Die Schriftarten lassen sich entweder über ein lokales Verzeichnis, das auf dem eigenen Webserver installiert wird, oder online über die Server von Google abrufen. Die meisten Website-Admins nutzen diese schnellere und einfachere Variante.
Der Nachteil, das Urteil
Sobald aber das Verzeichnis über die Google-Server geladen wird, erhält Google die IP-Adresse eines jeden Websitebesuchers, die damit in ein Drittland, in diesem Fall die USA, übermittelt wird. Am 16. Juli 2020 erklärte jedoch der Europäische Gerichtshof (EuGH C-311/18, Schrems II) den „EU-US Privacy Shield“ für ungültig. Das bedeutet, dass seitdem nach der Datenschutzgrundverordnung (DSGVO) eine Übermittlung personenbezogener Daten wie der IP-Adresse in Drittländer unzulässig ist. Eine Übermittlung wäre möglich, wenn der Websitebesucher beispielsweise über ein „Consent-Banner“ auf der Website in die Verarbeitung einwilligt. Werden aber ohne Einwilligung diese Daten an die Google-Server übermittelt, ist das eine unerlaubte Weitergabe der dynamischen IP-Adresse nebst einer Verletzung des allgemeinen Persönlichkeitsrechts (§ 823 Abs. 1 BGB). Das Landgericht München urteilte am 20. Januar 2022 (3 O 17493/20), dass die Weitergabe der IP-Adresse an Google ein Eingriff in das allgemeine Persönlichkeitsrechts ist, weil Google bekanntermaßen Daten über alle Nutzer sammelt, um zum Beispiel gezielt Werbung zu platzieren. Das Gericht sah einen Schadenersatzanspruch (Art. 82 DSGVO) von 100 Euro.
Steilvorlage für eine Abmahnung
Seit Wochen erhalten viele Hausverwaltungen Abmahnungen mit einer Zahlungsaufforderung wegen der Nutzung von Google Fonts auf ihrer Website. Die Absender sind Datenschützern schon gut bekannt: Besonders fleißig sind die RAAG-Kanzlei und Rechtsanwalt Kilian Lenard. Die vertretenen Mandanten sind in der Regel ein Herr Martin Ismail, Herr oder Frau Wang Yu (das wechselt immer wieder) und die IG-Datenschutz, ein Einzelunternehmen, bei dem laut Impressum kurioserweise Martin Ismail der Inhaber ist. Der Besuch auf dessen Website lässt aber wenig von einer „Interessengemeinschaft“ erkennen.
All die Betroffenen haben, so steht es in den Abmahnungen, „Schmerzen“ erlitten, weil beim Besuch der Website ihre Daten an Google übermittelt wurden. Die Websitebetreiber werden aufgefordert, den Ansprüchen von Löschung und Unterlassung nachzukommen und Schmerzensgelder oder Schadenersatz von 100 bis zu 170 Euro zu bezahlen. Steilvorlage dafür ist das oben genannte Urteil des Landgerichts München, auf das man sich im Anschreiben meist bezieht.
Die DSGVO und ein möglicher Rechtsmissbrauch
In der Sache haben die Abmahner sogar recht. Denn die Nutzung der Online-Version von Google Fonts ohne ein entsprechendes Consent-Tool (Cookie-Banner) nebst angegebener Rechtsgrundlage (zum Beispiel Einwilligung oder Interessenabwägung) ist im Sinne der DSGVO ein Datenschutzverstoß. Doch das ganze Vorgehen der oben genannten Rechtsvertreter gleicht eher einer strukturierten und profitorientierten Aktion mit rechtsmissbräuchlichem Charakter. Die Indizien für ein geplantes Absuchen von Websites sprechen eine deutliche Sprache. So hätte beispielsweise Wang Yu an einem Tag rund 100 Websites besucht und festgestellt, dass seine personenbezogenen Daten unberechtigterweise an Google übersendet wurden. Unstimmig ist auch die Gegendarstellung auf der Website der IG-Datenschutz, dessen Startseite darauf hinweist, dass die Betroffenen „echte und lebende Personen“ sind. Seltsam nur, dass es sich immer nur um eine Person handelt, nämlich den Inhaber. Technikspezialisten sind überzeugt, dass Roboter, sogenannte Webcrawler, das Internet automatisch absuchen, die Ergebnisse katalogisieren und dabei zeigen, welche Websites beispielsweise Google Fonts einsetzen. Ob diese Roboter wirklich so zuverlässig sind, ist fraglich. Denn mittlerweile wurden auch Unternehmen angemahnt, die Google Fonts entweder lokal oder gar nicht installiert haben.
Bezahlen oder Rechtsstreit?
Die niedrige Schadenersatzforderung ist strategisch die sinnvollste Vorgehensweise der Abmahner. Betroffene Unternehmen werden sicherlich vor der Frage stehen, ob man nicht besser gleich bezahlt als einen Anwalt zu beauftragen. Denn der verlangt in der Regel mehr Honorar als der verlangte Schadenersatz. Gut vorstellbar also, dass so mancher lieber den Forderungen aus der Abmahnung entspricht.
Was ist zu tun?
Die Website
Zunächst sollte sich jeder Websitebetreiber mit seiner Website gründlich auseinandersetzen. Da hilft entweder der Website-Admin oder ein Datenschutzbeauftragter. Sogenannte Fonts-Checker, kostenlose Tools im Internet, zeigen binnen kürzester Zeit, ob auf der Website Google Fonts in der Online-Version eingesetzt werden. Aus datenschutzrechtlicher Sicht sollten Google Fonts lokal auf dem Webserver installiert werden, damit eine Weiterleitung personenbezogener Daten an Google ausgeschlossen wird.
