätigt das in der eigenen FAQ zu Datenschutz und Datenerhebung bei Google Fonts. Laut Google erhält der Dienst IP Adresse, angefragte URL und HTTP Header. Zudem arbeitet die Fonts API laut dieser Seite ohne Authentifizierung und setzt keine Cookies.

Allerdings nimmt Ihnen diese Zusage die Verantwortung nicht ab. Sie betreiben die Website, und Ihr Code baut die Verbindung auf. Daher brauchen Sie für diese Übermittlung eine Rechtsgrundlage und einen klaren Hinweis in der Datenschutzerklärung, egal was Google danach mit den Daten macht.

• IP Adresse: Sie kann Besucher mittelbar identifizierbar machen.
• Angefragte URL: Sie verrät, welche Schriftfamilien und Schnitte Sie nutzen.
• HTTP Header: Browsertyp, Sprachpräferenz und oft die verweisende Seite.

Was hat das LG München zu Google Fonts entschieden?

Das Landgericht München I hat im Verfahren mit dem Aktenzeichen 3 O 17493/20 entschieden, dass die dynamische Einbindung von Google Fonts ohne Einwilligung gegen die DSGVO verstößt. Zentral war dabei die Übermittlung der IP Adresse an Google. Das Gericht sah kein berechtigtes Interesse, weil der Betreiber die Schriften auch lokal hätte einbinden können.

Zudem lehnte das Gericht den Gedanken ab, Besucher müssten ihre IP Adresse selbst verschleiern, etwa per VPN. Diese Zusammenfassung stützt sich auf Darstellungen von Industrie und Handelskammern sowie Hochschulen; den vollständigen Urteilstext sollten Sie bei Bedarf selbst prüfen.

In der Folge erhielten viele Websitebetreiber in Deutschland Abmahnschreiben. Andere Gerichte können die Frage anders bewerten, und die Diskussion ist nicht abgeschlossen. Trotzdem lautet die praktische Lehre: Wenn eine lokale Lösung möglich ist, fällt die Begründung für den Aufruf bei Google schwer. Den Gesetzestext finden Sie im offiziellen Text der DSGVO im Rechtsportal der EU.

Reicht ein Hinweis in der Datenschutzerklärung aus?

Nach der Münchner Entscheidung reicht ein bloßer Hinweis in der Datenschutzerklärung in aller Regel nicht. Denn der Hinweis informiert zwar, er ersetzt aber weder eine Einwilligung noch eine tragfähige Rechtsgrundlage. Außerdem lädt die Schrift, bevor irgendjemand die Datenschutzerklärung liest.

Deshalb empfehlen wir einen anderen Weg: Entfernen Sie den Aufruf bei Google technisch. Dann gibt es keine Übermittlung, die Sie erklären oder absichern müssten. Die Datenschutzerklärung beschreibt danach nur noch, was tatsächlich passiert.

Konkret heißt das: Erst die Technik bereinigen, dann den Text anpassen. Umgekehrt entsteht ein Dokument, das einen Zustand beschreibt, den Ihre Website gar nicht hat. Für die Formulierung selbst holen Sie sich bitte rechtlichen Rat; dieser Beitrag ist keine Rechtsberatung.

Wie prüfen Sie, ob Ihre Website Google Fonts lädt?

Am zuverlässigsten sind die Entwicklertools Ihres Browsers (DevTools, also das eingebaute Analysefenster). Ein Blick in den Quelltext genügt nicht, weil Themes und Plugins den Schriftaufruf oft aus einem anderen Stylesheet heraus nachladen.

1. Öffnen Sie die Website in einem privaten Fenster, damit Cache und Login das Ergebnis weniger verfälschen.
2. Klicken Sie mit der rechten Maustaste auf die Seite, wählen Sie Untersuchen und öffnen Sie den Tab Netzwerk.
3. Aktivieren Sie die Option, den Cache zu deaktivieren, und laden Sie die Seite neu.
4. Tippen Sie fonts.googleapis in das Filterfeld, danach gstatic.
5. Erscheint eine Zeile, klicken Sie darauf und schauen Sie in die Spalte Initiator. Dort sehen Sie, welche Datei die Anfrage auslöst.
6. Wiederholen Sie den Test auf Startseite, Blogbeitrag, Kontaktseite und Kasse.

Zum Beispiel kann die Startseite sauber sein, während das Kontaktformular eine eigene Schrift nachlädt. Beurteilen Sie also nie die ganze Website anhand einer einzigen Vorlage.

Wo verstecken WordPress Themes und Plugins Google Fonts?

