Schadensersatzforderungen durch Privatpersonen wegen der Einbindung von Google Fonts

UPDATE - 21.12.2022: Erste Hausdurchsuchungen bei involvierten Anwälten - https://www.dury.de/datenschutzrecht-blog/durchsuchungen-nach-abmahnwelle-wegen-google-fonts-nutzung

Derzeit werden in Deutschland zahlreiche Unternehmen angeschrieben, dass auf ihrer Internetseite rechtswidrig Google Fonts eingebunden sei. Die entsprechenden Rechtsanwälte und / oder Privatpersonen fordern in diesem Schreiben einen Schadenersatz bzgl. der Verwendung und stützen sich dabei auf ein Urteil des Landgerichts München vom 20.01.2022 (Az. 3 O 17493/20 – wir berichteten: https://www.dury.de/datenschutzrecht-blog/lg-muenchen-schadensersatz-wegen-einbindung-von-google-fonts).

Welche Möglichkeiten Sie haben und wie Sie auf solche Anschreiben reagieren können, erfahren Sie in diesem Blog-Beitrag.

Wie ist dieses Schreiben rechtlich einzuordnen?

In fast allen Fällen handelt es sich um ein Anschreiben, in dem im Namen einer Privatperson (deren Geschlecht sich teilweise von Brief zu Brief ändert) eine Forderung von Schadenersatz in niedriger dreistelliger Höhe aufgestellt wird .
Zum Teil werden neben dem Schadenersatz weitergehende Ansprüche z. B. auf Auskunft und Löschung der erhobenen personenbezogenen Daten gestellt. Teilweise fordern die Schreiben auch zu einer Unterlassung zukünftiger Handlungen auf.
Neben dem Schadenersatzanspruch werden – in den Fällen, in denen das Schreiben von einem Rechtsanwalt erstellt wird – zum Teil auch die Anwaltskosten gefordert.

Das Schreiben selbst hat oftmals den gleichen Inhalt:

• Anschreiben
• Screenshot des Verstoßes
• Kostenrechnung

Wichtig: Bei dem Schreiben handelt es sich um keine rechtsförmliche Abmahnung, sondern um eine Schadenersatzforderung einer Privatperson.

Worum ging es in dem Urteil des LG München?

In dem Urteil des Landgerichts ging es um eine Website-Betreiberin, die den Dienst Google Fonts auf ihrer Website eingebunden hatte. Der Dienst selbst übersendete ohne vorherige Einwilligung personenbezogene Daten (die IP-Adresse) des klagenden Website-Besuchers an Google. Der Kläger verklagte die Beklagte daraufhin zur Unterlassung der Übermittlung und auf Schadenersatz.

Das Landgericht München bejahte einen Anspruch gegen die Website-Betreiberin auf Unterlassung der Weitergabe von IP-Adressen des Klägers an Google aus § 823 Abs. 1 in Verbindung mit § 1004 BGB analog.

Zudem steht nach Ansicht des Gerichtes dem Kläger ein Schadenersatz in Höhe von 100 Euro gemäß Art. 82 Abs. 1 DSGVO zu.
Der Bundesgerichtshof entschied bereits, dass die IP-Adresse ein personenbezogenes Datum im Sinne des Art. 4 Nr. 1 DSGVO darstellt, „denn der Webseitenbetreiber verfügt abstrakt über rechtliche Mittel, die vernünftigerweise eingesetzt werden können, um mithilfe Dritter, und zwar der zuständigen Behörde und des Internetzugangsanbieters, die betreffende Person anhand der gespeicherten IP-Adresse bestimmen zu lassen“ (Urteil vom 16.05.2017 – Az. VI ZR 135/13). Dabei reicht es aus, dass für die Beklagte die abstrakte Möglichkeit der Bestimmbarkeit der Personen hinter der IP-Adresse besteht. Darauf, ob die Beklagte oder Google die konkrete Möglichkeit hat, die IP-Adresse mit dem Kläger zu verknüpfen, kommt es nicht an.

In dem vorliegenden Fall hatte die Website-Betreiberin für die Weiterleitung der IP-Adresse keine Einwilligung des Website-Besuchers eingeholt. Sie berief sich auf ein berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit. f DSGVO. Ein berechtigtes Interesse verneinte das LG München. Laut dem Gericht könne die Beklagte Google Fonts auch nutzen, ohne eine Verbindung beim Aufruf der Website mit einem Google-Server herzustellen. Somit erfolgt auch keine Übertragung der IP-Adresse des Website-Besuchers.
Die Datenübertragung von IP-Adressen an die Server von Google ohne eine bestehende Rechtsgrundlage (z. B. einer Einwilligung) verletze daher den Website-Besucher in seinem allgemeinen Persönlichkeitsrecht gemäß Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG.
Durch dieses Urteil fühlen sich weitere Privatpersonen motiviert, ähnliche Schreiben an Website-Betreiber, die Google Fonts einbinden, zu versenden, indem sie sich auf das Urteil des LG München berufen.

