LG München zur Einbindung von Google Fonts ohne Einwilligung

Wer auf einer Webseite ohne Einwilligung der Nutzer Google Fonts einsetzt, verletzt deren Persönlichkeitsrecht. Das hat das Landgericht München entschieden (LG München, Urteil v. 20.01.2022, Az. 3 O 17493/20).

Google Fonts sind Schriftarten des Anbieters Google, die auf vielen Webseiten eingesetzt werden. Anders als anderer Schriftarten, die auf dem Computer abgelegt sind, ziehen Google Fonts das Anzuzeigende aus dem Internet – und zwar von einem Google-Server. Dabei wird in der Regel auch die IP-Adresse des Webseitenbesuchers an Google übertragen. Deshalb muss sich bei einem Besuch einer Webseite, die Google Fonts verwendet, die Einwilligung des Webseitenbesuchers zur Datenverarbeitung auch auf die Google Fonts erstrecken. Viele Datenschutzerklärungen von Webseiten enthalten aus diesem Grund einen eigenständigen Abschnitt zu Google Fonts.

In einem Rechtsstreit, den das Landgericht München nun zu entscheiden hatte, wehrte sich der Kläger dagegen, dass die Beklagte seine IP-Adresse Google gegenüber offenlegt, wenn er die von der Beklagten benutzte Internetseite, die Google Fonts einsetzt, besucht. Das LG München verurteilte die Beklagte, dies bei Meidung eines Ordnungsgelds in Höhe von bis zu 250.000 Euro zu unterlassen. Zudem verurteilte das LG München die Beklagte, dem Kläger Auskunft zu erteilen, ob dessen personenbezogene Daten verarbeitet werden und, sofern geschehen, dem Beklagten, Auskunft zu erteilen, welche personenbezogenen Daten überhaupt über ihn gespeichert werden.

Weitergabe der IP-Adresse ohne Einwilligung verletzt Persönlichkeitsrecht

Das LG München entschied: Die unerlaubte Weitergabe der dynamischen IP-Adresse des Klägers durch die Beklagte an Google stelle eine Verletzung des allgemeinen Persönlichkeitsrechtes dar. Das Recht des Beklagten auf informationelle Selbstbestimmung nach § 823 Abs. 1 BGB sei berührt. Der Kläger habe nämlich dem Eingriff nicht gemäß § 13 Abs. 2 Telemediengesetz (TMG) a.F., Art. 6 Abs. 1 lit. a der Datenschutz-Grundverordnung (DS-GVO) eingewilligt.

IP-Adresse ist ein personenbezogenes Datum

Die weitergegeben IP-Adresse sei ein personenbezogenes Datum im Sinne von § 12 Abs. 1 und 2 TMG (in der zum Zeitpunkt der Weitergabe geltenden Fassung), § 3 Abs. 1 Bundesdatenschutzgesetz und Art. 4 Nr. 1 DS-GVO. Denn der Webseitenbetreiber verfüge abstrakt über rechtliche Mittel, die eingesetzt werden könnten, um mithilfe Dritter, und zwar der zuständigen Behörde und des Internetanbieters, die betreffende Person anhand der gespeicherten IP-Adressen zu bestimmen (BGH, Urteil v. 16.05.2017, Az. VI ZR 135/13). Dabei reiche die bloße Möglichkeit aus. Darauf, ob Google die konkrete Möglichkeit habe, die IP-Adresse mit dem Kläger zu verknüpfen, komme es dagegen nicht an.

Nutzung von Google Fonts ohne Datenübermittlung an Google möglich

Die Beklagte hatte vorgetragen, es liege ein Rechtfertigungsgrund vor; sie habe ein berechtigtes Interesse i. S. v. Art. 6 Abs. 1 lit. f DS-GVO, die IP-Adresse des Klägers zu nutzen. Das Gericht verneinte dies. Denn Google Fonts könnten durch die Beklagte auch genutzt werden, ohne dass beim Aufruf der Webseite eine Verbindung zu einem Google-Server hergestellt werde und eine Übertragung der IP-Adresse der Webseitennutzer an Google erfolge.

Wiederholungsgefahr gegeben

Im Übrigen sei er Kläger auch nicht verpflichtet, vor dem Aufrufen der Webseite der Beklagten seine IP-Adresse zu verschlüsseln. Das Gericht bejahte auch eine Wiederholungsgefahr. Diese werde auch nicht dadurch ausgeräumt, dass die Beklagte mittlerweile Google Fonts so benutze, dass eine Kundgabe der IP-Adresse der Webseitenbesucher an Google nicht mehr stattfinde.

Gericht bewertet Datenschutzniveau in den USA

Das LG München sprach dem Beklagten Schadenersatz aus Art. 82 Abs. 1 DS-GVO zu. Ob die Erheblichkeitsschwelle bei dem vorliegenden immateriellen Schaden überschritten sei, könne dahinstehen, so das Landgericht. Der Eingriff in das allgemeine Persönlichkeitsrecht sei nämlich „im Hinblick auf den Kontrollverlust des Klägers über ein personenbezogenes Datum an Google, ein Unternehmen, das bekanntermaßen Daten über seine Nutzer sammelt und das damit vom Kläger empfundene individuelle Unwohlsein so erheblich, dass ein Schadensersatzanspruch gerechtfertigt ist“.

Berücksichtigt werden müsse auch, dass die IP-Adresse an einen Server von Google in den USA übermittelt worden sei und dort „kein angemessenes Datenschutzniveau gewährleistet“ sei (vgl. EuGH, Urteil v. 16.07.2020, Az. C-311/18 – Facebook Ireland und Schrems). Zudem solle eine Haftung aus Art. 82 Abs. 1 DS-GVO präventiv weiteren Verstößen vorbeugen und Anreiz für Sicherungsmaßnahmen schaffen. Deshalb sei die Höhe  Hohe des geltend gemachten Schadensersatzes – 100 Euro – im Hinblick auf die inhaltliche Schwere und Dauer der Rechtsverletzung angemessen.