Bei WordPress kommen Schriftaufrufe selten aus nur einer Quelle. Der Theme Customizer, die globale Schrifteinstellung des Page Builders, Sliderplugins, Formularplugins und manche Iconpakete öffnen jeweils eigene Verbindungen.

• Theme Customizer: Jede gewählte Schriftfamilie im Bereich Typografie kann eine Anfrage erzeugen.
• Page Builder: globale Schriften plus Schriftwahl in einzelnen Widgets.
• Slider und Popupplugins: Sie bringen oft ein eigenes Stylesheet mit Schriftlink mit.
• Eingebettete Karten und Videos: Fremde Frames laden ihre eigenen Schriften.
• Dateien im Child Theme: ein alter Linkeintrag eines früheren Entwicklers.

Viele Themes und Builder bieten eine Einstellung, um Google Fonts lokal zu laden oder abzuschalten. Allerdings heißt diese Option je nach Produkt anders; schauen Sie im Panel unter Typografie oder Performance nach. Prüfen Sie danach erneut im Netzwerk Tab, denn die Option betrifft meist nur das Theme, nicht jedes Plugin.

Leeren Sie außerdem nach jeder Änderung den Cache Ihres Cachingplugins. Sonst liefert der Server weiterhin das alte Stylesheet aus.

Google Fonts DSGVO: Wie lösen Sie das Problem am saubersten?

Für Google Fonts DSGVO konform gilt: Am saubersten laden Sie die genutzten Schriftfamilien herunter und liefern sie von Ihrer eigenen Domain aus. Dann spricht der Browser nur noch mit Ihrem Server, keine Anfrage erreicht Google, und die Frage der Übermittlung entfällt.

Es gibt zwei Alternativen. Erstens können Sie die Schriften an die Einwilligung koppeln, sodass Besucher bis zur Zustimmung eine Systemschrift sehen. Das funktioniert, allerdings sieht das Design dann bei jedem Besucher anders aus. Zweitens können Sie ganz auf Systemschriften wechseln. Das ist schnell, kostet aber Markencharakter.

In der Praxis ist das Herunterladen der einfache Teil. Die eigentliche Arbeit besteht darin, jeden versteckten Aufruf zu entfernen, ohne das Layout zu beschädigen. Wenn Sie sich nicht selbst durch Theme und Plugindateien arbeiten möchten, können Sie bei uns Ihre Website erstellen lassen oder überarbeiten lassen, inklusive lokal eingebundener Schriften und ohne unnötige Verbindungen zu Dritten.

Wie binden Sie Google Fonts Schritt für Schritt lokal ein?

Die lokale Einbindung ist im Prinzip einfach: Sie legen die Schriftdateien auf Ihren Server, deklarieren sie im CSS und entfernen die Zeile, die auf Google verweist. Die folgende Reihenfolge beschreiben wir bewusst auf konzeptioneller Ebene.

1. Bestand aufnehmen: Notieren Sie, welche Familien und Schnitte (400, 600, 700 und so weiter) Ihr Design wirklich nutzt.
2. Dateien aus offizieller Quelle laden, also von der Familienseite auf fonts.google.com oder aus dem offenen Repository der Familie.
3. Im Format WOFF2 arbeiten und nur die benötigten Zeichensätze behalten.
4. Alles in einen festen Ordner Ihrer Website hochladen, zum Beispiel einen eigenen Schriftordner im Child Theme.
5. Im Stylesheet je Schnitt eine Schriftdefinition anlegen und die Ladestrategie festlegen.
6. Links zu Google in Theme, Page Builder und allen Plugins abschalten.
7. Alle Caches leeren und dann im Netzwerk Tab prüfen, dass keine Domains von Google mehr auftauchen.

Zudem legen wir die Lizenzdatei immer in denselben Ordner wie die Schriften. So sieht jeder, der die Website später übernimmt, sofort die Nutzungsbedingungen.

Erlaubt die Lizenz von Google Fonts das lokale Hosting?

Die meisten Familien in der Bibliothek von Google Fonts stehen unter quelloffenen Lizenzen, am häufigsten unter der SIL Open Font License (OFL). Die offizielle Website der OFL erklärt, dass OFL Schriften auf Websites genutzt, verändert und weitergegeben werden dürfen.

Prüfen Sie trotzdem die Lizenz jeder einzelnen Familie, denn die Bibliothek enthält auch Familien unter anderen offenen Lizenzen. Die Lizenzdatei finden Sie auf der Familienseite und im heruntergeladenen Paket. Ein Detail der OFL ist wichtig: der reservierte Schriftname. Wenn Sie eine Schrift verändern und weitergeben, müssen Sie sie unter Umständen umbenennen.

