Google-Fonts-Abmahnung: Muss ich noch zahlen?

Wer heute noch eine Google-Fonts-Abmahnung aus der Welle von 2022 bekommt, muss die Forderung in aller Regel nicht mehr bezahlen. Die meisten Ansprüche sind zum Jahresende 2025 verjährt, mehrere Gerichte haben die automatisiert verschickten Massenabmahnungen zudem als rechtsmissbräuchlich eingestuft. Rechtsstand: Juli 2026.

Was war 2022 eigentlich passiert?

Auslöser der Abmahnwelle war ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20). Ein Websitebetreiber hatte Google Fonts dynamisch eingebunden, das heißt: Beim Aufruf der Seite lud der Browser des Besuchers die Schriftart direkt von einem Google-Server in den USA nach und übermittelte dabei automatisch dessen IP-Adresse. Das Gericht sah darin einen Verstoß gegen das allgemeine Persönlichkeitsrecht, konkret gegen das Recht auf informationelle Selbstbestimmung, weil es für die Übermittlung weder eine wirksame Einwilligung noch eine andere Rechtsgrundlage gab. Der Websitebetreiber musste dem Kläger 100 Euro Schadensersatz zahlen.

Das Urteil selbst betraf einen Einzelfall. Innerhalb weniger Monate nutzten es aber mehrere Akteure als Vorlage für tausende, teils zehntausende automatisiert verschickte Abmahnungen. Die Schreiben folgten fast immer demselben Muster: Verweis auf das Münchner Urteil, eine pauschale Schadensersatzforderung zwischen 100 und 190 Euro, eine kurze Zahlungsfrist. Betroffen waren vor allem kleine Unternehmen, Vereine und Selbstständige, deren Website Google Fonts noch über die Google-Server statt lokal einband, zu diesem Zeitpunkt die häufigste technische Umsetzung überhaupt.

Wer steckte hinter den Massenabmahnungen, und was wurde daraus?

Zwei Namen tauchten in der Welle 2022/2023 besonders häufig auf: der Berliner Rechtsanwalt Kilian Lenard, der für seinen Mandanten Martin Ismail (auch unter der Bezeichnung „IG Datenschutz“ aufgetreten) abmahnte, sowie die Kanzlei RAAG für ihren Mandanten Wang Yu. Beide Absender verschickten nach eigenen Angaben bzw. nach Feststellungen der Ermittlungsbehörden Zehntausende gleichlautende Schreiben.

Am 21. Dezember 2022 durchsuchte die Polizei im Auftrag der Staatsanwaltschaft Berlin die Kanzleiräume Lenards in Berlin sowie drei weitere Objekte in Hannover, Ratzeburg und Baden-Baden. Zwei Vermögensarreste in Höhe von zusammen 346.000 Euro wurden vollstreckt. Die Staatsanwaltschaft ermittelte gegen Lenard und Ismail wegen des Verdachts des gewerbsmäßigen Betrugs sowie der (versuchten) Erpressung in mindestens 2.418 Fällen, davon rund 400 Versuche. Nach Angaben der Staatsanwaltschaft hatten die Beschuldigten gezielt Websites mit unzureichend konfigurierten Google Fonts automatisiert aufgesucht, um den Datenschutzverstoß erst zu erzeugen, und rund 2.000 Abgemahnte zahlten die geforderten 170 Euro aus Sorge vor einem Gerichtsverfahren.

Ein abschließendes, öffentlich dokumentiertes Ergebnis des Ermittlungsverfahrens selbst liegt nach den verfügbaren Quellen nicht vor. Klarer ist die zivilrechtliche Bewertung: Das Landgericht München I, das mit seinem Urteil vom Januar 2022 ungewollt die Steilvorlage für die Abmahnwelle geliefert hatte, wies gut ein Jahr später, am 30. März 2023 (Az. 4 O 13063/22), eine Klage von Martin Ismail selbst ab. Zur Begründung führte das Gericht aus, dass die Geltendmachung rechtsmissbräuchlich sei, wenn der angebliche Betroffene die Website erkennbar nur deshalb aufgerufen habe, um den Verstoß zu provozieren und anschließend Ansprüche daraus abzuleiten. Weitere Gerichte folgten dieser Linie, etwa das Amtsgericht Ludwigsburg, das im Februar 2023 (8 C 1361/22) eine Klage angesichts von mehr als 200.000 versandten Abmahnschreiben als rechtsmissbräuchlich abwies. Es gab allerdings auch Entscheidungen in die Gegenrichtung: Das Landgericht Hannover sprach einem Abmahner mit Urteil vom 1. Juli 2024 (18 S 10/23) 170 Euro Schadensersatz zu. Genau dieses Verfahren ging anschließend in die Revision und führte zur EuGH-Vorlage des Bundesgerichtshofs (VI ZR 258/24).

