Google Fonts ist der Dienst, bei dem am häufigsten das Erstaunen kommt: „Das ist doch nur eine Schriftart.“ Genau, und trotzdem überträgt sie bei externer Einbindung die IP-Adresse jedes Besuchers an einen Server von Google.
In meinem Scan von 206 Schweizer KMU-Websites fand ich extern eingebundene Google Fonts auf 37% der Seiten. Fast nie standen sie in der Datenschutzerklärung.
Warum das überhaupt Daten sind
Wenn deine Seite eine Schrift von Googles Servern lädt, muss der Browser deiner Besucherin dort eine Anfrage stellen. Bei dieser Anfrage wird zwangsläufig ihre IP-Adresse übermittelt, dazu Angaben zu Browser und Betriebssystem. Das passiert, bevor irgendjemand irgendwas anklicken konnte.
Eine IP-Adresse ist nach Schweizer Recht ein Personendatum. Damit ist es eine Bekanntgabe an einen Dritten im Ausland, auch wenn nur eine Schrift dabei herauskommt.
Was das revDSG verlangt
Das revidierte Schweizer Datenschutzgesetz stellt die Informationspflicht ins Zentrum: Du musst nachvollziehbar sagen, welche Personendaten du bearbeitest, zu welchem Zweck und wer sie sonst noch zu sehen bekommt. Geht ein Dienst ins Ausland, kommt die Auslandbekanntgabe dazu, du musst also auch das Zielland nennen.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework wieder als Land mit angemessenem Datenschutzniveau, allerdings nur für US-Unternehmen, die sich unter diesem Rahmen zertifiziert haben. Für zertifizierte Dienste braucht es keine zusätzlichen Garantien mehr, für nicht zertifizierte weiterhin schon. Die Pflicht, transparent zu informieren, bleibt in beiden Fällen bestehen. Genau die wird am häufigsten übersehen.
Die einfachste Lösung: lokal einbinden
Anders als bei Analytics oder einem Pixel gibt es hier eine saubere Lösung, die dich nichts kostet und nichts einschränkt: du lädst die Schriftdateien herunter und bindest sie von deinem eigenen Server ein.
Danach findet keine Übertragung mehr statt, der Punkt verschwindet aus deiner Datenschutzerklärung, und deine Seite lädt in der Regel sogar schneller. Von allen Datenschutz-Massnahmen ist das die mit dem besten Verhältnis von Aufwand zu Wirkung.
Bei Baukastensystemen ist das nicht immer möglich. Dann bleibt: korrekt deklarieren.
Und wenn ich es nicht ändern kann?
Dann gehört Google Fonts in deine Erklärung, mit Anbieter, Zweck und dem Hinweis auf die Übermittlung in die USA. Das ist kein Drama, es ist eine Zeile. Das Problem ist nie der Dienst selbst, sondern das Schweigen darüber.