Website DSGVO-konform: Google Fonts, Cookies und Hosting

Die meisten Datenschutzprobleme auf Websites kleiner Betriebe entstehen nicht durch bösen Willen, sondern durch Technik, die beim Bau einfach mitkam: eine Schrift, die von Google geladen wird, ein eingebettetes Video, eine Karte, ein Statistik-Skript aus dem Baukasten. Jedes dieser Elemente schickt beim Seitenaufruf Daten Ihrer Besucher an Dritte, meist mindestens die IP-Adresse – oft, ohne dass der Betreiber davon weiß.

Dieser Artikel zeigt die häufigsten Stellen, wie Sie selbst prüfen, was Ihre Website nach außen sendet, und wie sich die Probleme technisch lösen lassen. Er ersetzt keine Rechtsberatung: Ob Ihre Website im Einzelfall den Anforderungen genügt und was in Ihre Datenschutzerklärung gehört, klären Sie mit einem Anwalt oder Datenschutzbeauftragten.

Google Fonts: der bekannteste Fall

Viele Websites laden ihre Schriften direkt von den Servern von Google. Dabei baut der Browser jedes Besuchers eine Verbindung zu Google auf und überträgt seine IP-Adresse. Das Landgericht München I hat im Januar 2022 entschieden, dass diese Übertragung ohne Einwilligung gegen die DSGVO verstößt, und dem klagenden Besucher 100 Euro Schadensersatz zugesprochen (Az. 3 O 17493/20). Das ist ein einzelnes Urteil eines Landgerichts, keine höchstrichterliche Entscheidung, und bindet andere Gerichte nicht. Es hat die Praxis trotzdem geprägt: Danach folgte eine Welle von Abmahnschreiben an Website-Betreiber, und lokal eingebundene Schriften gelten seitdem als der sichere Weg.

Die Lösung ist einfach und kostet nichts: Die Schriftdateien werden heruntergeladen und vom eigenen Server ausgeliefert. Die meisten Schriften von Google Fonts stehen unter freien Lizenzen, die das ausdrücklich erlauben. Für Besucher sieht die Website danach genauso aus, nur die Verbindung zu Google entfällt. Nebenbei lädt die Seite oft schneller, weil der Browser keine zusätzliche Verbindung aufbauen muss.

Achtung bei Baukästen und WordPress-Themes: Manche laden Google Fonts weiterhin nach, auch wenn in den Einstellungen eine lokale Schrift gewählt ist, etwa über ein Plugin oder einen eingebetteten Kartendienst. Ob das passiert, zeigt nur eine Prüfung im Browser.

So prüfen Sie Ihre Website selbst

Dafür brauchen Sie nur einen Desktop-Browser wie Chrome, Firefox oder Edge:

• Öffnen Sie Ihre Website in einem privaten Fenster, damit keine früheren Einwilligungen gespeichert sind.
• Öffnen Sie die Entwicklerwerkzeuge mit F12, unter macOS mit Cmd+Option+I, und wechseln Sie zum Reiter „Netzwerk“.
• Laden Sie die Seite neu, ohne im Cookie-Banner etwas anzuklicken.
• Sehen Sie sich die Spalte mit den Domains an. Jede Domain, die nicht Ihre eigene ist, ist ein Kandidat zur Prüfung: Wem gehört sie, welche Daten erhält sie, und gibt es dafür eine Rechtsgrundlage oder einen Auftragsverarbeitungsvertrag?

Typische Kandidaten sind fonts.googleapis.com und fonts.gstatic.com für Schriften, www.google-analytics.com und www.googletagmanager.com für Statistik, www.youtube.com für Videos, maps.googleapis.com für Karten, www.google.com/recaptcha für Spamschutz sowie connect.facebook.net für Facebook-Pixel und Like-Buttons. Jede dieser Verbindungen, die vor einer Einwilligung entsteht, ist ein Punkt, den Sie klären sollten.

Die Prüfung hat Grenzen. Sie zeigt nur, was beim ersten Laden der Seite passiert. Dienste, die erst nach einem Klick, beim Scrollen oder nach einer Einwilligung nachgeladen werden, sehen Sie nur, wenn Sie diese Schritte ebenfalls durchspielen und dabei den Netzwerk-Reiter offen lassen. Und was Ihr Server selbst an Dritte weitergibt, etwa bei serverseitigem Tracking oder einem Formular, das Daten an einen externen Dienst schickt, taucht im Browser überhaupt nicht auf. Dafür hilft nur ein Blick in die Konfiguration oder die Frage an den, der die Website betreut.

Cookies und Einwilligung

Seit 2021 regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 TTDSG), dass Informationen auf dem Gerät eines Besuchers nur mit dessen Einwilligung gespeichert oder ausgelesen werden dürfen. Ausgenommen ist, was für den gewünschten Dienst unbedingt erforderlich ist, etwa ein Warenkorb oder ein Login. Das betrifft nicht nur Cookies, sondern auch vergleichbare Techniken wie den lokalen Speicher des Browsers.

Für ein Cookie-Banner heißt das in der Praxis:

• Vor der Einwilligung werden keine Statistik-, Marketing- oder Drittanbieter-Skripte geladen. Ein Banner, das nur informiert, während im Hintergrund schon Google Analytics läuft, hilft nicht.
• Vorangekreuzte Kästchen sind keine wirksame Einwilligung. Das hat der Europäische Gerichtshof 2019 entschieden (Planet49).
• Ablehnen muss so einfach sein wie Zustimmen. Die Datenschutzbehörden beanstanden Banner, bei denen „Alle akzeptieren“ ein Klick ist und „Ablehnen“ erst in Unterseiten versteckt liegt.
• Die Einwilligung muss sich später widerrufen lassen, etwa über einen Link in der Fußzeile.

