Google Fonts DSGVO: Schriften lokal einbinden

Die kurze Antwort

Google Fonts selbst ist nicht verboten. Problematisch ist nur die Art der Einbindung. Lädt Ihre Website die Schriften von fonts.googleapis.com und fonts.gstatic.com, übermittelt der Browser jedes Besuchers dessen IP-Adresse an Google. Das Landgericht München I hat das am 20. Januar 2022 als Verstoß gegen die DSGVO bewertet und einem Besucher 100 € Schadensersatz zugesprochen.

Die sichere Lösung ist einfach: Laden Sie die Schriftdateien herunter und liefern Sie sie von Ihrem eigenen Server aus. Dann erfährt Google nichts von Ihren Besuchern, Sie brauchen dafür keine Einwilligung, und die Seite lädt meist sogar schneller.

Was technisch passiert, wenn Schriften von Google laden

Die übliche Einbindung besteht aus einer Zeile im <head>, die ein Stylesheet von fonts.googleapis.com lädt. Dieses Stylesheet verweist wiederum auf die eigentlichen Schriftdateien auf fonts.gstatic.com. Beides ruft der Browser des Besuchers direkt bei Google ab, sobald die Seite lädt, also vor jeder Interaktion.

Laut der FAQ von Google Fonts enthalten diese Anfragen drei Dinge: die IP-Adresse des Besuchers, die angefragte URL und die HTTP-Header, darunter den User-Agent mit Browser und Betriebssystem sowie den Referer, also die Seite, auf der die Schrift eingebunden ist. Google erklärt, diese Daten nicht für Nutzerprofile oder gezielte Werbung zu verwenden. Cookies setzt die Google Fonts API nach Googles Angaben nicht.

Für die DSGVO ist das aber nicht entscheidend. Die IP-Adresse ist ein personenbezogenes Datum, und sie geht an ein Unternehmen, dessen Muttergesellschaft in den USA sitzt. Ein Cookie ist dafür nicht nötig.

	Von Google geladen	Lokal gehostet
Wer bekommt die Anfrage?	Google, über fonts.googleapis.com und fonts.gstatic.com	Nur Ihr eigener Server
Welche Daten gehen raus?	IP-Adresse, URL, User-Agent, Referer	Keine an Dritte
Einwilligung nötig?	Nach dem Urteil des LG München I im Zweifel ja	Nein
Aufwand	1 Zeile HTML	Einmalig 15 bis 30 Minuten

Die Schriftart ist in beiden Fällen dieselbe. Der Unterschied liegt allein darin, woher der Browser die Dateien holt.

Das Urteil des LG München I vom 20. Januar 2022

Auslöser der Debatte war ein Urteil des Landgerichts München I (Az. 3 O 17493/20). Ein Besucher hatte gegen einen Websitebetreiber geklagt, der Google Fonts dynamisch von Google-Servern lud, ohne eine Einwilligung einzuholen. Das Gericht gab dem Kläger in drei Punkten recht.

Unterlassung: Der Betreiber darf die IP-Adresse des Klägers beim Besuch der Website nicht mehr an Google weitergeben.
Auskunft: Er muss mitteilen, welche Daten er über den Kläger verarbeitet hat.
Schadensersatz: 100 € nach Artikel 82 DSGVO.

Die Begründung ist für jeden Websitebetreiber lehrreich. Das Gericht wertete die dynamische IP-Adresse als personenbezogenes Datum, weil der Betreiber abstrakt über rechtliche Mittel verfügt, den Besucher zu identifizieren. Ein berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO verneinte es, weil Google Fonts auch genutzt werden kann, ohne dass eine Verbindung zu Google aufgebaut wird. Den Schaden sah das Gericht im Kontrollverlust über die eigenen Daten, die an ein Unternehmen in den USA gingen, einem Land ohne angemessenes Datenschutzniveau zum damaligen Zeitpunkt.

Die Abmahnwelle 2022 und was danach geschah

In der zweiten Jahreshälfte 2022 erhielten tausende Websitebetreiber Schreiben mit Verweis auf das Münchner Urteil. Die Forderung lag meist bei 170 €, gegen Zahlung wurde auf eine Klage verzichtet. Viele Betreiber zahlten aus Sorge vor einem Prozess.

Am 21. Dezember 2022 ließ die Generalstaatsanwaltschaft Berlin Räume in Berlin, Hannover, Ratzeburg und Baden-Baden durchsuchen. Beschuldigt waren ein Berliner Rechtsanwalt und sein Mandant. Der Vorwurf: versuchter und vollendeter Abmahnbetrug und Erpressung in mindestens 2.418 Fällen. Laut Pressemitteilung hatten die beiden mit eigener Software Websites mit Google Fonts gesucht und dann automatisiert aufgerufen, um Besuche vorzutäuschen. Rund 2.000 Betreiber hatten gezahlt, 420 erstatteten Anzeige. Die Behörden erwirkten Vermögensarreste über 346.000 €. Wie das Strafverfahren ausgegangen ist, konnten wir nicht aus einer Primärquelle belegen.