Was ist das Problem?

Häufig laden Websites Google Fonts direkt beim Seitenbesuch, ohne dass der Website-Betreiber vorher eine Einwilligung bei seinen Website-Besuchern einholt. Eine Einwilligung kann über ein funktionierendes Cookie-Banner generiert werden. Erst wenn der Website-Besucher solch eine Einwilligung abgibt, darf Google Fonts auf der Website laden. Zuvor muss der Website-Betreiber Google Fonts sperren oder lokal hosten. Das gleiche Problem besteht auch bei anderen extern in Websites eingebundene Inhalte von US-Diensten, wie z. B. Google Analytics.

Auch wenn wir weiterhin der Auffassung sind, dass eine Einwilligung in die Übermittlung personenbezogener Daten in die USA rechtlich auf sehr wackeligen Beinen steht [vgl. https://www.dury.de/datenschutzrecht-blog/privacy-shield-eugh] ist diese Vorgehensweise immer noch besser als rechtlich problematische Dienste auf berechtigte Interessen zu stützen.

Idealerweise verwendet ein Website-Betreiber ausschließlich Dienste, die ihre Daten ausschließlich im EWR oder einem Land mit Angemessenheitsbeschluss verarbeiten. Soweit US-Dienstleister zum Einsatz kommen sollten, empfehlen wir – wo möglich – eine lokale Einbindung der Dienste.

Bei Google Fonts ist eine lokale Einbindung möglich (vgl. https://fonts.google.com/knowledge/using_type/self_hosting_web_fonts).
Das Spezialproblem bei Google Fonts ist, dass die Schriftarten zum Teil ohne das „aktive“ Wissen des Website-Betreibers nachgeladen werden. Dies kann z. B. dann der Fall sein, wenn Google Fonts von anderen Plugins und Webdiensten nachgeladen wird. Gerade die Einbindung von Google-Diensten birgt das Risiko, dass auch die Schriftarten vom Google-Server nachgeladen werden. Aber auch andere Plugins, Themes und Templates verwenden oft Google Fonts.

Selbst bei einigen vermeintlich „rechtssicheren“ Cookie-Bannern wird Google Fonts nachgeladen.

Wir empfehlen, Ihre Seite regelmäßig im Hinblick auf den Einsatz von Google-Fonts zu überprüfen. Kunden der Kanzlei und der Website-Check GmbH werden wir im Regelfall noch einmal gesondert auf die Problematik hinweisen.

Wie reagiere ich nun, wenn ich ein solches Schreiben erhalten habe?

Es bestehen mehrere Möglichkeiten, wie Website-Betreiber auf solche Forderungen reagieren können. Am wichtigsten ist im ersten Schritt, die bestehenden Probleme bzgl. Google Fonts zu beheben.

Möglichkeit 1: Beauftragung eines Rechtsanwaltes mit einem Zurückweisungsschreiben

Das Vorgehen der Anschreibenden birgt durchaus einige Angriffspunkte, mit denen sich solche Forderungen formell zurückweisen lassen. Deren Relevanz ist jedoch noch nicht gerichtlich geklärt. Bei der mutmaßlichen Anzahl solcher Schreiben, die derzeit wohl versendet werden, steht u. a. auch der Verdacht der Rechtsmissbräuchlichkeit im Raum.

„Munition“ für Gegenargumente liefern die bisherigen Schreiben jedenfalls genug. Ein Anschreiben durch einen Anwalt kostet jedoch Geld. Damit die Angelegenheit ordnungsgemäß bearbeitet werden kann, sind Aufwände von 1 bis 2 Stunden durchaus im Rahmen des Möglichen.

Die Anwaltskosten stehen somit in einem ungünstigen Verhältnis zu der Höhe der geltend gemachten Schadensersatzforderung. Dieser Weg empfehlen wir also nur dann, wenn es Ihnen nicht primär auf die Kosten ankommt und Sie durch anwaltliche Vertretung sicherstellen wollen, keine Fehler zu machen und ggf. der Gegenseite zu zeigen, dass Sie professionell beraten sind.