Der einfachste Weg ist allerdings ein anderer: eine Website, die gar keine einwilligungspflichtigen Dienste nutzt, braucht auch kein Cookie-Banner. Für viele kleine Betriebe ist das realistisch – Schriften lokal, keine Werbe-Pixel, Videos und Karten erst nach Klick.

Videos, Karten und Spamschutz

YouTube und andere Videos

Ein eingebettetes YouTube-Video stellt beim Laden der Seite eine Verbindung zu Google her, auch im sogenannten erweiterten Datenschutzmodus über youtube-nocookie.com. Datensparsamer ist eine Zwei-Klick-Lösung: Zunächst wird nur ein Vorschaubild vom eigenen Server gezeigt, das Video lädt erst, wenn der Besucher es ausdrücklich startet. Alternativ wird das Video direkt auf dem eigenen Server gehostet.

Google Maps

Für eine Anfahrtsbeschreibung genügt oft ein statisches Kartenbild mit einem Link zu Google Maps oder OpenStreetMap. Wer eine interaktive Karte einbetten will, lädt sie ebenfalls erst nach einem Klick.

reCAPTCHA und Kontaktformulare

Googles reCAPTCHA analysiert das Verhalten der Besucher und überträgt dafür Daten an Google. Für ein Kontaktformular reichen meist einfachere Mittel: ein unsichtbares Feld, das nur Bots ausfüllen, eine Zeitprüfung oder eine Begrenzung der Anfragen pro Absender. Das Formular selbst fragt nur ab, was für die Antwort nötig ist, und überträgt verschlüsselt per HTTPS.

Statistik ohne Google Analytics

Google Analytics ist einwilligungspflichtig und überträgt Daten an Google. Wer wissen will, wie viele Besucher kommen und welche Seiten sie aufrufen, hat Alternativen: datensparsame Statistik-Werkzeuge wie Matomo, Plausible oder Umami, die auf einem eigenen Server oder bei einem Anbieter in der EU laufen. Datensparsam heißt aber nicht automatisch einwilligungsfrei: Die Datenschutzaufsicht, etwa der Bundesbeauftragte für den Datenschutz (BfDI), geht davon aus, dass auch für solche Werkzeuge grundsätzlich eine Einwilligung nötig ist, sobald Informationen auf dem Gerät des Besuchers gespeichert oder ausgelesen werden. Ausnahmen werden nur eng anerkannt. Eine Statistik ohne Banner sollten Sie deshalb nicht voraussetzen, sondern im Einzelfall prüfen lassen.

Für Suchanfragen genügt oft schon die Google Search Console. Sie zeigt, bei welchen Suchbegriffen Ihre Seite erscheint und wie oft sie angeklickt wird, und kommt ganz ohne Skript auf der Website aus.

Hosting und Auftragsverarbeitung

Auch ohne Drittanbieter verarbeitet Ihre Website personenbezogene Daten: Der Server sieht die IP-Adresse jedes Besuchers und schreibt sie meist in ein Protokoll. Das ist zulässig, wenn es für Betrieb und Sicherheit nötig ist und die Protokolle nach kurzer Zeit gelöscht werden. Es gehört aber in die Datenschutzerklärung.

Mit Ihrem Hoster brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Seriöse Anbieter stellen ihn als Standarddokument bereit, oft direkt im Kundenbereich zum Abschließen. Steht der Server außerhalb der EU, kommt die Frage der Datenübermittlung in Drittländer hinzu. Für die USA gilt seit Juli 2023 das EU-US Data Privacy Framework. Das Gericht der Europäischen Union hat eine Klage dagegen im September 2025 abgewiesen, die Berufung beim Europäischen Gerichtshof ist anhängig. Ob das Abkommen dauerhaft Bestand hat, ist damit offen – seine beiden Vorgänger hat der Gerichtshof gekippt. Ein Server in Deutschland oder der EU umgeht diese Frage.

Impressum und Datenschutzerklärung

Geschäftliche Websites brauchen ein Impressum nach § 5 Digitale-Dienste-Gesetz (DDG) und eine Datenschutzerklärung nach Art. 13 DSGVO. Beide müssen von jeder Seite aus mit einem Klick erreichbar sein, üblich ist ein Link in der Fußzeile.

Die Datenschutzerklärung muss zu dem passen, was die Website tatsächlich tut. Ein Generator-Text, der Google Analytics erwähnt, obwohl es nicht läuft, ist ebenso ungenau wie einer, der ein eingebettetes Video verschweigt. Deshalb lohnt sich die Reihenfolge: erst prüfen, was die Website nach außen sendet, dann die Texte von einem Anwalt oder mit einem seriösen Generator erstellen lassen.

Kurz zusammengefasst

• Schriften vom eigenen Server ausliefern, nicht von Google.
• Mit den Entwicklerwerkzeugen des Browsers prüfen, welche Verbindungen zu Dritten entstehen.
• Einwilligungspflichtige Dienste erst nach Zustimmung laden, Ablehnen so einfach wie Zustimmen.
• Videos und Karten per Klick nachladen, reCAPTCHA durch einfachere Mittel ersetzen.
• Hosting in der EU mit Auftragsverarbeitungsvertrag.
• Impressum und Datenschutzerklärung passend zur tatsächlichen Technik.

Wie Nebraxa Websites baut und was dabei von Anfang an eingeplant ist, steht unter Webentwicklung.