Google Fonts & DSGVO: externe Schriften erkennen und lokal hosten
Werden Google Fonts direkt von Google-Servern geladen, übermittelt der Browser deiner Besucher beim Seitenaufruf die IP-Adresse an Google (USA) — ohne dass dafür eine Einwilligung eingeholt wird. Dieser Punkt ist in Deutschland bekannt geworden und gilt als typischer Abmahn- und Risikofaktor.
Das Risiko
- Beim externen Laden wird die IP-Adresse an einen US-Anbieter übertragen, in der Regel ohne Einwilligung.
- Anders als bei vielen Trackern lässt sich das Risiko technisch sauber beseitigen — durch lokales Hosting der Schriften.
- Häufig binden Themes oder Page-Builder Fonts unbemerkt extern ein.
Wie konfora das erkennt
konfora erkennt extern geladene Google Fonts an ihren Requests und @font-face-Quellen und ordnet sie der Kategorie Externe Schriften zu. Erkannt werden:
- fonts.googleapis.com
- fonts.gstatic.com
Was im Report steht
- Ein Befund „Google Fonts“ mit standardmäßiger Severity kritisch.
- Belege: die kontaktierten Hosts, Beispiel-Request-URLs, die Anzahl passender Requests und das Vendor-Land (US).
- Ein Soll-Ist-Hinweis, falls externe Fonts erkannt, in der Datenschutzerklärung aber nicht genannt sind.
Typische Maßnahmen
- Binde die Schriften lokal ein (self-hosting), sodass beim Seitenaufruf keine Verbindung zu Google entsteht.
- Prüfe Theme- und Plugin-Einstellungen, die Fonts oft unbemerkt extern nachladen.
- Wiederhole den Check nach der Umstellung, um sicherzugehen, dass keine externen Font-Requests übrig sind.
Grenzen der automatischen Prüfung
Der Check macht technische Hinweise sichtbar und hilft beim Priorisieren. Er ist kein Rechtsgutachten, keine Vollständigkeitsgarantie und ersetzt keine fachkundige Prüfung durch eine Datenschutzbeauftragte oder eine Kanzlei.
- konfora prüft die aufgerufene Seite; einzelne Unterseiten können andere Fonts laden.
- Das rechtliche Abmahnrisiko hängt vom Einzelfall ab — der Befund ist ein technisches Indiz.
konfora prüft als einen von 16 Bereichen automatisiert, welche Dienste deine Seite lädt, und macht solche Funde im Report sichtbar — als technische Bestandsaufnahme mit konkreter Aufgabenliste, nicht als Rechtsgutachten.
Den schnellen, kostenlosen ersten Eindruck bekommst du im Schnellcheck. Der Report als PDF liegt bei 14,99 € (Einmalkauf, kein Abo); den Zugang bekommst du per Magic-Link an deine E-Mail.
Dieser Beitrag liefert technische Hinweise und mögliche Risiken, keine Rechtsberatung. Für eine verbindliche Einschätzung deiner konkreten Situation wendest du dich an deine Datenschutzbeauftragte oder einen Fachanwalt.