Eine unveränderte Schrift auf der eigenen Website zu nutzen oder eine Teilmenge der Zeichen zu bilden, ist meist unproblematisch. Das letzte Wort hat allerdings immer die Lizenz. Also gilt: zuerst die Lizenzdatei lesen, dann hochladen.

Welches Dateiformat sollten lokale Schriften haben?

Für das Web nutzen Sie WOFF2. Der Leitfaden zu Best Practices für Schriften auf web.dev beschreibt WOFF2 als Format mit der breitesten Browserunterstützung und der besten Kompression. Ältere Formate wie TTF oder EOT brauchen Sie daher heute kaum noch.

• Format: nur WOFF2, keine zusätzlichen Ersatzformate.
• Schnitte: nur die Gewichte, die Ihr Design wirklich nutzt.
• Zeichensatz: Umlaute und ß müssen enthalten sein.
• Variable Schriften: Eine variable Datei kann mehrere statische Schnitte ersetzen.
• Caching: lange Cachezeiten für Schriftdateien setzen.

Zum Beispiel lädt eine Website mit vier Gewichten in zwei Stilen acht Dateien. Ein kurzer Blick auf das Design zeigt oft, dass zwei oder drei Gewichte reichen. Diese Bereinigung hilft sowohl der Ladezeit als auch der Wartung.

Wie wirkt sich lokales Hosting auf die Ladezeit aus?

Lokales Hosting hilft meistens, allerdings nicht automatisch. Ohne die Server von Google spart sich der Browser den Verbindungsaufbau zu einer zusätzlichen Domain. Andererseits weist web.dev darauf hin, dass der Vorteil von Ihrem eigenen Server, einem CDN und der sauberen Optimierung der Dateien abhängt.

Betrachten Sie die lokale Einbindung deshalb auch als Performancearbeit, nicht nur als Datenschutzmaßnahme. Ladestrategie, Preload und das Verhalten von Text während des Schriftwechsels behandeln wir ausführlich im Beitrag Webfonts und Ladezeit: Schriften schnell laden. Hier wiederholen wir das nicht.

Messen Sie vor und nach der Umstellung. Wie Ladezeit und Sichtbarkeit in der Suche zusammenhängen, erklärt unser Beitrag zu Core Web Vitals mit LCP, INP und CLS. Vor allem ein später Schriftwechsel kann Layoutverschiebungen auslösen und den CLS Wert verschlechtern.

Server von Google, lokales Hosting oder Laden nach Einwilligung: Was passt?

Die folgende Entscheidungstabelle vergleicht die drei üblichen Wege nach Datenschutz, Design und Pflegeaufwand. Sie beruht auf unserer Praxiserfahrung und ist ein allgemeiner Rahmen, keine Rechtsberatung.

Für die meisten Firmenwebsites zeigt die Tabelle klar in eine Richtung. Lokales Hosting schützt Datenschutz und Design zugleich. Das Laden nach Einwilligung lohnt sich nur, wenn Sie eine Schrift wirklich nicht selbst hosten können.

Löst ein Cookie Banner das Problem mit Google Fonts?

Meistens nicht. Ein Cookie Banner hilft nur, wenn vor der Zustimmung wirklich nichts lädt. Schriftanfragen starten jedoch ganz am Anfang des Seitenaufbaus, oft bevor der Banner überhaupt erscheint. Wenn der Banner sichtbar ist, ist die IP Adresse also längst unterwegs.

Zudem setzt Google Fonts keine Cookies, weshalb viele Consent Tools den Dienst nicht automatisch erkennen oder blockieren. Öffnen Sie deshalb nach der Einrichtung die Seite ohne Zustimmung und prüfen Sie den Netzwerk Tab erneut.

Wie ein Banner aussehen sollte und welche Dienste eine Einwilligung brauchen, ist ein eigenes Thema. Dazu lesen Sie unseren Leitfaden, wie Sie einen Cookie Banner rechtssicher und nutzerfreundlich gestalten. Hier nur so viel: Für Schriften ist lokales Hosting die einfachere Antwort, nicht ein komplizierterer Banner.

Was ändern Sie in der Datenschutzerklärung?

Sobald Ihre Schriften lokal laufen, passen Sie den Abschnitt zu Google Fonts in der Datenschutzerklärung an. Eine Übermittlung zu beschreiben, die nicht mehr stattfindet, verwirrt Leser. Laden Sie die Schriften dagegen weiterhin von Google, müssen Sie das klar offenlegen.

