EuGH-Gutachten: Kein Geld für Google-Fonts-Abmahner
Generalanwalt Szpunar hält gezielt provozierte DSGVO-Verstöße für Rechtsmissbrauch: kein Schadensersatz für automatisierte Massenabmahnungen wegen Google Fonts. Die Einbindung über Google-Server wird dadurch aber nicht erlaubt. Was Website-Betreiber jetzt prüfen sollten.
Wer 2022 Post wegen Google Fonts bekam, dürfte die Nachricht gern lesen: Generalanwalt Maciej Szpunar hält Schadensersatz für gezielt provozierte Datenschutzverstöße für ausgeschlossen. Seine Schlussanträge vom 5. November in der Rechtssache C-654/25 sind eine klare Absage an das Geschäftsmodell der Massenabmahnung. Ein Freibrief für die Einbindung über Google-Server sind sie aber nicht.
Der Fall: 170 Euro und mehr als 100.000 Schreiben
Google Fonts lassen sich lokal einbinden oder dynamisch von Google-Servern nachladen. Im zweiten Fall geht die IP-Adresse des Besuchers an Google in den USA. Genau das machte sich ein Mann zunutze: Er ließ einen Webcrawler nach dynamisch eingebundenen Schriften suchen und die Seiten dann automatisiert besuchen, sodass seine eigene IP-Adresse übertragen wurde.
Sein Anwalt schrieb daraufhin mehr als 100.000 Website-Betreiber an, die Betreffzeile nannte eine „Abmahnung“. Gefordert wurden 170 Euro, „um die Sache auf sich beruhen zu lassen“. Ein Betreiber zahlte und klagte das Geld später zurück. Das Amtsgericht Hannover sprach ihm 70 Euro zu, das Landgericht die vollen 170 Euro. Der Bundesgerichtshof legte dem EuGH mit Beschluss vom 28. August 2025 (VI ZR 258/24) drei Fragen vor: Sind dynamische IP-Adressen personenbezogene Daten? Gibt es Schadensersatz, wenn jemand den Verstoß bewusst herbeiführt? Und ist das Rechtsmissbrauch?
Was der Generalanwalt vorschlägt
Beim Schadensersatz fällt die Antwort nach den bisherigen Berichten deutlich aus. Wer DSGVO-Verstöße wissentlich, automatisiert und wiederholt selbst herbeiführt, um daraus Geld zu machen, soll keinen Anspruch auf immateriellen Schadensersatz nach Artikel 82 DSGVO haben. Laut heise argumentiert Szpunar, so jemand erleide weder einen echten Kontrollverlust noch begründete Sorge vor Missbrauch, denn die Daten seien exakt so verwendet worden, wie er es selbst arrangiert habe.
Zusätzlich stuft er solche Ansprüche als rechtsmissbräuchlich ein und zieht Parallelen zu sogenannten Urheberrechtstrollen. Das passt zu früherer Rechtsprechung: Schon 2023 stellte der EuGH im Fall Österreichische Post klar, dass ein Verstoß allein noch keinen Schadensersatz begründet.
Die Einschränkung, die oft untergeht
Für die IP-Adresse gibt es keine Entwarnung. Eine dynamische IP-Adresse ist laut Szpunar dann ein personenbezogenes Datum, wenn der Empfänger über Mittel verfügt, die vernünftigerweise zur Identifizierung eingesetzt werden können, und der Website-Betreiber das wusste oder hätte wissen müssen. Für Betreiber ist das eher ein Prüfmaßstab als ein Schutzschild. Die Einordnung als personenbezogen hat der EuGH schon 2016 im Fall Breyer für möglich gehalten.
Die Beobachtungsstelle Digital Watch fasst die Lage so zusammen:
„Loading Google Fonts in a way that sends a visitor’s IP address to Google may still breach data protection law ...“
Datenschutzbehörden bleiben demnach frei, gegen unzulässige Übermittlungen vorzugehen. Nur der provozierte Massenanspruch verliert seine Grundlage. Ein gezielter Testbesuch mit Abrechnungsabsicht ist eben etwas anderes als ein normaler Website-Besuch. Das Verfahren ändert daher nichts daran, dass Datenflüsse zu Drittanbietern eine Rechtsgrundlage brauchen. Das zeigte zuletzt auch die Strafe gegen Fnac wegen Tracking in der App.
Noch ist nichts entschieden. Schlussanträge binden den Gerichtshof nicht, auch wenn er ihnen häufig folgt. Das gilt ebenso für das Gutachten desselben Generalanwalts zu Chatbots und Verlagsrechten von dieser Woche. Das Urteil steht aus, es wird dann die nationalen Gerichte in vergleichbaren Fällen binden. Die Schlussanträge selbst konnte ich noch nicht im Wortlaut prüfen. Dieser Text stützt sich auf Berichte von heise und Digital Watch sowie die Vorschau des Verfahrens im EU-Terminkalender.
Was das für Ihr Unternehmen heißt
- Schriften lokal einbinden: Das bleibt die saubere Lösung. Bei lokaler Einbindung findet keine Übermittlung an Google statt, und der Umbau ist meist klein.
- Nicht nur die Startseite prüfen: Schriften werden oft von Themes, Plugins, Kartendiensten oder eingebetteten Widgets nachgeladen. Ein Blick in den Netzwerk-Tab des Browsers auf mehreren Unterseiten zeigt, welche fremden Server wirklich angesprochen werden.
- Andere Drittdienste mitdenken: Dieselbe Frage stellt sich bei allem, was der Browser von fremden Servern lädt, etwa CDNs, Videos oder Chat-Widgets. Das ist meine Einordnung, nicht Gegenstand des Verfahrens.
- Eingehende Forderungen nicht ungeprüft zahlen: Wer ein Schreiben dieser Art bekommt, sollte es rechtlich prüfen lassen. Das Gutachten liefert ein Argument, ersetzt aber keine Beratung im Einzelfall.
- Frühere Zahlungen klären: Der Ausgangsfall dreht sich um eine Rückforderung. Ob das bei Ihnen in Betracht kommt, klärt am besten ein Anwalt, zumal das Urteil noch aussteht.
- Prüfung dokumentieren: Halten Sie fest, wann Sie Ihre Seite auf Drittanbieter geprüft haben. Laut Szpunar spielt eine Rolle, was der Betreiber wusste oder wissen musste.
Fazit
Das Gutachten entzieht dem Geschäft mit automatisierten Abmahnungen die Grundlage, sofern der EuGH ihm folgt. Die Pflichten beim Datenschutz bleiben aber unverändert, und mit lokal eingebundenen Schriften erledigt sich das Thema ohnehin. Wenn Sie wissen möchten, welche Daten Ihre Website tatsächlich an Dritte schickt, sprechen Sie mich gern an.