Möglichkeit 2: Bezahlung der Schadensersatzforderung

Sie können die Schadensersatzforderung auch bezahlen. Die meisten Absender solcher Schreiben geben in ihren Schreiben an, die Sache als erledigt anzusehen, wenn man sie bezahlt. Dennoch besteht auch dann weiterhin die Gefahr, dass der Verfasser zukünftig neue Verstöße feststellt, den Betrag dann erneut einfordert und bei Nichtbezahlung gerichtlich seine angeblichen Ansprüche geltend macht. Zudem handeln Sie dann genau entsprechend der mutmaßlichen Einkommensquelle des Verfassers. Es besteht daher durchaus die Gefahr, dass auch weitere Anspruchsteller solche Ansprüche Ihnen gegenüber geltend machen, die je nach Anzahl durchaus empfindlich werden können.

Möglichkeit 3: Auf das Schreiben nicht reagieren

Sie haben auch die Möglichkeit, auf das Schreiben nicht zu reagieren. Hierbei besteht die Gefahr, dass sich der Verfasser des Schreibens gerichtlich zur Wehr setzt, zumindest orientierend am Urteil des LG München.

Die Wahrscheinlichkeit für dieses Vorgehen können wir nicht abschätzen. Wenn ein Rechtsanwalt auf der Gegenseite involviert ist, ist die Gefahr einer gerichtlichen Geltendmachung grundsätzlich etwas höher einzuschätzen.

Dennoch halten wir in den meisten solcher Fälle die Gefahr einer gerichtlichen Geltendmachung der Ansprüche für eher gering, da es für die Anspruchsteller häufig schlicht lohnenswerter ist, einfach weitere Website-Betreiber anzuschreiben, die ggf. bezahlen, anstatt die Kostenrisiken gerichtlicher Verfahren einzugehen. Dennoch besteht natürlich ein Risiko rechtlicher Schritte durch die Gegenseite. In diesem Fall kann die Gegenseite auch den Unterlassungsanspruch geltend machen, der einen höheren Streitwert und höhere Kostenrisiken als der reine Schadensersatzanspruch hat.

Wie hoch die Gerichte einen solchen Streitwert ansetzen würden, ist noch weitgehend ungeklärt, wir schätzen das Gesamtkostenrisiko eines solchen Streits in der ersten unverbindlichen Einschätzung auf einen niedrigen vierstelligen Betrag. Dieses Kostenrisiko gilt aber naturgemäß auch für die Gegenseite, und zwar in jedem einzelnen Fall, in dem diese solche Fälle gerichtlich geltend macht.

Diese Variante ist daher dennoch insgesamt ein Weg, den viele unserer Mandaten bevorzugen, in Kenntnis des bestehenden Risikos.

Zu dieser Taktik gehört es also, einfach nicht auf die Schadensersatzforderung zu reagieren und abzuwarten, ob die Gegenseite tatsächlich weitere Schritte einleitet. Spätestens, wenn gerichtliche Schritte gegen Sie unternommen werden, sollten Sie sich jedoch anwaltliche Unterstützung einholen.

Was ist mit den weitergehenden Ansprüchen?

Soweit die Gegenseite eine Löschung der Daten und eine Auskunft verlangt, sollten Sie dies mit Ihrem Datenschutzbeauftragten besprechen.
Bei Nichterfüllung insbesondere des Auskunftsanspruches könnte die Gegenseite ggf. die Aufsichtsbehörde hinzuziehen und im Ergebnis könnte diese ggf. ein Bußgeld gegen Ihr Unternehmen verhängen, allein wegen nicht fristgerechter Auskunftserteilung.

Fazit

Für welche Lösung man sich entscheidet, hängt ganz davon ab, welches Risiko Sie eingehen möchten. Die rechtlich sicherste Variante stellt die individuelle anwaltliche Beratung mit Zurückweisungsschreiben dar. Allerdings halten wir auch die Variante „es darauf ankommen zu lassen“ durchaus für einen vertretbaren Lösungsweg.

Auf jeden Fall sollten Sie noch einmal kritisch prüfen (lassen), ob Sie nicht auf einige Webdienste und Plugins verzichten können, um Ihr Risiko zu minimieren. Bei unseren Mandanten und Kunden der Website-Check GmbH (ab dem mittleren Paket) ist ein technischer Prüfbericht beinhaltet, in dem wir auf die rechtlich problematischen Dienste hinweisen.

Soweit Sie weitergehende Beratung benötigen, stehen wir Ihnen gerne zur Verfügung.

Co-Autor: Wissenschaftliche Mitarbeiterin - stud. jur. Natalie De Agazio

Bildquelle: Bild von Fernando Arcos auf Pixabay