Abmahnungen wegen einer Website sind selten und teuer, und genau diese Kombination macht sie zu einem guten Verkaufsargument für Panikmarketing. Ich versuche hier das Gegenteil: nüchtern aufschreiben, was tatsächlich passiert ist, was die Gerichte entschieden haben und welche zwei Nachmittage Arbeit den größten Teil des Risikos abstellen.
Kurz gesagt: Das größte praktische Risiko sind Skripte, Schriften, Karten und Videos, die von fremden Servern geladen werden, bevor der Besucher eingewilligt hat. Das LG München I hat am 20. Januar 2022 unter dem Az. 3 O 17493/20 für dynamisch eingebundene Google Fonts 100 Euro Schadensersatz und einen Unterlassungsanspruch bejaht.
Die Abhilfe ist technisch, nicht juristisch: Schriften lokal ausliefern, Einbettungen erst nach Einwilligung laden, Ablehnen im Banner genauso einfach machen wie Zustimmen, Rechtstexte auf DDG und TDDDG aktualisieren.
Das Urteil, das die Welle ausgelöst hat
Der Fall war unspektakulär. Eine Website band Google Fonts dynamisch ein, also so, dass der Browser jedes Besuchers die Schriftdatei direkt von einem Google-Server holt. Dabei geht zwangsläufig die IP-Adresse an Google. Eine Einwilligung dafür gab es nicht.
Das LG München I stufte die IP-Adresse als personenbezogenes Datum ein, verneinte ein berechtigtes Interesse nach Art. 6 Absatz 1 lit. f DSGVO und sprach dem Kläger 100 Euro Schadensersatz nach Art. 82 DSGVO zu, zusätzlich zum Unterlassungsanspruch. Der Kern der Begründung, der praktisch bleibt: Die Schriften hätten lokal gehostet werden können, es gab also keine Notwendigkeit für die Übermittlung.
Danach kam die Abmahnwelle, und mit ihr die Gegenwehr. Serien-Abmahner, die massenhaft gleichlautende Schreiben verschickten, sind in mehreren Verfahren gescheitert, etwa in einer Entscheidung des AG Berlin-Charlottenburg vom 20. Dezember 2022, Az. 217 C 64/22. Wer heute so ein Schreiben bekommt, hat also durchaus Argumente. Nur ändert das nichts daran, dass der technische Mangel besteht und weiterhin abgestellt werden sollte.
Die Rangliste der realen Risiken
Nach dem, was ich in Audits finde, sortiert nach Häufigkeit mal Wahrscheinlichkeit, dass sich jemand daran stört.
| Problem | Grundlage | Wie oft ich es finde | Aufwand zur Behebung |
|---|---|---|---|
| Fremdskripte laden vor der Einwilligung | § 25 TDDDG, Art. 6 DSGVO | sehr häufig | 1 bis 4 Stunden |
| Schriften dynamisch von Fremdservern | Art. 6, Art. 82 DSGVO | häufig | 1 Stunde |
| Karten und Videos direkt eingebettet | § 25 TDDDG | häufig | 2 bis 4 Stunden |
| Ablehnen schwerer erreichbar als Zustimmen | Art. 4 Nummer 11, Art. 7 DSGVO | häufig | 1 Stunde Konfiguration |
| Veraltete Rechtsgrundlagen im Text | § 5 DDG statt § 5 TMG | sehr häufig | 15 Minuten |
| Fehlende oder versteckte Anbieterkennzeichnung | § 5 DDG | gelegentlich, oft auf Landingpages | 30 Minuten |
| Bilder ohne Nutzungsrecht | UrhG | gelegentlich, dann teuer | je nach Bestand |
| Fehlender AV-Vertrag mit Dienstleistern | Art. 28 DSGVO | sehr häufig | 20 Minuten pro Anbieter |
Die Spalte rechts ist der eigentliche Punkt dieses Artikels. Der Großteil dieser Liste ist ein Tag Arbeit. Die Angst davor ist deutlich größer als der Aufwand dagegen.
Der Test, der Ihnen die Wahrheit zeigt
Sie brauchen kein Werkzeug und keinen Berater, um Ihren Ist-Stand zu sehen:
- Ihre Website in einem privaten Browserfenster öffnen.
- Entwicklerwerkzeuge öffnen, Netzwerk-Tab wählen.
- Seite neu laden und im Cookie-Banner nichts anklicken.
- Die Liste nach Domain sortieren.
Alles, was jetzt zu einer fremden Domain geht, geht ohne Einwilligung dorthin. Typische Funde in dieser Liste: fonts.googleapis.com und fonts.gstatic.com, Karten- und Video-Domains, ein Chat-Anbieter, ein Werbepixel, gelegentlich ein Anbieter, den niemand im Haus kennt, weil er in einem Theme steckt.
Dieselbe Liste brauchen Sie ohnehin für die Datenschutzerklärung, weil dort jeder tatsächlich eingesetzte Dienst vorkommen muss. Zwei Aufgaben, ein Test.