Auch die Zivilgerichte zogen eine Grenze. Das Landgericht München I entschied am 30. März 2023 (Az. 4 O 13063/22), dass solche Massenforderungen rechtsmissbräuchlich sind. Wer eine Website nur per Crawler aufruft, um einen Verstoß zu provozieren und daraus Geld zu machen, erleidet keinen Kontrollverlust und verdient keinen Schutz. Das ändert aber nichts an der Grundaussage von 2022: Echte Besucher können sich weiterhin auf das erste Urteil berufen.

Rechtsgrundlage: Einwilligung, berechtigtes Interesse und die USA

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Artikel 6 DSGVO. Für Google Fonts kommen zwei in Frage.

Einwilligung, Artikel 6 Absatz 1 Buchstabe a: rechtlich sauber, praktisch unhandlich. Bis zur Einwilligung müsste Ihre Seite mit einer Ersatzschrift laden, und wer ablehnt, sieht Ihre Website dauerhaft in einer anderen Schrift.
Berechtigtes Interesse, Artikel 6 Absatz 1 Buchstabe f: hat das LG München I ausdrücklich verneint, weil es mit dem lokalen Hosting ein milderes Mittel gibt. Einheitliche Darstellung und Ladezeit tragen die Weitergabe also nicht.

Dazu kommt die Frage der Übermittlung in ein Drittland nach Kapitel V DSGVO. Hier hat sich seit dem Urteil etwas geändert. Am 10. Juli 2023 hat die EU-Kommission den Angemessenheitsbeschluss zum EU-US Data Privacy Framework erlassen, den Durchführungsbeschluss (EU) 2023/1795. Seitdem gelten Übermittlungen an zertifizierte US-Unternehmen als angemessen geschützt. Google LLC ist nach eigenen Angaben unter dem Data Privacy Framework zertifiziert. Das Gericht der EU hat die Klage gegen den Beschluss am 3. September 2025 abgewiesen (Rechtssache T-553/23). Der Kläger hat Rechtsmittel eingelegt, das Verfahren ist beim Gerichtshof der EU unter C-703/25 P anhängig.

Warum dann trotzdem lokal hosten? Aus drei Gründen. Erstens löst das Data Privacy Framework nur die Drittlandfrage, nicht die Frage nach der Rechtsgrundlage. Das Argument des Gerichts, dass es ein milderes Mittel gibt, gilt unverändert. Zweitens kann der Angemessenheitsbeschluss wieder fallen, wie seine Vorgänger Safe Harbor 2015 und Privacy Shield 2020. Drittens kostet das lokale Hosting einmalig wenig Zeit und beseitigt das Thema vollständig.

Nein, jedenfalls nicht als Lösung. Für Cookies und andere Zugriffe auf das Endgerät gilt in Deutschland § 25 TDDDG. Google Fonts setzt aber keine Cookies und liest nichts aus dem Gerät aus, um Besucher wiederzuerkennen. Im Mittelpunkt steht deshalb nicht § 25 TDDDG, sondern die DSGVO: die Übermittlung der IP-Adresse an Google.

Ein Banner könnte diese Übermittlung zwar hinter eine Einwilligung stellen. Das ist aber der falsche Hebel. Sie bitten Besucher um Erlaubnis für etwas, das Sie gar nicht brauchen, das Banner selbst erscheint in der Ersatzschrift, und jede Ablehnung verändert Ihr Design. Lokal gehostete Schriften übermitteln nichts an Dritte und gehören deshalb gar nicht ins Banner. Ein Consent-Banner brauchen Sie für Analytics, Werbepixel und Einbettungen. Für Schriften nicht.

Google Fonts lokal einbinden: Schritt für Schritt

Die Schriften bei Google Fonts stehen unter offenen Lizenzen, meist der SIL Open Font License. Sie dürfen die Dateien herunterladen und selbst ausliefern. Der Weg hängt davon ab, womit Ihre Website gebaut ist.

WordPress

Block-Themes ab WordPress 6.5: Die eingebaute Schriftbibliothek unter Design, Editor, Stile, Typografie kann Google Fonts installieren. Laut WordPress-Core-Team lädt sie die Dateien dabei auf Ihren eigenen Server herunter, gerade damit die Website DSGVO-konform bleibt.
Elementor: Die Einstellung „Load Google Fonts Locally“ lädt die verwendeten Schriften auf Ihren Server und schreibt das CSS entsprechend um.
Klassische Themes: Viele Themes haben eine Option wie „Google Fonts lokal laden“ oder „Google Fonts deaktivieren“. Fehlt sie, hilft ein Plugin, das die Schriften herunterlädt und die Einbindung ersetzt. Prüfen Sie danach unbedingt mit den Entwicklertools, ob wirklich keine Anfrage mehr an Google geht.

