Viele Seitenbetreiber erhalten derzeit per E-Mail Schreiben von diversen Privatpersonen, die mit immer gleichem Wortlaut eine datenschutzwidrige Nutzung on „Google Webfonts“ monieren und unter Androhung gerichtlicher Schritte zur Zahlung eines Schadensersatzes von 100,00 Euro auffordern. Die Verunsicherung unter Online-Unternehmern ist groß. Sind diese Schreiben ernst zu nehmen? Was ist überhaupt schiefgelaufen? Wie ist zu reagieren? Die IT-Recht Kanzlei klärt im heutigen Gastartikel dazu auf.
Virales Phänomen: Private Ersatzforderungen wegen scheinbar datenschutzwidriger Nutzung von Google Webfonts
Die IT-Recht Kanzlei haben in letzter Zeit vermehrt Anfragen von verunsicherten Mandanten erreicht, die von scheinbaren Privatpersonen mit einem Datenschutzverstoß bei der Nutzung von „Google Webfonts“ und mit einer privaten Schadensersatzforderung über 100,00€ konfrontiert wurden.
Die Schreiben, die derzeit – immer mit identischem Wortlaut – massenweise von mindestens fünf Absendern versendet werden, monieren eine nicht datenschutzkonforme Verwendung von „Google Webfonts“, einem online-basierten Service für das Laden von Schriftarten und Typographie-Elementen auf Websites.
Inhaltlich wird (in originalem, fehlerträchtigen Wortlaut) Folgendes mitgeteilt:
„Sehr geehrte Damen und Herren,
am XX.XX.2022/ Y Uhr besuchte ich Ihre Website, www.xyz.de, und musste erschreckend feststellen, dass diese ohne meine Zustimmung Schriftarten von Google Fonts beziehungsweise deren Server geladen hat.
Wie ich mich erkundigt habe, wird dabei meine IP-Adresse, wodurch ich zumindest teilweise identifizierbar bin und auch mein Verlauf nachvollzogen werden kann, an Google und deren Server in den USA übermittelt.
Dieses dürfte nicht nur nach der DSGVO nicht zugelassen sein, vielmehr sehe ich mich auch in meiner informellen Selbstbestimmung verletzt, da ich nicht mehr weiß, was Google nun mit meinen Daten anfangen kann.
Ähnlich ging es auch einem anderen Nutzer, hier urteilte bereits das Landgericht München 1 – Aktenzeichen 3 O 17493/20.
Ich habe mir erlaubt, einen entsprechenden Nachweis über die Einbindung der externen Google Fonts Ihrer Website www.xyz.de abzuspeichern.
Damit es nicht weiteren Nutzern so geht wie mir, fordere ich Sie hiermit auf, unverzüglich bis SPÄTESTENS XX.XX.2022 sämtliche Google Fonts, die über die Server von Dritten geladen werden, dauerhaft zu entfernen und mir hierüber Rückmeldung zu geben.
Das Landgericht München hat entschieden, dass dem Nutzer ein Schadensersatz in Höhe von 100,00 Euro zusteht [ist]. Das sehe ich auch hier für angemessen an. Bitte überweisen Sie diesen ebenfalls bis zum XX.XX. 2022 auf mein
Konto (IBAN), Kontoempfänger ….Sollte ich jedoch bis dahin keine Widergutmachung erhalten haben, muss ich mich bei meinem Rechtsanwalt über weitere Schritte erkundigen, damit ich weiß, wer wie wo was über Ihre Website mit meinen Daten gemacht hat.
Das Landgericht München hat ebenfalls entschieden, dass bei Zuwiderhandlung ein Ordnungsgeld von 250.000 Euro, ersatzweise Haft, fällig wird. Auch wenn ich mich nicht dabei wohl fühle, wo meine Daten nun sind und was Google damit anstellt, möchte ich aber auch nicht, dass Sie eine solche Strafe tragen müssen, weil Ihnen ein Fehler unterlaufen ist.
Ich finde, jeder hat eine zweite Chance verdient, einen Fehler widergutzumachen, und biete Ihnen dies hiermit an.