Ein Handwerksbetrieb rief mich an, weil ein Schreiben mit Schadensersatzforderung im Briefkasten lag. Google Fonts, dynamisch eingebunden. Der Betrieb hatte die Website drei Jahre vorher bauen lassen und seither nicht angefasst. Im Netzwerk-Tab standen dann neben den Schriften noch eine eingebettete Karte, ein Video und ein Zähldienst, alle vor der Einwilligung aktiv.
Das Beheben dauerte einen Nachmittag: Schriftdateien herunterladen und lokal einbinden, Karte durch ein Vorschaubild mit Klick-zum-Laden ersetzen, Video auf denselben Mechanismus umstellen, Zähldienst hinter die Einwilligung legen. Der juristische Teil ging zum Anwalt, wo er hingehört. Was mich an dem Fall beschäftigt hat: Niemand hatte etwas falsch gemacht. Der Betrieb hatte nur angenommen, eine Website sei fertig, wenn sie online ist.
Die vier Maßnahmen mit dem besten Verhältnis
1. Schriften lokal ausliefern
Schriftdateien herunterladen, auf den eigenen Server legen, im CSS lokal referenzieren. Das entfernt die Übermittlung vollständig, ist schneller als der Fremdabruf und beseitigt genau den Fall, um den es im Münchner Urteil ging. Achtung bei Baukästen und fertigen Themes: Dort lädt manchmal ein Plugin oder ein Seiten-Editor die Schriften erneut nach, obwohl Sie sie lokal eingebunden haben. Nach der Umstellung noch einmal in den Netzwerk-Tab schauen.
2. Einbettungen erst nach Klick laden
Karten, Videos und Social-Media-Einbettungen ersetzen Sie durch ein Vorschaubild mit einem Hinweis, was beim Klick passiert. Erst der Klick lädt den Fremdinhalt. Das ist rechtlich saubere Einwilligung im Einzelfall und hat den Nebeneffekt, dass Ihre Seite deutlich schneller wird, weil ein eingebettetes Video schnell mehrere hundert Kilobyte JavaScript mitbringt. Warum das direkt Geld kostet, steht in Warum langsame Websites Kunden kosten.
3. Banner sauber konfigurieren
Drei Prüfpunkte: Vor der Einwilligung lädt nichts Einwilligungspflichtiges. Ablehnen liegt auf derselben Ebene wie Zustimmen, gleich sichtbar, gleich erreichbar. Der Widerruf ist jederzeit zugänglich, ohne die Seite zu verlassen. Die Rechtsgrundlage dafür ist § 25 TDDDG, der die Einwilligung vor dem Zugriff auf das Endgerät verlangt.
4. Rechtstexte auf den aktuellen Stand bringen
Seit dem 14. Mai 2024 heißt das TMG DDG und das TTDSG TDDDG. Die Impressumspflicht steht in § 5 DDG. Ein Verweis auf § 5 TMG ist kein Weltuntergang, aber er ist ein Signal, und Signale ziehen Post an. Fünfzehn Minuten.
Was Sie tun, wenn der Brief schon da ist
- Nicht unterschreiben, nicht zahlen, nicht ignorieren. Alle drei Reflexe sind falsch. Fristen im Schreiben notieren.
- Zustand dokumentieren. Screenshots, Netzwerk-Tab als HAR-Datei exportieren, Datum festhalten. Wer später beheben will, sollte belegen können, was vorher war.
- Mangel abstellen. Unabhängig von der rechtlichen Bewertung. Ein bestehender Verstoß wird nicht besser dadurch, dass die Abmahnung möglicherweise unzulässig ist.
- Anwalt einschalten. Zur Frage, ob und wie Sie antworten, insbesondere zur Unterlassungserklärung. Eine vorformulierte Erklärung ist fast immer zu weit gefasst.
- Danach den Rest der Liste durchgehen. Wer wegen Schriften angeschrieben wurde, hat meist noch drei andere Themen offen.
Der Zusammenhang, den man leicht übersieht
Fast alles auf dieser Liste hat einen zweiten Effekt. Weniger Fremdanfragen bedeuten kürzere Ladezeiten. Lokale Schriften vermeiden einen zusätzlichen Verbindungsaufbau. Ein Video, das erst nach Klick lädt, verbessert die Core Web Vitals messbar. Datenschutz-Aufräumen und Performance-Aufräumen sind zu großen Teilen dieselbe Arbeit, was ich für einen der wenigen fairen Deals im Web halte.
Und der Vollständigkeit halber: Seit dem 28. Juni 2025 kommt für Teile der Wirtschaft die Barrierefreiheit als eigene Pflicht hinzu, mit anderer Behörde und anderem Verfahren. Das steht in Barrierefreie Website: Pflicht nach dem BFSG.