HTML und CSS

Laden Sie die Schrift im Format WOFF2 herunter, nur in den Schnitten, die Sie wirklich nutzen. Ein Werkzeug wie der google-webfonts-helper liefert WOFF2-Dateien samt fertigem CSS.
Legen Sie die Dateien in einen Ordner wie /fonts/ auf Ihrem Server.
Entfernen Sie alle <link>-Zeilen und @import-Regeln, die auf fonts.googleapis.com oder fonts.gstatic.com zeigen, auch die preconnect-Hinweise.
Binden Sie die Schrift mit @font-face ein.

CSS

@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url("/fonts/inter-400.woff2") format("woff2");
}
@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 700;
  font-display: swap;
  src: url("/fonts/inter-700.woff2") format("woff2");
}
body {
  font-family: "Inter", system-ui, sans-serif;
}

Mit font-display: swap zeigt der Browser sofort eine Systemschrift und tauscht sie aus, sobald die Datei geladen ist. Mehr zu Schriften und Ladezeiten steht in unserem Beitrag zu Cookie-Bannern und Core Web Vitals.

Next.js

In Next.js ist das lokale Hosting eingebaut. Wenn Sie eine Schrift aus next/font/google importieren, lädt Next.js CSS und Schriftdateien beim Build herunter und liefert sie mit Ihren übrigen statischen Dateien aus. Laut Dokumentation sendet der Browser dann keine Anfragen an Google.

app/layout.tsx

import { Inter } from "next/font/google";

const inter = Inter({ subsets: ["latin"], display: "swap" });

export default function RootLayout({ children }: { children: React.ReactNode }) {
  return (
    <html lang="de" className={inter.className}>
      <body>{children}</body>
    </html>
  );
}

Achten Sie darauf, dass nirgends zusätzlich ein <link> auf fonts.googleapis.com steht, etwa aus einer alten Vorlage oder in einer globalen CSS-Datei. Weitere Details stehen auf unserer Seite zur Cookie-Einwilligung in Next.js.

Lovable, Bolt und v0

KI-Builder übernehmen Google Fonts oft über einen Link in der index.html oder einen @import im CSS. Geben Sie deshalb einen klaren Auftrag. Für Vite-Projekte wie in Lovable und Bolt eignet sich ein Prompt wie dieser:

Prompt

Entferne alle Verweise auf fonts.googleapis.com und fonts.gstatic.com
aus index.html und allen CSS-Dateien, auch preconnect-Links.
Installiere die benötigten Schriften als npm-Pakete von Fontsource
(zum Beispiel @fontsource/inter) und importiere nur die Schnitte 400 und 700
in main.tsx. Die Website darf danach keine Anfrage an Google-Server senden.

v0 erzeugt in der Regel Next.js-Code. Prüfen Sie dort, ob die Schrift über next/font/google eingebunden ist, und bitten Sie sonst um genau diese Umstellung. Für Lovable-Apps finden Sie weitere Datenschutzpunkte in unserem Beitrag Ist Lovable DSGVO-konform?.

So prüfen Sie Ihre Website

Die Prüfung dauert 2 Minuten.

Öffnen Sie Ihre Website in einem privaten Fenster.
Öffnen Sie die Entwicklertools mit F12 und wechseln Sie zum Tab Netzwerk.
Aktivieren Sie „Cache deaktivieren“ und laden Sie die Seite neu.
Tippen Sie fonts.g in das Filterfeld. Die Liste muss leer bleiben.
Wiederholen Sie das für Unterseiten mit Karten, Formularen oder Videos.

Schneller geht es mit unserem kostenlosen Scan. Er ruft Ihre Startseite auf und listet die Anfragen an Drittanbieter, die dabei entstehen. Google Fonts erscheint dort mit fonts.googleapis.com und fonts.gstatic.com. Die Schriften für Sie lokal einzubinden übernimmt CookieCrumbs nicht; das bleibt eine Änderung an Ihrer Website.