• Streichen Sie Google Fonts aus der Liste der Drittdienste oder aktualisieren Sie den Status.
• Prüfen Sie weitere externe Dienste wie Karten, Videos und Chatfenster einzeln.
• Gleichen Sie den Abschnitt zu Drittlandübermittlungen mit den echten Datenflüssen ab.
• Aktualisieren Sie Stand und Kontaktangaben.

Für Einwilligung, Informationspflichten und den Gesamtaufbau lesen Sie unseren Leitfaden für eine datenschutzkonforme Website nach DSGVO. Dieser Beitrag behandelt nur die Schriften. Hinweis: Lassen Sie den konkreten Wortlaut juristisch prüfen, denn dieser Text ist keine Rechtsberatung.

Was testen Sie nach der Umstellung?

Für Google Fonts DSGVO konform ist mit der lokalen Einbindung die Hälfte geschafft; die andere Hälfte ist die Kontrolle. Diese Checkliste empfehlen wir außerdem nach jedem größeren Theme oder Pluginupdate.

1. Filtern Sie im Netzwerk Tab auf allen wichtigen Vorlagen nach fonts.googleapis und gstatic.
2. Prüfen Sie, ob Umlaute und ß in der richtigen Schrift erscheinen.
3. Kontrollieren Sie, ob Fett und Kursiv aus echten Dateien kommen und nicht künstlich vom Browser erzeugt sind.
4. Testen Sie auf dem Smartphone, ob sich beim Schriftwechsel das Layout verschiebt.
5. Prüfen Sie Cacheheader und Kompression der Schriftdateien.
6. Stellen Sie sicher, dass die Lizenzdatei im Schriftordner liegt.

Wiederholen Sie den Test dann einige Wochen später. Denn automatische Pluginupdates können einen entfernten Link zu Google unbemerkt zurückbringen.

Google Fonts DSGVO: Welche Fehler passieren am häufigsten?

Am häufigsten sehen wir eine halbe Lösung: Das Theme lädt die Schrift lokal, aber Plugins rufen weiter Google auf. Achten Sie beim Thema Google Fonts DSGVO besonders auf diese Fehler.

• Nur die Startseite prüfen und andere Vorlagen auslassen.
• Den erweiterten Zeichensatz vergessen, sodass Umlaute in einer Ersatzschrift erscheinen.
• Das Ergebnis bewerten, bevor der Cache geleert ist.
• Mehr Schnitte und Stile laden, als das Design braucht.
• Die Preconnect Zeile vergessen, die allein schon eine Verbindung zu Google öffnet.
• Die Lizenzdatei nicht aufbewahren.

Bedenken Sie außerdem, dass ein Schriftwechsel das Layout subtil verändern kann. Zum Beispiel wirkt die Zeilenhöhe auf dem iPhone anders. Dann helfen die Prüfschritte aus unserem Beitrag zur fehlerhaft angezeigten Website auf iPhone Safari. Für andere externe Elemente wie Vorschaubilder beim Teilen lesen Sie unseren Beitrag, wenn das Bild in der Linkvorschau nicht angezeigt wird.

Warum erleichtern weniger Schriften den Datenschutz?

Weniger Schriften bedeuten weniger Arbeit. Jede Familie und jeder Schnitt, den Sie streichen, ist eine Datei weniger zum Hosten, Testen und Aktualisieren. Zudem kommen die meisten Firmenwebsites mit zwei Familien aus: eine für Überschriften, eine für Fließtext.

Nutzen Sie die Bereinigung als Chance. Beispielszenario: Eine Website hat über die Jahre drei Page Builder und fünf Schriftfamilien angesammelt. Reduzieren Sie die Typografie auf zwei Familien, steigt die visuelle Einheit, und die Zahl der geladenen Dateien sinkt.

Welche Familien Sie behalten und wie Sie Überschrift und Fließtext kombinieren, zeigt unser Beitrag zur Website Typografie und der richtigen Kombination von Schriftarten. So verbinden Sie lokale Einbindung und gestalterische Verbesserung in einem Projekt.

Sind Systemschriften eine Alternative zu Google Fonts?

Manchmal ja. Systemschriften sind die Schriften, die bereits auf dem Gerät der Besucher installiert sind. Sie brauchen keinen Download, laden also schnell und erzeugen keine Verbindung zu Dritten. Für Dashboards, interne Tools und schlichte Informationsseiten passen sie gut.

