Abmahnungen wegen Nutzung von Google Fonts am Beispiel der Abmahnung durch Rechtsanwalt Mag. Hohenecker im Namen von Frau Eva Zajaczkowska (21.8.2022)

Der Besuch von Websites soll aufgrund der Einbettung von Google Fonts eine Rechtsverletzung, aufgrund der Datenübertragung (IP-Adresse), verursachen. Nicht nur Beschwerden, sondern Abmahnschreiben und Schadenersatzforderungen, verfasst von Anwälten verschärfen nun die Situation in Deutschland und Österreich.

Erst kürzlich wurden zahlreiche Unternehmen durch Herrn Rechtsanwalt Mag. Hohenecker, mit einem Abmahnschreiben kontaktiert betreffend der Einbettung von Google Fonts auf deren Website. Herr Rechtsanwalt Mag. Hohenecker macht dabei im Namen seiner Mandantin Eva Zajaczkowska eine Schadenersatzforderung von EUR 100,00 (zuzüglich EUR 90,00 an Kosten) geltend. Er begründet dies damit, dass der Websitebetreiber durch das Einbetten von Google Fonts auf der Website unzulässigerweise die IP-Adresse von Frau Zajaczkowska an Google weitergeben habe. Gleichzeitig macht Frau Zajaczkowska einen Auskunftsanspruch gemäß Art 15 DSGVO geltend.

Mit seinem Schreiben beanstandet der Rechtsanwalt für seine Mandantin eine Datenschutzverletzung aufgrund der auf der Webseite eingebundenen Google Fonts. Es sei ohne Zustimmung der Mandantin deren IP-Adresse an „eine Gesellschaft des US-amerikanischen „Alphabet Inc.“-Konzerns („Google“) weitergeleitet“ worden.

Aufgrund dessen hätte die Mandantin angeblich Ansprüche auf Unterlassung, Schadenersatz, Ersatz der Rechtsverfolgungskosten sowie auf Auskunft hinsichtlich der Datenverarbeitung. Auf der letzten Seite des Schreibens wird wird ein Vergleich angeboten: Wer binnen 14 Tagen den Betrag von 190 Euro (zusammengesetzt aus 100 Euro Schadenersatz und 90 Euro Rechtsverfolgungskosten) auf das Konto des abmahnenden Anwalts überweist, ist aus der Sache raus.

Auf seiner Webseite präsentiert der Anwalt zudem angebliche Musterklagen, die von ihm in vergleichbaren Fällen bereits erhoben worden sein sollen.

Tatsächlich dürfte es sich um einen Verstoß gegen die Datenschutzgrundverordnung handeln, wenn IP-Adressen von Websitesbesuchern an Google weitergeleitet werden, verursacht durch dynamisch eingebundene Google Fonts. Hier gilt es abzuwägen, ob man sich auf einen Rechtsstreit einlassen will. Offen ist auch, ob es bei der immensen Anzahl an Fällen auch tatsächlich zu Anzeigen kommt, wenn man die Prozesskosten und den Aufwand betrachtet.

Worum geht es?

Den Betreibern von Websites steht eine kostenfreie Bibliothek mit Schriftarten und Typographieelementen mit dem Dienst Google-Web-Fonts zur Verfügung. Diese ermöglichen die optimale Darstellung von Präsentationen oder Online-Shops auf allen Endgeräten.

Dieser ist in den meisten Fällen als Standard aktiviert, ohne, dass der Betreiber der Webseite informiert wird.

Seit Mitte 2022 erhielten nun Website- und Shopbetreiber aus Deutschland und Österreich Schreiben, in denen sie beschuldigt wurden, die Datenschutzgrundverordnung zu verletzen. Grund: durch die dynamische Einbindung von Google Fonts würde die IP-Adresse an Google übermittelt. Die IP-Adresse ist Bestandteil der personenbezogenen Daten und darf nicht ohne dezidierte Einwilligung an Dritte weitergegeben werden. Schadenersatzansprüche werden eingefordert und Vergleiche angeboten.

Verwiesen wird diesbezüglich gerne auf das Urteil des LG München I vom 20.01.2022 (Az.: 3 O 17493/20), mit welchem das Gericht einem Geschädigten aufgrund er einwilligungslosen Übertragung seiner IP-Adresse an Google ein „Schmerzensgeld“ in Höhe von 100,– Euro zusprach.

Was sind „Google Fonts“

„Google Fonts“ ist ein interaktives, kosten- und lizenzfreies Verzeichnis mit über 1000 Schriftarten, dass von Google LLC seit 2010 Websitebetreiben zur Verfügung gestellt wird.

Diese werden in zwei Varianten genutzt:

1. Der Websitebetreiber kann eine Schriftart herunterladen und im eigenen Webspace wieder hochladen. Wird die Webseite aufgerufen, lädt die Schriftart dann vom eigenen Speicherplatz, da sie ja lediglich lokal in die Internetseite eingebunden wird.
2. Google LLC bietet auch für die Nutzung von „Google Fonts“ eine dynamische Variante an. In diesem Fall wird die gewählte Schriftart nicht lokal eingebunden. Beim Aufruf der Seiten wird eine Verbindung zum Server von Google aufgebaut und es wird die IP-Adresse des Besuchers an Google gesendet. Google wertet damit aus z.B. welche Schriftarten beliebt sind.

