Google Fonts Check — DSGVO-konforme Einbindung prüfen

Der Check beantwortet eine einzelne, klar umrissene Frage: Lädt Ihre Website Schriftarten von Google-Servern, oder liegen sie lokal bei Ihnen? Dazu wird der ausgelieferte Quellcode Ihrer Seite abgerufen und nach Verweisen auf fonts.googleapis.com und fonts.gstatic.com durchsucht — in Stylesheet-Einbindungen, in Preconnect- und Prefetch-Angaben und in Inline-Styles.

Wird etwas gefunden, bekommen Sie die konkrete URL angezeigt. Das ist der praktisch nützliche Teil: Sie können damit direkt im Quelltext oder in Ihrem CMS nach der Stelle suchen, statt zu raten, welches Plugin die Einbindung erzeugt.

Die Prüfung ist kostenlos, braucht keine Anmeldung und läuft in unter einer Minute — als Teil eines vollständigen Scans mit insgesamt vielen weiteren Prüfungen.

Der Ablauf ist in allen Systemen derselbe. Zuerst stellen Sie fest, welche Schriftfamilien und Schnitte Sie tatsächlich verwenden — häufig sind über die Jahre mehr eingebunden worden als genutzt werden. Dann laden Sie genau diese Schnitte im modernen Format WOFF2 herunter und legen sie in Ihrem Projekt ab.

Anschließend definieren Sie die Schriften per @font-face in Ihrem Stylesheet und verweisen auf die lokalen Dateien. Sinnvoll ist dabei font-display: swap, damit Text sofort sichtbar ist und nicht erst nach dem Laden der Schrift erscheint. Für die wichtigsten Schnitte lohnt zusätzlich ein preload im Kopfbereich.

Zum Schluss entfernen Sie die alten externen Einbindungen — und zwar vollständig, inklusive der preconnect-Zeilen, die oft übersehen werden. Ein erneuter Scan zeigt Ihnen, ob wirklich nichts mehr übrig ist.

Wenn Sie externe Schriften bewusst weiter einsetzen, gehört der Vorgang beschrieben: welcher Dienst eingebunden ist, welche Daten dabei an wen übermittelt werden, auf welcher Grundlage das geschieht und wie Betroffene widersprechen können. Eine Beschreibung allein schafft allerdings keine Rechtsgrundlage — üblich ist in diesem Fall eine vorherige Einwilligung über das Consent-Tool, sodass die Schriften erst nach Zustimmung geladen werden.

Umgekehrt gilt: Wenn Sie auf Self-Hosting umgestellt haben, sollte der alte Absatz aus der Datenschutzerklärung verschwinden. Ein Text, der eine Übermittlung an Google beschreibt, die gar nicht mehr stattfindet, ist ebenso unpassend wie ein fehlender Hinweis. Nach jeder technischen Änderung lohnt ein Blick auf die Dokumentation.

Der vollständige Scan prüft die Datenschutzerklärung ergänzend auf Vollständigkeit und darauf, welche externen Dienste auf Ihrer Seite tatsächlich gefunden wurden — das macht Abweichungen zwischen Beschreibung und Realität sichtbar.