Vielleicht hilft es Ihnen, über Google finden Sie nützliche Anleitungen zum sicheren Einbinden von Google Fonts und auch diverse Anbieter, die Ihnen sicherlich dabei helfen können.
Nutzen Sie die Chance, ich habe bereits mit meiner Rechtschutzversicherung telefoniert, die mir im Zweifel volle Kostenzusage für eine Klage erteilt hat.“
Was wird konkret vorgeworfen?
Die Schreiben rügen eine datenschutzwidrige Übertragung von personenbezogenen Daten an Google durch die Einbindung von Google Webfonts auf Webseiten.
In der Tat verhält es sich so, dass durch Einbindung von Google Webfonts bei Seitenaufruf eine Verbindung zum Google-Netzwerk aufgenommen wird, damit die verwendeten Schriftstile geladen werden können. Durch diese Verbindungsaufnahme kommt es zur datenschutzwidrigen Übertragung von Nutzerinformationen, insbesondere der personenbezogenen IP-Adresse, an Google.
Diese Übertragung ist nun aus zweierlei Gründen problematisch.
Einerseits fehlt es an einer hinreichenden datenschutzrechtlichen Rechtfertigung für die Informationsübermittlung an Google. Insbesondere können sich Seitenbetreiber nicht auf berechtigte Interessen an der graphisch ansprechenden Seitengestaltung gemäß Art. 6 Abs. 1 lit. f DSGVO stützen, weil hierfür die Übermittlung personenbezogener Daten an Google nicht zwingend erforderlich ist.
Andererseits werden Informationen, darunter auch die personenbezogene IP-Adresse, zumindest auch an Google-Server in den USA übertragen. Drittstaatentransfers sind aber datenschutzrechtlich nur nach den strengen Voraussetzungen der Art. 44 ff. DSGVO zulässig und aktuell für das Zielland USA allgemein nicht rechtskonform möglich, weil es wegen weiter Datenzugriffsbefugnisse der US-Geheimdienste an einem hinreichenden Schutzniveau für personenbezogene Daten fehlt.
Die Schreiben nehmen vor diesem Hintergrund standardisiert Bezug auf ein aktuelles Urteil des LG München I. In der Tat hat dieses Gericht unter Bezugnahme auf die obigen Feststellungen zu Datentransfers an Google einem Seitenbesucher, dessen IP-Adresse durch eingebundene Webfonts an Google übertragen wurde, kürzlich 100€ Schadensersatz aus einem DSGVO-Verstoß heraus zugesprochen.
Wie lassen sich Google Fonts nun rechtskonform nutzen?
Die Crux bei der Verwendung von Webfonts ist, dass Schriftarten und Typo-Stile dadurch geladen werden, dass der Browser des Seitenbesuchers eine Verbindung zu den Servern des Font-Anbieters aufnimmt. Durch diese Verbindungsaufnahme werden regelmäßig diverse Nutzerinformationen an Server des Anbieters übertragen. Enthalten diese Informationen auch personenbezogene Daten wie die IP-Adresse des Nutzers, drohen Verstöße gegen die DSGVO.
Um dies zu umgehen, ist zwingend zu empfehlen, Fonts, insbesondere solche von Google, ausschließlich lokal einzubinden und vom eigenen Server (nicht vom Server des Anbieters) laden zu lassen.
So kommt es nämlich zu keiner Erhebung und Übermittlung von personenbezogenen Daten durch/an Google, weil die Fonts nicht durch eine Verbindungsaufnahme zu Google Servern erst geladen werden müssen.
Wie ist auf die privaten Ersatzforderungen zu reagieren?
Wer ein Schreiben bezüglich der Nutzung von Google Fonts mit der Aufforderung zur Zahlung von 100,00€ erhalten hat, wird augenscheinlich mit einem potenziellen Rechtsstreit konfrontiert und verständlicherweise in Unruhe versetzt.
Tatsächlich besteht aber kaum Grund zur Sorge.
