Die Google-Fonts-API verstehen — wie sie funktioniert, was sie überträgt

Bevor man eine Lösung einsetzt, lohnt es sich, das ursprüngliche Problem zu verstehen. Dieser Beitrag erklärt, wie die Google-Fonts-API technisch funktioniert — neutral, sachlich, ohne ideologische Verkürzung.

Wie der Aufruf abläuft

Bindet ein Entwickler eine Schrift über den klassischen Snippet ein:

<link href="https://fonts.googleapis.com/css2?family=Inter:wght@400;700" rel="stylesheet">

passieren beim Seitenaufruf vier Dinge:

1. Der Browser ruft fonts.googleapis.com auf, um eine CSS-Datei zu holen.
2. Die Antwort enthält @font-face-Regeln, die auf fonts.gstatic.com verweisen.
3. Der Browser lädt von fonts.gstatic.com die eigentlichen WOFF2-Dateien.
4. Die Schrift wird gerendert.

Was wird übertragen?

Bei jedem dieser vier Requests wird mindestens die IP-Adresse des Besuchers an die Google-Server übertragen. Google selbst dokumentiert in seinen eigenen Fonts-FAQ, dass dabei ein „kleines Set technischer Logs“ entsteht (User-Agent, IP-Adresse, Referrer). Diese Logs werden laut Google nicht für Werbe-Profile verwendet — aber die Übertragung selbst findet statt.

Warum die juristische Bewertung trotzdem hart ist

Die DSGVO-Bewertung hängt nicht davon ab, was Google mit der IP-Adresse tut, sondern dass die Übertragung überhaupt ohne wirksame Einwilligung erfolgt. IP-Adressen sind nach EuGH-Rechtsprechung personenbezogene Daten — und für deren Übermittlung an einen Dienst in einem Drittland braucht es eine Rechtsgrundlage.

Was Google selbst empfiehlt

Bemerkenswert: Google bietet seit Jahren auf github.com/google/fonts alle Schriften zum direkten Download an, explizit für Self-Hosting. Die Lizenz (meist SIL Open Font License) erlaubt das ausdrücklich. Wer die Schriften lokal hostet, nutzt also exakt das, was Google selbst anbietet — nur eben datensparsamer.

Fazit

Die Google-Fonts-API ist ein gut gebautes Stück Infrastruktur, das vor zehn Jahren ein echtes Problem gelöst hat. 2026 sind Self-Hosting-Workflows so einfach, dass die alten Vorteile (kostenlose globale CDN-Auslieferung, gemeinsamer Browser-Cache) faktisch nicht mehr greifen — und der DSGVO-Konflikt bleibt. Die elegantere Lösung ist heute, Schriften lokal zu hosten.