Die Abmahnung
Grundsätzlich sollte man eine Abmahnung nicht auf die leichte Schulter nehmen. Bei einer Abmahnung durch eine Privatperson dürfte das Problem eher gering sein, bei einer durch eine Rechtsanwaltskanzlei sollte man vorsichtig sein. Deshalb ist die Hinzuziehung eines Rechtsanwalts dringend zu empfehlen, statt die Schadenersatzforderung direkt zu bezahlen.
Die Beweise
In ihren Schreiben verweisen die Abmahner lediglich darauf, bei Bedarf etwaige Beweise jederzeit vorlegen zu können. Warum nicht sofort? Darum: Sollten inzwischen auf der Website beispielsweise Google Fonts lokal installiert sein, hätte der Abmahner relativ wenig Chancen, etwaige Beweise noch nachträglich anzufertigen. Deshalb: Lassen Sie irgendwelche Kopien von Ausdrucken mit irgendwelchen IP-Adressen und Programmiersprachen, die beweisen sollen, dass an einem bestimmten Datum die Website besucht wurde, stets von einem Spezialisten prüfen. Denn wenn ein Protokoll durch einen Roboter erstellt wurde, wird in der Regel zwar bewiesen, dass Google Fonts eingesetzt wurde, jedoch nicht einwandfrei dargelegt, ob es eine Verbindung zu den Google-Servern gab. Spätestens dann, wenn angebliche Zeugen die unrechtmäßige Verarbeitung bestätigen, sollten Sie misstrauisch sein und anwaltlichen Beistand suchen.
Die Verteidigung
Versuchen Sie nicht selbst gegen die Abmahnung vorzugehen. Wer unvorbereitet, unwissend und amateurhaft mit dem Abmahner Kontakt aufnimmt, kann vieles von sich preisgeben und damit der Gegenseite ein gutes Bild übermitteln, über welche Informationen und Argumente Sie verfügen – und welche nicht. Sollte nämlich die Gegenseite ein Profi in Sachen Abmahnung sein, liefern Sie ihm vielleicht wichtige Informationen, die er rechtlich gegen Sie verwenden kann.
Achtung beim Auskunftsersuchen
Besonders Anschreiben der RAAG-Rechtsanwaltskanzlei (RA Digikoros Kairis) enthalten zugleich die Forderung nach Löschung (Art. 17 DSGVO) und Auskunft (Art. 15 DSGVO). Hier muss der DSGVO entsprechend gehandelt werden – besonders beim Auskunftsanspruch. Tatsächlich ist einem Auskunftsersuchen jederzeit zu entsprechen, auch wenn man die Person nicht kennt und auch dann, wenn Google Fonts gar nicht eingesetzt wird und die Abmahnung unbegründet scheint. Nach geltendem Recht muss eine „Negativauskunft“ an den Betroffenen erteilt werden. Dem Betroffenen wird also innerhalb eines Monats mitgeteilt, dass keinerlei personenbezogene Daten verarbeitet wurden. Kommt man diesem Auskunftsverlangen nicht nach, liegt wiederum ein bußgeldbewehrter Datenschutzverstoß vor. Am besten lässt man sich von einem Datenschutzbeauftragten beraten.
Die Aussichten
Diese Abmahnwelle schreit förmlich nach Rechtsmissbräuchlichkeit. Fasst man alle Fakten und Indizien zusammen, entsteht das Bild profitorientierten Handelns. Die in Rede stehenden Abmahn-Rechtsanwälte werden es wohl zunehmend schwerer haben, die Ansprüche ihrer Mandanten durchzusetzen – zu offensichtlich geht es um die Erzielung eines Gewinns. Auch Abmahnungen durch Privatpersonen (Trittbrettfahrer) nehmen zu. Dabei sind die geltenden Datenschutzvorschriften eindeutig: Wer ohne Rechtsgrundlage (Art. 6 Abs. 1 lit. a–f DSGVO) personenbezogene Daten verarbeitet, begeht in der Regel einen Datenschutzverstoß. Beschwerde gegen die Abmahnungen bei den zuständigen Aufsichtsbehörden für Datenschutz einzulegen, kann aber nach hinten losgehen. Denn grundsätzlich sind Datenschutzbehörden für allfällige Schadenersatzklagen nicht zuständig. Im Gegenteil: Die Behörden müssen tätig werden, wenn Datenschutzverstöße vorliegen. Beschwert man sich also bei der Behörde, könnte es gut sein, dass sie genauer hinschaut und beispielsweise einen Datenschutzverstoß erkennt, wenn man die Online-Version von Google Fonts ohne entsprechende Voraussetzungen eingesetzt hat. Also besser keine schlafenden Hunde wecken, sondern die Website umstellen. Zudem sollten Sie sich von einem Datenschutzbeauftragten beraten lassen und sich auf künftige datenschutzrechtliche Angriffe vorbereiten. Denn eines ist sicher: Es werden weitere Abmahnwellen kommen.
Reinhold Okon
dsb-okon.de
Reinhold Okon ist zertifizierter Datenschutzbeauftragter (TÜV Süd) und hat sich seit Jahren auf den Datenschutz in der Haus- und Immobilienverwaltung spezialisiert.