Typische Stolperfallen

Theme und Plugins laden nach. Sie haben die Schrift im Theme lokal eingebunden, aber ein Slider-, Formular- oder Cookie-Plugin lädt weiter eine eigene Schrift von Google. Jedes Plugin kann seine eigene Einbindung mitbringen.
Page-Builder. Baukästen laden oft alle Schriften, die irgendwo im Layout gewählt wurden. Die Option zum lokalen Laden muss dort gesondert aktiviert werden.
Google Maps. Die Maps-JavaScript-API lädt die Schrift Roboto von Google nach, auch wenn Ihre Seite sie gar nicht nutzt. Eine eingebettete Karte ist ohnehin eine Übermittlung an Google und gehört hinter eine Einwilligung.
reCAPTCHA, YouTube und andere Google-Widgets. Sie bauen eigene Verbindungen zu Google auf. Lokale Schriften lösen das nicht, das sind eigene Themen für Banner und Datenschutzerklärung.
Adobe Fonts. Das Problem ist dasselbe: Die Schriften kommen von Adobes Servern, und dabei geht die IP-Adresse an Adobe. Ob Sie eine Adobe-Schrift selbst hosten dürfen, hängt von der Lizenz ab. Prüfen Sie das vor dem Kopieren.
Alte Caches. Nach der Umstellung liefert ein Cache-Plugin oder CDN manchmal noch die alte Version aus. Leeren Sie alle Caches und prüfen Sie erneut.
Datenschutzerklärung. Wenn keine Schrift mehr von Google kommt, streichen Sie den Abschnitt zu Google Fonts oder passen ihn an. Beschreiben Sie nur, was Ihre Website tatsächlich tut.

Checkliste

Alle Schriften der Website erfasst, einschließlich Plugins und Page-Builder.
Schriftdateien im Format WOFF2 auf dem eigenen Server, nur die genutzten Schnitte.
Alle Links, @import-Regeln und preconnect-Hinweise auf Google-Schriftserver entfernt.
Option „Google Fonts lokal laden“ in Theme und Page-Builder aktiviert.
Next.js: Schriften über next/font, keine zusätzlichen Links.
Netzwerk-Tab mit Filter fonts.g auf Start- und Unterseiten leer.
Caches geleert und erneut geprüft.
Google Maps, reCAPTCHA und Videos gesondert bewertet.
Datenschutzerklärung angepasst.

Häufige Fragen

Ist Google Fonts DSGVO-konform?

Das hängt von der Einbindung ab. Lokal gehostet ist Google Fonts unproblematisch, weil keine Daten an Google gehen. Von Google-Servern geladen wird die IP-Adresse jedes Besuchers an Google übermittelt, und das LG München I hat dafür ohne Einwilligung 100 € Schadensersatz zugesprochen.

Setzt Google Fonts Cookies?

Nach Googles Angaben nein. Das Problem ist nicht ein Cookie, sondern die Übermittlung der IP-Adresse, des User-Agents und der aufrufenden Seite an Google.

Reicht das EU-US Data Privacy Framework nicht aus?

Es deckt die Übermittlung in die USA ab, Google LLC ist zertifiziert. Es ersetzt aber keine Rechtsgrundlage nach Artikel 6 DSGVO, und das Gericht hat das berechtigte Interesse verneint, weil lokales Hosting möglich ist. Zudem ist ein Rechtsmittel gegen den Beschluss beim Gerichtshof der EU anhängig.

Muss ich eine Abmahnung wegen Google Fonts bezahlen?

Nicht ungeprüft. Das LG München I hat Massenforderungen, die auf automatisierten Websiteaufrufen beruhen, als rechtsmissbräuchlich eingestuft, und gegen einen Absender wurde strafrechtlich ermittelt. Lassen Sie ein solches Schreiben anwaltlich prüfen und stellen Sie Ihre Website sofort auf lokale Schriften um.

Wie finde ich heraus, ob meine Website Google Fonts extern lädt?

Öffnen Sie die Entwicklertools, Tab Netzwerk, und filtern Sie nach fonts.g. Jede Anfrage an fonts.googleapis.com oder fonts.gstatic.com ist eine externe Einbindung. Unser kostenloser Scan zeigt diese Anfragen ebenfalls.

Lädt next/font/google die Schriften von Google?

Nur beim Build. Next.js lädt CSS und Schriftdateien beim Erstellen der Website herunter und liefert sie von Ihrer eigenen Domain aus. Der Browser Ihrer Besucher fragt laut Dokumentation nicht bei Google an.

Quellen

Geschrieben vom CookieCrumbs-Team, veröffentlicht am 23. September 2026. Dieser Beitrag ist keine Rechtsberatung. Fakten tragen ihr Datum; wenn sich etwas geändert hat, sagen Sie uns Bescheid und wir korrigieren es.

Passend dazu

Cookie-Banner und Core Web VitalsWas Banner und externe Dateien mit der Ladezeit machen
Ist Lovable DSGVO-konform?Was für Ihr Team gilt, und was für Ihre App
Cookie-Einwilligung für Next.jsDie Integrationsseite mit allen Details

nächster Schritt

Sehen Sie, ob Ihre Website noch Schriften von Google lädt

Der kostenlose Scan liest Ihre Startseite und listet die Anfragen an Drittanbieter auf, Google Fonts eingeschlossen. Kein Konto, nichts wird gespeichert.

Kostenlosen Scan starten Kostenlos starten

Google Fonts und DSGVO: warum Sie die Schriften lokal einbinden sollten, und wie