Bei den Schreiben handelt es sich offensichtlich um missbräuchliche Versuche, unter dem Deckmantel einer Datenschutzverletzung schnelles Geld zu machen. Der Verdacht eines betrügerischen Bereicherungsversuches liegt hierbei nahe und wird vor allem dadurch bestärkt, dass von mehreren scheinbar privaten Anspruchstellern immer derselbe Wortlaut in teilweise grammatikalisch und ortographisch inkorrektem Deutsch verwendet wird. Nicht auszuschließen ist insofern ein gewerbs- und bandenmäßiges Vorgehen.
Wer ein derartiges Schreiben erhält, sollte in einem ersten Schritt prüfen, ob Fonts von Google auf der Website verwendet werden und ob diese tatsächlich über eine Verbindungsaufnahme zum Google-Netzwerk geladen werden oder vielmehr lokal eingebunden sind.
Werden Webfonts von Google (dann voraussichtlich datenschutzwidrig, s.o.) geladen, enthält der Quelltext der Website Verlinkungen auf „fonts.googleapis.com“ und „fonts.gstatic.com“.
Google Fonts tatsächlich lokal eingebunden
Stellt die Überprüfung heraus, dass Fonts tatsächlich ausschließlich lokal eingebunden wurden, trifft der behauptete Vorwurf, die IP-Adresse des Nutzers werde an Google übermittelt, nicht zu, und das Schreiben ist insgesamt haltlos.
Seitenbetreiber haben in diesem Fall die Möglichkeit, entweder überhaupt nicht darauf zu reagieren, oder aber eine Antwort an den Absender zu verfassen, in der auf die rein lokale Einbindung von Fonts und die dadurch unterbundene Verbindungsaufnahme zu Google ver- und der Vorwurf zurückgewiesen wird.
Natürlich kann dem Schreiben dann auch der Hinweis beigefügt werden, dass man sich vorbehalte, aufgrund des bewussten Vorspiegelns falscher Tatsachen zum Zwecke der Bereicherung Anzeige wegen versuchten Betruges bei der Polizei zu erstatten, um dem Absender eine Lektion zu erteilen.
Google Webfonts mit Verbindungsaufnahme zu Google eingebunden
Ergibt die Prüfung, dass tatsächlich Google Webfonts genutzt und Schriften deswegen durch Verbindungsaufnahme zum Google-Netzwerk geladen werden, sollten Seitenbetreiber unbedingt schnellstmöglich auf eine rein lokale Einbindung der Google Fonts umstellen und so Datenübermittlungen unterbinden.
Das erhaltene Schreiben kann nach Auffassung der IT-Recht Kanzlei aber dennoch ignoriert werden. Insbesondere sollte der Zahlungsaufforderung nicht Folge geleistet werden.
Seitenbetreiber sind in keiner Weise verpflichtet, auf eine bloße vermeintliche Aufforderung wegen eines behaupteten Datenschutzverstoßes eine Geldzahlung zu leisten.
Dazu wären sie vielmehr nur im Falle einer rechtskräftigen gerichtlichen Verurteilung gehalten.
Eine solche würde aber voraussetzen, dass der Anspruchsteller zunächst den Klageweg bestreitet.
Dies ist aufgrund der derzeitigen systematischen Versendung einer Vielzahl gleichlautender Aufforderungsschreiben allerdings äußerst unwahrscheinlich. Das Vorgehen legt stattdessen nahe, dass versucht wird, durch Einschüchterung eine schnelle Banküberweisung anzuregen, und sich so ohne gerichtliche Anstrengungen zu bereichern. Gegen eine klageweise Verfolgung der Ansprüche und die Seriosität des Anliegens spricht schon massenweise Versendung und der laienhafte, grammatikalisch fragwürdige Aufbau der Schreiben.
Selbst wenn der/die Verfasser aber ein Gerichtsverfahren tatsächlich anstreben sollte/n, ließen sich die erhobenen Forderungen gerichtsfest mit dem Vorwurf des Rechtsmissbrauchs (§242 BGB) abwehren, weil aufgrund der belegbaren Masseneintreibung eindeutig bewiesen werden kann, dass es vorliegend nicht um Herstellung rechtskonformer Zustände, sondern um das nicht schutzwürdige Ziel der persönlichen Bereicherung geht.
Den originären Artikel finden Sie natürlich auch auf Seiten der IT Recht Kanzlei München.