Muss ich eine alte Google-Fonts-Abmahnung von 2022 heute noch bezahlen?

In den meisten Fällen nein, aus zwei voneinander unabhängigen Gründen.

Erstens die Verjährung. Schadensersatzansprüche nach Art. 82 DSGVO unterliegen der regelmäßigen Verjährungsfrist der §§ 195, 199 BGB. Sie beträgt drei Jahre und beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger von den anspruchsbegründenden Umständen sowie der Person des Schuldners Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen (§ 199 Abs. 1 BGB). Bei den 2022 verschickten Abmahnungen fielen Anspruchsentstehung und Kenntnis regelmäßig in dasselbe Jahr: Der Abmahner, der die Website aufrief und dabei den (behaupteten) Verstoß feststellte, wusste in der Regel unmittelbar davon. Die Frist begann daher zum 31. Dezember 2022 zu laufen und endete zum 31. Dezember 2025. Wurde in der Zwischenzeit keine Klage erhoben und keine verjährungshemmende Maßnahme ergriffen, sind diese Ansprüche seit Jahresbeginn 2026 verjährt. Wer sich auf die Verjährung berufen will, kann das über die sogenannte Verjährungseinrede tun, sie muss aber aktiv geltend gemacht werden, das Gericht prüft sie nicht von Amts wegen. Verjährungsfragen wie diese sind im Verbraucherrecht ein wiederkehrendes Thema, weit über Google-Fonts-Abmahnungen hinaus.

Zweitens der Rechtsmissbrauch. Selbst wenn eine Forderung ausnahmsweise noch nicht verjährt wäre, etwa weil sie erst 2023 geltend gemacht wurde, greift bei den typischen Massenabmahn-Konstellationen häufig der Einwand aus § 242 BGB. Die dazu ergangene Rechtsprechung, allen voran das genannte Urteil des LG München I vom 30. März 2023, verneint einen Anspruch, wenn der Abmahner die Datenverarbeitung erkennbar nur provoziert hat, um daraus Kapital zu schlagen, statt tatsächlich in seinem Persönlichkeitsrecht beeinträchtigt zu sein. Wer sich nachweislich automatisiert und im großen Stil durch fremde Websites klickte, um Verstöße zu sammeln, kann sich nach dieser Linie kaum noch glaubhaft auf eine persönliche Betroffenheit berufen.

Was ist der aktuelle Streitstand beim Bundesgerichtshof?

Ganz erledigt ist das Thema juristisch trotzdem nicht. Der Bundesgerichtshof hat mit Beschluss vom 28. August 2025 (Az. VI ZR 258/24) ein Revisionsverfahren ausgesetzt und dem Europäischen Gerichtshof mehrere Fragen zur Auslegung von Art. 82 DSGVO vorgelegt. Im zugrunde liegenden Fall hatte der Kläger mit eigens dafür programmierter Software über 100.000 automatisierte Websiteaufrufe durchgeführt, um Google-Fonts-Verstöße zu dokumentieren und anschließend Schadensersatz zu verlangen.

Der BGH möchte vom EuGH insbesondere geklärt wissen, ob ein immaterieller Schaden nach Art. 82 Abs. 1 DSGVO auch dann vorliegen kann, wenn der Betroffene den Verstoß bewusst und massenhaft-automatisiert selbst herbeigeführt hat, und wo die Grenze zum Rechtsmissbrauch bei künstlich geschaffenen Anspruchsvoraussetzungen verläuft. Die Antwort des EuGH wird für zahlreiche noch anhängige Parallelverfahren richtungsweisend sein. Bis zu dieser Entscheidung bleibt eine Restunsicherheit für die wenigen Fälle, in denen Verjährung und die bisherige Rechtsmissbrauchsprüfung ausnahmsweise nicht greifen.

Wie sichere ich meine Website technisch gegen einen Verstoß ab?

Unabhängig vom Streit um alte Forderungen bleibt die zugrunde liegende Datenschutzfrage aktuell: Eine dynamische Einbindung von Google Fonts, bei der der Browser des Besuchers die Schriftart live vom Google-Server nachlädt, überträgt weiterhin dessen IP-Adresse in die USA, ohne dass die meisten Besucher davon wissen. Die einfachste und rechtssicherste Lösung ist das lokale Hosting: Die gewünschten Schriftdateien werden einmalig heruntergeladen und zusammen mit den übrigen Website-Dateien auf dem eigenen Server abgelegt. Der Browser lädt die Schrift dann direkt vom eigenen Server, eine Verbindung zu Google entsteht nicht, eine Einwilligung ist dafür nicht erforderlich. Nachteil ist ein etwas höherer Pflegeaufwand, weil Updates der Schriftart manuell eingespielt werden müssen. Wer stattdessen weiterhin auf den Google-Dienst zugreifen will, braucht dafür entweder eine wirksame, vorherige Einwilligung über ein Cookie- beziehungsweise Consent-Management-Tool oder eine tragfähige Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, deren Rechtssicherheit in der Praxis aber deutlich geringer ist als beim lokalen Hosting.