Wie man es technisch richtig macht und vor einer Abmahnung schützt?

Egal ob dubiose Abmahnungen von Privat Personen oder Anwälten, dies lässt sich ganz einfach vermeiden.

Wenn Sie Google Fonts auf der Webseite verwenden dann haben Sie 2 Möglichkeiten diese DSGVO konform einzubinden:

1. In der ersten Variante laden Sie die Google Fonts einfach von der Google Fonts Webseite herunter und binden diese dann Lokal auf Ihrer Webseite ein. Dies hat zufolge das die Webseite keine Verbindung zu Google aufbauen muss da die Schrift ja schon auf dem Server vorhanden ist.
2. In der zweiten Variante holen Sie zuerst mittels Cookiebanner DSGVO konform die Zustimmung des Besuchers ein und erst dann lassen Sie die Webseite die Verbindung zum Google Server aufbauen und die Google Fonts einbinden. Wichtig ist hier natürlich auch, dass entsprechend in der Datenschutzerklärung darauf hingewiesen wird das Sie Google Fonts dynamisch eingebunden haben.

Sollten Sie hier Unterstützung benötigen stehen wir Ihnen gerne jederzeit zu Seite.

Wie kann man nun selbst testen ob die Webseite betroffen ist?

Hier gibt es 2 Möglichkeiten:
( Für den Test haben wir es in unserer Seite absichtlich falsch eingebaut)
Man nutzt eines der gratis Analyse Tools wie z.B.: https://google-fonts-checker.54gradsoftware.de/ Hier muss man einfach nur die Domain eingeben und bekommt ein entsprechende Ergebnis.

 

Sollte dieses Ergebnis auch bei Ihnen aufscheinen dann wenden Sie sich bitte schleunigst an Ihren Webdesigner.
Alternativ unterstützen wir Sie auch gerne.

Wenn Alles passt dann sieht es so aus:

Bei der 2. Variante verlässt man sich nicht auf ein Analyse Tool sondern nutzt die in Google Chrome eingebauten Funktionen.

Im ersten Schritt muss man einfach mal die Webseite in Google Chrome öffnen aber nichts auf Webseite Klicken. Anschließen drückt man irgendwo auf der Webseite die rechte Maustaste und geht auf untersuchen. (Bei englischem Chrome ist es inspect).

Anschließend darf man sich nicht verwirren lassen von dem Code der Webseite welcher plötzlich eingeblendet wird und muss bei den Tabs auf Network klicken.

Nun klickt man im darunter liegenden Tab auf Font und aktualisiert die Webseite entweder mit dem Aktualisieren-Button oder mit F5 auf der Tastatur. Durch die Aktualisierung ladet die Webseite neu und das Networktab zeigt unter Fonts an welche Fonts geladen werden und woher diese stammen. In folgendem Fall werden keine Google Fonts geladen. Für den Fall das die URL-Spalte nicht sichtbar ist kann man bei in der Spalte Name ganz einfach mit der Maus über jede einzelne Schrift hovern dann wird die URL auch angezeigt.

Verwendet die Webseite dynamisch eingebunden Google Fonts, dann sieht dies folgendermaßen aus:

An der Adresse https://fonts.googleapis.com/ erkennt man ganz klar das Google Fonts dynmaisch eingebunden sind.

Was tut man nun wenn man bereits so einen Abmahnungs Brief erhalten hat?

Sie haben bereits einen Brief mit einer Abmahnung erhalten? Wenden sie sich an einen Anwalt und wenden sie sich an den Webdesigner ihres Vertrauens.

Unser Anliegen ist es, unsere Kunden Best möglichst zu unterstützen. Darum informieren wir uns laufend, und geben die neuesten Erkenntnisse an unsere Kunden weiter.

Wenn wir bereits so einen Brief erhalten hätten dann würden wir die Forderung bestreiten und keinen falls zahlen, jedoch dem Auskunftsanspruch gemäß Art 15 DSGVO nachkommen. 

Informationen zur Forderung*:

Eine Privatperson ist generell nicht zur Abmahnung befugt, auch nicht durch einen Rechtsvertreter.
Datenschutzverstöße können durch die Datenschutzaufsichtsbehörden der Länder und durch Verbraucherverbände abgemahnt werden. Datenschutzrechtliche Unterlassungsansprüche durch betroffene Personen sieht die DSGVO nicht vor. Anhaltspunkte für das Vorliegen einer wettbewerbsrechtlichen Abmahnung liegen nicht vor und eine erforderliche Sachbefugnis ebenfalls nicht dargelegt.

Selbst wenn ein Datenschutzverstoß in Bezug auf eine dynamische Einbindung von Google Fonts vorläge, kann daraus nicht automatisch auf das Bestehen eines Schmerzensgeldanspruchs geschlossen werden. Die Geltendmachung von Ansprüchen hängt von mehreren Voraussetzungen ab. Die Entstehung eines Schadens muss nachgewiesen werden.

