Unbetitelt

In den letzten Wochen haben uns diverse Nachrichten zu Abmahnungen bezüglich Google Fonts erreicht. Hier zu ein paar Hintergründe.

Wie funktioniert Google-Fonts?

Damit eine Webseite Schriftarten anzeigen kann, die nicht auf dem Gerät des Nutzers installiert sind, muss die Webseite diese Schriftarten zur Verfügung stellen. Die Schriftarten-Dateien sind im Verhältnis zu anderen Dateien einer Webseite recht große Dateien. Deshalb hat es sich international eingebürgert, diese von einem externen Punkt, einem sogenannten Content Delivery Framework direkt herunterzuladen, wenn der Benutzer die Seite aufruft. Die Schriftart kommt also nicht vom eigenen Server, sondern z.B. vom Google-Server. Davon verspricht sich der Webdesigner Vorteile bei der Performance und der Entlastung des eigenen Servers. Leider ist dieses Vorgehen aus Sicht der Datenschutzbehörden in der EU problematisch, da dabei die IP Adresse des Nutzers an die Google-Server übertragen wird. Zu dem ist davon auszugehen, dass die Daten damit auch in die USA übertragen werden. Außerdem wird Google diese Daten vermutlich auswerten und weiterverwenden. Dieses Vorgehensweise bedarf aber der Einwilligung des Webseite-Besuchers. Websitebetreiber, die Google Fonts nicht zumindest in der Datenschutzerklärung erwähnen und bis zur Einwilligung durch einen sogenannten Cookie-Banner die Nutzung blockieren, handeln damit nach der Auffassung der Datenschutzbehörden nicht im Sinne der DSGVO.

Google-Fonts besser lokal hosten?

Möglichweise reicht es auch nicht aus, die Google-Fonts Aufrufe hinter der Einwilligung zu verstecken. Es besteht bei den meisten Schriftarten die Möglichkeit, diese hinunterzuladen und kostenfrei lokal zu hosten. Ob das möglich ist, kann in den Lizenzbedingungen der Schriftart nachgesehen werden. Ist diese Lizenz dem Open-Source Bereich zuzuordnen, so ist eine lokale Einbindung in der Regel unter bestimmten Bedingungen erlaubt. Wäre dieses der Fall, könnte die lokale Einbindung als milderes Mittel im Sinne der Datensparsamkeit verstanden werden und wäre einer Einbindung über Google vorzuziehen.

Abmahnung erhalten?

Ihren Einzelfall kann nur ein Anwalt bewerten, ob eine Abmahnung rechtmäßig ist. Aber viele Anwälte, mit denen ich gesprochen habe, hatten zumindest große Zweifel an der Rechtmäßigkeit der Abmahnung aus Abmahnwellen. Beachten Sie hier, dass einige Schreiben auch Auskunftsrechte nach der DSGVO geltend machen. Diese Betroffenenrechte müssen Sie in jedem Fall beantworten. Am besten ziehen Sie hier Ihren Datenschutzbeauftragten zur Rate.

Wie kann ich meine Seite besser vor Abmahnungen schützen?

Kann man US-Dienste DSGVO konform nutzen?

In der Praxis haben Verantwortliche häufig das Problem, dass Sie über die Nutzung von Diensten aus Drittländern entscheiden müssen. In der westlichen IT-Welt wird das Drittländerranking nach wie vor von Dienstleistungen und Firmen aus den USA dominiert.

Daher ist die Frage spannend, in welcher Form eine Nutzung dieser Dienste für Unternehmen möglich ist und inwieweit das DSGVO konform vorbereitet und dokumentiert werden kann.

Auftragsverarbeitung als Regelfall?

In der Regel ist davon auszugehen, dass diese Dienste als Auftragsverarbeiter für den Verantwortlichen arbeiten, z.B. Mailchimp versendet Newsletter im Auftrag, Microsoft Office 365 speichert Dateien in der OneDrive-Dateiablage im Auftrag. Grundsätzlich gilt, dass die Nutzung von US-Diensten, bei dem der Vertragspartner des Verantwortlichen als Auftragsverarbeiter direkt in den USA sitzt, eine Datenübertragung in die USA darstellt und dafür eine entsprechende Rechtsgrundlage gegeben sein muss. Etwas komplizierter stellt sich der Fall dar, wenn der Vertrag mit einer europäischen Konzerntochter eines Unternehmens mit Hauptsitz in den USA geschlossen wurde, daher hier der Verantwortliche nicht selbst personenbezogene Daten in die USA überträgt, aber die Übertragung dorthin und ggf. auch den Zugriff von US-Behörden nicht ausschließen kann.

Welche Rechtsgrundlage könnte gelten?

Seit der EuGH das „Privacy Shield“ für ungültig erklärt hat, sind Standardvertragsklauseln eine gängige Praxis, eine Rechtsgrundlage für den Austausch zu erlangen. Hierbei ist aber zu beachten, dass die Version von 2010 nur noch bis Ende des Jahres 2022 verwendet und danach Verträge auf den Klauseln der Version von 2021 basieren sollten. In der Fachwelt wird zu dem diskutiert, ob die neuen Standardvertragsklausen überhaupt den Anforderungen des EuGH entsprechen. Eine abschließende generelle Beurteilung gibt es nicht und dürfte auch nur im Einzelfall möglich sein. Die EU und USA planen einen Nachfolger zum Privacy Shield. Hierzu hat der US-Präsident Joe Biden bereits eine Executivorder unterschrieben, die das Thema aus US-Sicht vorantreiben und die Situation für Europäer verbessern soll. Von EU-Seite ist das Verfahren aber noch nicht abgeschlossen und wie der EuGH die Situation im Falle einer neuerlichen Klage beurteilen würde, ist noch völlig offen.

Weiterhin ist es denkbar, dass ein informierter Betroffener in die Übertragung freiwillig einwilligen kann. Hierzu gelten die üblichen Bedingungen für eine wirksame Einwilligung, die mitunter nicht einfach zu erreichen sind.

Was kann ich konkret tun?

Wichtig ist, dass jeder vom Verantwortlichen genutzte US-Dienst analysiert und das Ergebnis dokumentiert wird. Hierzu kann eine Risikoanalyse, wie sie auch Rahmen der Notwendigkeitsprüfung der Datenschutz-Folgenabschätzung im Sinne Artikel 36 der DSGVO stattfinden, ein geeignetes Mittel sein. Bei entsprechend hohem oder sehr hohem Risiko für die Rechte und Freiheiten einer natürlichen Person wäre zusätzlich die Datenschutz-Folgenabschätzung selbst erforderlich.