Wenn Sie eine Bestandsaufnahme wollen
Der Website-Audit ist kostenlos und listet unter anderem auf, welche Fremd-Domains vor der Einwilligung laden. Sie arbeiten direkt mit mir. Braucht ein Projekt zusätzliche Expertise, etwa bei Design, Text oder Fotografie, hole ich geprüfte Spezialisten dazu. Ansprechpartner und Verantwortlicher für das Ergebnis bleibe ich. Wenn die Seite so alt ist, dass Nachrüsten teurer wird als Neubauen, sage ich Ihnen das auch, siehe Webdesign.
Zum Schluss die notwendige Einschränkung: Ich bin Entwickler, kein Anwalt. Dieser Artikel gibt wieder, was in den genannten Vorschriften und Urteilen steht, mit Fundstelle. Er ist keine Rechtsberatung, und bei einem konkreten Schreiben ersetzt er keine.
Häufige Fragen
Ist die Einbindung von Google Fonts abmahnbar?
Die dynamische Einbindung, bei der der Browser des Besuchers die Schrift von einem Google-Server lädt, war Gegenstand des Urteils des LG München I vom 20. Januar 2022, Az. 3 O 17493/20. Das Gericht sprach 100 Euro Schadensersatz nach Art. 82 DSGVO zu und bejahte einen Unterlassungsanspruch, weil die IP-Adresse ohne Einwilligung an Google übermittelt wurde. Wer die Schriftdateien lokal auf dem eigenen Server ablegt, hat dieses Problem nicht mehr.
Was kostet eine Abmahnung wegen der Website?
Das hängt vom Absender ab. Bei Datenschutzverstößen wurden in der Abmahnwelle nach dem Google-Fonts-Urteil typischerweise dreistellige Beträge gefordert, meist ein Schadensersatz um 100 Euro plus Anwaltskosten. Bei wettbewerbsrechtlichen Abmahnungen, etwa wegen fehlendem Impressum oder fehlerhafter Widerrufsbelehrung, liegen die Kosten in der Regel höher, weil sich der Gegenstandswert anders berechnet. Verlässliche Pauschalen gibt es nicht.
Muss ich eine Unterlassungserklärung unterschreiben?
Nicht ungeprüft. Eine vorformulierte Unterlassungserklärung ist meist weiter gefasst, als der Anspruch reicht, und sie bindet Sie in der Regel mit Vertragsstrafe auf Jahrzehnte. Die Bewertung, ob und in welcher Form Sie reagieren, gehört zu einem Anwalt. Was Sie unabhängig davon sofort tun sollten: den technischen Mangel abstellen und den Zustand vorher und nachher dokumentieren.
Schützt mich ein Cookie-Banner vor Abmahnungen?
Nur wenn er richtig funktioniert. Ein Banner, der Skripte schon vor der Einwilligung lädt, macht die Sache nicht besser, sondern dokumentiert den Verstoß. § 25 TDDDG verlangt die Einwilligung vor dem Zugriff auf das Endgerät. Prüfen lässt sich das im Netzwerk-Tab des Browsers, ohne im Banner etwas anzuklicken.
Kann jeder Privatnutzer mich abmahnen?
Beim Datenschutz kann eine betroffene Person Ansprüche geltend machen, etwa Unterlassung und Schadensersatz nach Art. 82 DSGVO. Genau das war die Grundlage der Google-Fonts-Welle. Diese Welle hat allerdings auch Gegenwehr erzeugt: In mehreren Verfahren scheiterten Serien-Abmahner, etwa in einer Entscheidung des AG Berlin-Charlottenburg vom 20. Dezember 2022, Az. 217 C 64/22. Wettbewerbsrechtliche Abmahnungen sind dagegen Mitbewerbern und bestimmten Verbänden vorbehalten.
Was ist das häufigste abmahnbare Problem, das Sie in der Praxis finden?
Skripte und Einbettungen, die vor der Einwilligung laden. Meist eingebettete Karten, Videos und Schriftdienste, die ein Theme oder ein Plugin mitbringt, von denen der Betreiber nichts weiß. Danach kommen veraltete Rechtsgrundlagen in den Rechtstexten und Cookie-Banner, in denen Ablehnen schwerer erreichbar ist als Zustimmen.
Quellen
- LG München I, Urteil vom 20. Januar 2022, Az. 3 O 17493/20: dynamische Einbindung von Google Fonts ohne Einwilligung, 100 Euro Schadensersatz nach Art. 82 DSGVO und Unterlassungsanspruch. Zusammenfassung mit Urteilsgründen bei der IT-Recht Kanzlei. it-recht-kanzlei.de
- Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), § 25: Einwilligung vor Speicherung von Informationen auf dem Endgerät oder Zugriff darauf, Ausnahmen in Absatz 2. gesetze-im-internet.de
- Digitale-Dienste-Gesetz (DDG), § 5: allgemeine Informationspflichten, seit 14. Mai 2024 Nachfolger von § 5 TMG. gesetze-im-internet.de
- DSGVO Art. 28: Vertrag zur Auftragsverarbeitung. dsgvo-gesetz.de
- DSGVO Art. 13: Informationspflichten gegenüber Betroffenen. dsgvo-gesetz.de