An dem Erfordernis des Vortrags objektiver und / oder objektivierbarer Umstände im Hinblick auf einen angeblichen Schaden ändert auch die Bezugnahme auf das Urteil des Landgericht München I aus Januar 2022 nichts. Die zuständigen Gerichte prüfen lediglich den Einzelfall und entscheiden diesen. Eine pauschale Allgemeingültigkeit lässt sich daraus nicht entnehmen. Gerade in Bezug auf die Annahme von immateriellen Schäden ist die Rechtsprechung durchaus differenziert.

Zudem scheint es, dass die vermeintlichen Datenschutzverstöße selbst provoziert wurden, in dem systematisch Websites gesucht wurden, die scheinbar eine rechtswidrige Einbindung von Google Fonts vorgenommen haben.
Selbst für den unwahrscheinlichen Fall, dass ein Datenschutzverstoß erkennbar wäre und jemand einen tatsächlichen Schaden erlitten hätte, so wäre dieser wegen Mitverschuldens ausgeschlossen. Da die Rechtsverletzung vermutlich vorsätzlich herbeigeführt haben, könnte ein Anspruch bereits dadurch komplett ausgeschlossen sein.

Ein systematisches Vorgehen, allein zum Zwecke der Herbeiführung etwaiger Schadensersatzansprüche, steht zudem im Widerspruch zu dem herrschenden Grundsatz von Treu und Glauben. Wer gezielt nach Websites sucht, die Google Web Fonts verwenden und bei einem Besuch derselben davon ausgeht, dass seine personenbezogenen Daten (insbesondere seine IP-Adresse) bei dem Besuch der Webseite erhoben und weitergeleitet werden und dies gar absichtlich geschehen lässt, handelt aus einem nicht nachvollziehbaren Interesse heraus. Die Motivation besteht allein in der Aussicht, finanzielle Vorteile aus den Schadensersatzforderungen zu gewinnen.
Es wäre dann ebenfalls darzulegen, dass die IP-Adresse tatsächlich in die USA übermittelt und dass diese dabei vor Übermittlung nicht verändert und/oder unkenntlich gemacht worden ist. Zudem wäre der eingetretene Schaden objektiv darzulegen und zu begründen.

Informationen zum Auskunftsanspruch**:

Den Auskunftsanspruch muss der Websitebetreiber jedenfalls (auch wenn diesem Frau Zajaczkowska nicht bekannt ist) beantworten. Dazu muss der Betreiber der Website alle Systeme (nicht nur die Website) nach der im Schreiben angegebenen IP-Adresse und sowie nach dem Namen „Eva Zajaczkowska“ durchsuchen. Sollte der Betreiber nicht fündig werden ist das Antwortschreiben an Herrn Rechtsanwalt Hohenecker sehr einfach
(bitte den Domainnamen und das Datum des Schreibens ergänzen):

„Sehr geehrter Herr Mag. Hohenecker,

wir als Betreiber der Website [ERGÄNZEN] bestreiten den von Ihnen im Schreiben vom [DATUM ERGÄNZEN] geltend gemachten Anspruch dem Grunde und der Höhe nach.

Zum Auskunftsanspruch: Über Frau Eva Zajaczkowska verarbeiten wir – mit Ausnahme des Auskunftsbegehrens – keine personenbezogenen Daten. Frau Eva Zajaczkowska hat das Recht, die Datenschutzbehörde anzurufen, wenn Sie der Meinung ist, dass ihre Datenschutzrechtlichen Ansprüche verletzt worden sind. “

Sollte der Betreiber bei der Suche nach Frau Eva Zajaczkowska fündig werden, ist ein umfassendes Auskunftsschreiben zu verfassen.

Technische Recherche nach der IP für den Auskunftsanspruch:

Seit Einführung der DSGVO ist die Recherche nach einer speziellen IP-Adresse in den Log Files nicht mehr so leicht. In den meisten Fällen werden nämlich die IP Adresse anonymisiert durch das verändern der letzten Ziffern mittels eine Zufallsgenerators. Wir emfpehlen hier Ihner Hoster zu kontaktieren bzw. unterstützen wir auch gerne bei den technischen Details.

DISCLAIMER: Die hier aufgeführten Tipps und Beiträge sind nach bestem Wissen und Gewissen sorgfältig zusammengestellt. Es wird kein Anspruch auf Vollständigkeit und Ausschließlichkeit der Inhalte gestellt. Die zur Verfügung gestellten Inhalte dienen lediglich der generellen Information und stellen keine rechtliche Auskunft oder Rechtsberatung dar. Calysto IT Solution GmbH übernimmt keine Haftung für unmittelbare, mittelbare oder zufällige Schäden, Schadenersatzforderungen und Folgeschäden jeglicher Art und aus welchem Rechtsgrund, die durch den Zugriff auf oder die Verwendung der Website resultieren.

*Quelle: WILDE BEUGER SOLMECKE Rechtsanwälte
**Quelle: Höhne, In der Maur & Partner Rechtsanwälte