Was tun bei einer neuen, individuellen Abmahnung?

Die oben beschriebene Rechtsprechung betrifft in erster Linie die automatisiert verschickten Massenabmahnungen von 2022/2023. Eine neue Abmahnung im Einzelfall, etwa von einem Wettbewerber, einer Datenschutzbehörde oder einer tatsächlich individuell betroffenen Person, lässt sich damit nicht automatisch abtun. Sinnvoll ist folgendes Vorgehen:

1. Nicht vorschnell zahlen und keine Frist unter Druck verstreichen lassen, ohne die Forderung geprüft zu haben.
2. Prüfen, ob die eigene Website Google Fonts tatsächlich noch dynamisch einbindet (Blick in den Quellcode auf „fonts.googleapis.com“ oder „fonts.gstatic.com“ genügt meist) und die Einbindung gegebenenfalls sofort auf lokales Hosting umstellen.
3. Eine beigefügte, vorformulierte Unterlassungserklärung nicht ungeprüft unterschreiben. Häufig ist sie zu weit gefasst oder mit einer unnötig hohen Vertragsstrafe verknüpft, in solchen Fällen empfiehlt sich eine modifizierte Unterlassungserklärung mit angemessener, gedeckelter Strafhöhe statt vollständiger Ablehnung.
4. Bei einer bezifferten Schadensersatzforderung prüfen lassen, ob die geltend gemachten Voraussetzungen des Art. 82 DSGVO tatsächlich vorliegen, insbesondere ein konkret dargelegter Schaden.
5. Rechtsanwalt einschalten, bevor auf die Abmahnung reagiert wird, gerade weil Verjährung und Rechtsmissbrauch juristisch anspruchsvoll zu beurteilen sind.

Wie realistisch ist ein DSGVO-Schadensersatz nach Art. 82 überhaupt?

Auch außerhalb der Google-Fonts-Fälle lohnt ein nüchterner Blick auf die Erfolgsaussichten eines Anspruchs aus Art. 82 DSGVO. Der Europäische Gerichtshof hat in mehreren Entscheidungen klargestellt, dass ein bloßer Verstoß gegen die DSGVO für sich genommen noch keinen Schadensersatzanspruch begründet. Der Betroffene muss zusätzlich einen tatsächlich eingetretenen materiellen oder immateriellen Schaden konkret darlegen, ein bloß empfundener, allgemeiner Kontrollverlust über die eigenen Daten reicht nach dieser Rechtsprechung nicht automatisch aus, er muss vielmehr spürbare negative Folgen gehabt haben. Pauschale Behauptungen wie „ich fühle mich unwohl Diese hohen Anforderungen an einen konkret dargelegten Schaden gelten auch bei anderen DSGVO-Ansprüchen, etwa nach einem echten Datenleck.“ ohne nähere Begründung genügen den Gerichten in aller Regel nicht. Das erklärt auch, warum die überwiegende Zahl der automatisiert erzeugten Google-Fonts-Fälle bei näherer Prüfung durchfiel: Wer eine Website gezielt aufruft, um einen Verstoß zu dokumentieren, kann kaum gleichzeitig glaubhaft machen, dadurch persönlich in seinem Kontrollverlust beeinträchtigt worden zu sein.

Wie unterscheidet sich das von einer Abmahnung wegen falscher Google-Bewertungen?

Beide Themen haben nur den Namen „Google“ gemeinsam, rechtlich liegen Welten dazwischen. Bei der Google-Fonts-Abmahnung geht es um einen behaupteten DSGVO-Verstoß durch die technische Einbindung einer Schriftart auf der eigenen Website, Adressat der Forderung ist der Websitebetreiber selbst. Bei falschen Google-Bewertungen geht es dagegen darum, dass ein Unternehmen selbst Opfer einer unwahren oder gefälschten Rezension wird und sich dagegen zur Wehr setzen will, etwa über den Meldeweg nach dem Digital Services Act oder eine einstweilige Verfügung gegen den Verfasser. Wer als Unternehmer mit unberechtigten Bewertungen zu kämpfen hat, findet die Einzelheiten im Beitrag zu falschen Google-Bewertungen.