Auf einer markenstarken Firmenwebsite sehen Systemschriften allerdings auf jedem Gerät anders aus. Windows, macOS und Android nutzen unterschiedliche Standardschriften, wodurch Sie die Kontrolle über das Design verlieren. Deshalb empfehlen wir meist eine lokal gehostete Webschrift für markenrelevante Seiten und Systemschriften für Formulare und Verwaltungsbereiche.

Anders gesagt: Die Wahl ist kein Entweder oder. Eine Mischung aus lokal gehosteter Markenschrift für Überschriften und Systemschrift für lange Texte und Bedienelemente bringt Datenschutz, Tempo und Identität ins Gleichgewicht.

Google Fonts DSGVO und andere Einbindungen: Gilt dieselbe Logik?

Ja. Wenn Sie die Frage Google Fonts DSGVO gelöst haben, fällt Ihnen auf, dass dieselbe Logik für andere externe Ressourcen gilt. Jedes Element, das den Browser zu einem fremden Server schickt, verdient dieselbe Prüfung.

• Eingebettete Karten: Sie verbinden sich beim Seitenaufruf mit dem Kartenanbieter.
• Eingebettete Videos: Der Player lädt oft schon vor dem Abspielen Dateien.
• Iconschriften und Iconpakete: Manche kommen aus einem eigenen Auslieferungsnetz.
• Chatfenster und Supportwidgets: Sie laden meist Skripte von einer separaten Domain.
• Öffentliche CDNs: JavaScript oder CSS Bibliotheken von einer externen Adresse.

Stellen Sie bei jedem Element dieselbe Frage: Brauchen Sie es wirklich, können Sie es lokal hosten, oder muss es auf die Einwilligung warten? Zum Beispiel zeigen viele Websites zuerst ein statisches Kartenbild und laden die echte Karte erst nach einem Klick.

Die rechtliche Bewertung unterscheidet sich allerdings von Website zu Website. Klären Sie daher die Grundlage für jede Ressource gemeinsam mit juristischer Beratung. Erstellen Sie dafür am besten eine einfache Tabelle mit Dienst, Zweck, Anbieter und Ladezeitpunkt; so behalten Sie den Überblick, auch wenn später neue Plugins dazukommen.

Wie sieht die lokale Einbindung in einem Beispielszenario aus?

Beispielszenario: Ein Dienstleister betreibt WordPress. Er nutzt eine Familie im Gewicht 700 für Überschriften und eine zweite Familie in 400 und 600 für Fließtext. Der Netzwerk Tab zeigt Anfragen an Google sowohl vom Theme als auch von einem Formularplugin.

1. Zunächst laden Sie beide Familien samt Lizenzdateien von den Familienseiten herunter.
2. Danach bereiten Sie nur diese drei Schnitte als WOFF2 vor und behalten die benötigten Zeichensätze.
3. Dann laden Sie die Dateien in den Schriftordner des Child Themes und legen drei Schriftdefinitionen an.
4. Anschließend schalten Sie Google Fonts im Themepanel ab und deaktivieren externe Schriften in den Einstellungen des Formularplugins.
5. Schließlich leeren Sie den Cache und prüfen fünf verschiedene Vorlagen im Netzwerk Tab.

Der heikle Punkt: Das Formularplugin hat seine Einstellung in einem separaten Menü. Bietet das Plugin keine solche Option, lesen Sie die Dokumentation oder prüfen Sie eine Alternative. Am Ende sieht das Design gleich aus, doch die Seite schickt keine Schriftanfragen mehr an Google.

Wann lohnt sich professionelle Unterstützung?

Läuft Ihre Website mit einem Theme und wenigen Plugins, schaffen Sie die Umstellung mit den Schritten oben meist selbst. Mehrere Page Builder, ein altes Child Theme oder individueller Code unbekannter Herkunft machen versteckte Aufrufe allerdings schwer auffindbar und leicht zerbrechlich.

Außerdem ist die Schriftbereinigung ein guter Anlass, die ganze Website zu überdenken. Ist Ihre Seite über Jahre mit Flicken gewachsen und taucht nach jedem Update eine neue externe Anfrage auf, kann ein sauberer Neuaufbau langfristig günstiger sein. Dann planen wir, Talha Aslan und Team, mit Ihnen professionelles Webdesign mit lokal gehosteten Schriften und ohne unnötige Verbindungen zu Dritten von Anfang an.

Welchen Weg Sie auch wählen, die letzte Prüfung bleibt gleich: Netzwerk Tab öffnen, nach Domains von Google filtern und die leere Liste mit eigenen Augen sehen. Nehmen Sie diese Prüfung zudem in Ihre Wartungsroutine auf, damit das Problem nach einem Update nicht still zurückkehrt.