Jeder Aufruf meiner Website schickt automatisch die IP-Adresse der Besucherin an einen Adobe-Server in den USA, noch bevor ein einziger Buchstabe der schönen neuen Schriftart überhaupt sichtbar ist. Das ist die nüchterne Tatsache, die hinter dem ganzen Adobe-Fonts-DSGVO-Thema steckt, mit dem ich mich als Solopreneurin herumgeschlagen habe, bis meine Website endlich rechtssicher war. Keine Dramatik, kein Cookie-Banner-Alarm – nur ein technischer Vorgang, der im Hintergrund läuft, sobald jemand meine Seite öffnet.
Die IP-Adresse, die trotzdem in die USA geht
Der Grund dafür liegt in der Technik, mit der Adobe die Schriften ausliefert: einem Content Delivery Network (CDN). Der Browser der Besucherin lädt die Zeichen nicht von meinem eigenen Server, sondern direkt von Adobe, und dabei übermittelt er automatisch die IP-Adresse dieser Person. Diese Übertragung lässt sich technisch nicht abschalten, ohne die Schrift selbst abzuschalten – sie ist Teil davon, wie Adobe Fonts überhaupt funktioniert. Wie Datenschutz im Homeoffice für Freelancer grundsätzlich aussieht, hatte ich an anderer Stelle schon ausführlich aufgeschrieben – bei einzelnen eingebundenen Diensten wie Schriften kommt eben noch mal eine eigene Prüfung dazu.
Warum Adobe Fonts sich nicht selbst hosten lässt
Bei Google Fonts kennen viele längst die Lösung: Schriftdateien herunterladen, auf den eigenen Server legen, fertig. Bei Adobe Fonts geht genau dieser Trick nicht. Die Lizenzbedingungen erlauben kein Self-Hosting der Dateien – wer die Schriften nutzen will, muss sie über Adobes eigenes CDN einbinden, Punkt. Ich bin lange davon ausgegangen, dass sich das Problem genauso lösen lässt wie bei Google Fonts, und lag damit schlicht falsch: Wer hier versucht zu tricksen, verstößt nicht nur gegen die Lizenz, sondern löst das Datenschutzproblem trotzdem nicht, weil die IP-Übertragung an der Einbindungsart hängt, nicht am Speicherort der Datei. Genau dieser Unterschied ist der Punkt, an dem die vertraute Google-Fonts-Lösung bei Adobe nicht mehr greift.
So prüfst du, ob deine Seite wirklich über Adobes CDN lädt
Bevor man sich über die rechtliche Seite überhaupt Gedanken macht, lohnt sich ein kurzer Check: Quelltext der Seite öffnen oder den Netzwerk-Tab im Browser aufrufen und nach einem Aufruf suchen, der zu Adobe beziehungsweise Typekit führt. Taucht da ein Request auf, läuft die Schrift tatsächlich über das CDN, und die IP-Übertragung passiert bei jedem einzelnen Seitenaufruf. Zeigt sich nichts davon, wurde die Schrift vielleicht längst gegen eine Systemschrift oder einen anderen Anbieter ausgetauscht, ohne dass man es bewusst mitbekommen hat – das passiert öfter, als man denkt, nach einem Theme-Update oder wenn ein Baustein im Websitebaukasten ersetzt wird. Dieser Check kostet wenige Minuten und erspart das Grübeln über ein Problem, das auf der eigenen Seite vielleicht gar nicht mehr existiert.
Die Datenschutzerklärung muss Adobe Fonts namentlich nennen
In der eigenen Datenschutzerklärung reicht ein allgemeiner Satz zu "eingebundenen Schriften" nicht aus – Adobe Fonts sollte dort beim Namen genannt werden, zusammen mit der Information, dass dabei eine IP-Adresse an einen Server außerhalb der EU geht. Wie eine Datenschutzerklärung grundsätzlich aufgebaut wird, ist ein eigenes Thema für sich; hier zählt nur, dass dieser eine Dienst konkret auftaucht und nicht in einer Sammelformulierung untergeht. Zusätzlich lohnt ein Blick auf den Auftragsverarbeitungsvertrag, den Adobe üblicherweise in den Nutzungsbedingungen mitliefert, und auf die Frage, ob die Übermittlung in die USA über ein anerkanntes Rahmenwerk abgesichert ist. Genau wie bei der Frage, ob ein Impressum auf Visitenkarten nötig ist, hilft auch hier vor allem eins: einmal konkret nachsehen statt zu raten – bei mir bedeutete das meistens, meinen ausgedruckten Datenschutz-Leitfaden noch mal durchzublättern, dessen Seiten inzwischen so voller handschriftlicher Pfeile und Ausrufezeichen sind, dass sie beim Umblättern lauter rascheln, als mir eigentlich recht ist.
Ein Cookie-Banner ersetzt keine saubere Prüfung
Meinen ersten Cookie-Banner hatte ich seinerzeit selbst ins HTML gebastelt, ohne auch nur einmal zu prüfen, ob das Ergebnis tatsächlich rechtlich hielt, was es optisch versprach. Aufgefallen ist mir das erst, als ich die Seite zufällig auf dem Handy geöffnet und gesehen habe, dass der Button zum Ablehnen genauso groß und genauso prominent war wie der zum Zustimmen – bei meinem eigenen Banner war das damals nicht der Fall gewesen. Für Adobe Fonts gilt etwas sehr Ähnliches: Ob die Schrift hinter einem Einwilligungsbanner versteckt werden muss oder über ein berechtigtes Interesse läuft, ist eine Entscheidung, die vom eigenen Setup abhängt und die man nicht einfach kopiert, nur weil es bei jemand anderem so aussah. Welches Cookie-Banner-Tool das technisch sauber umsetzt, ist wieder eine andere Geschichte – wichtig ist hier nur, dass Schriften-Einbindung und Cookie-Consent zwei getrennte Fragen sind, die man nicht automatisch für erledigt halten darf, nur weil irgendwo ein Banner blinkt.
Der Unterschied zwischen geprüft und gehofft
Bei Adobe Fonts bleibt am Ende ein einziges Kriterium wirklich entscheidend: Taucht der Dienst namentlich und mit der richtigen Begründung in der Datenschutzerklärung auf, und ist die Nutzung über einen gültigen Vertrag mit Adobe abgesichert, dann ist die Schrift in Ordnung, unabhängig davon, wie elegant sie aussieht. Fehlt eines von beiden, hilft auch die schönste Typografie nicht weiter. Eine befreundete Kochkursleiterin aus Connewitz, die ihre veganen Kurse inzwischen auch online bewirbt, hat mich neulich genau danach gefragt, als sie ihre eigene Seite aufgesetzt hat, und die Antwort war für sie am Ende genauso einfach wie unbequem: erst die Datenschutzerklärung anpassen, dann die Schrift behalten, nicht umgekehrt. Nachdem die Datenschutzerklärung stand, habe ich sicherheitshalber auch noch mal nachgesehen, ob meine Social Media Verlinkung genauso sauber ist. Vielleicht ist das die eigentliche Lektion hinter dem ganzen Adobe-Fonts-Thema: Hübsch und rechtssicher schließen sich nicht aus, man muss nur in der richtigen Reihenfolge vorgehen, bevor man den Veröffentlichen-Button drückt – genau das Prinzip, das inzwischen in meinem Datenschutz-Tagebuch für jeden neuen eingebundenen Dienst einfach durchgegangen wird.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.