Darf ich Google Fonts, Maps und YouTube einbinden?

Hinweis: Das ist ein praktischer Überblick mit Stand Oktober 2026 und keine Rechtsberatung. Für deinen konkreten Fall frag eine Anwältin, einen Anwalt oder deine Datenschutzberatung.

Worum es geht

Schriften, Karten und Videos von Google sind bequem: ein Code-Schnipsel, und alles läuft. Der Haken ist, wie sie laden. Bindest du sie direkt ein, holt der Browser deiner Besucher die Dateien von Google-Servern. Dabei wird mindestens die IP-Adresse an Google übertragen, bei Karten und Videos oft mehr, etwa Cookies oder Einträge im Speicher des Browsers.

Die IP-Adresse ist ein personenbezogenes Datum. Für ihre Übertragung brauchst du eine Rechtsgrundlage. Für das Speichern oder Auslesen von Informationen auf dem Gerät brauchst du nach § 25 TDDDG zusätzlich eine Einwilligung, wenn es nicht unbedingt erforderlich ist. Das Gesetz hieß bis Mai 2024 TTDSG.

Was das Landgericht München entschieden hat

Das Landgericht München I hat am 20. Januar 2022 entschieden (Az. 3 O 17493/20), dass ein Websitebetreiber die IP-Adresse eines Besuchers nicht ohne Einwilligung an Google weitergeben durfte, weil die Seite Google Fonts dynamisch von Google-Servern lud. Das Gericht sprach dem Besucher Unterlassung und 100 Euro Schadensersatz nach Art. 82 DSGVO zu. Ein berechtigtes Interesse ließ es nicht gelten, weil sich die Schriften auch ohne Verbindung zu Google nutzen lassen.

Danach verschickten einige Absender massenhaft Schreiben an Websitebetreiber. Das Landgericht München I hat ein solches Vorgehen im März 2023 als rechtsmissbräuchlich eingestuft (Az. 4 O 13063/22). Es hat dabei aber festgehalten, dass die dynamische Einbindung ohne Einwilligung das Recht auf informationelle Selbstbestimmung verletzen kann. Die Abmahnwelle ist abgeebbt. Das Risiko einer falsch eingebundenen Schrift bleibt.

1 Google Fonts lokal einbinden

Die Lösung ist einfach: Du legst die Schriftdateien auf deinen eigenen Server. Dann fragt der Browser nur noch deinen Server, und Google erfährt nichts. Die meisten Google Fonts stehen unter einer offenen Lizenz, die das ausdrücklich erlaubt.

1. Prüfen, was geladen wird: Öffne deine Website im privaten Fenster, drück F12, wähle „Netzwerk“ und lade neu. Gib oben im Filter „fonts“ ein. Tauchen fonts.googleapis.com oder fonts.gstatic.com auf, lädt deine Seite Schriften von Google.
2. Schriften herunterladen: Auf fonts.google.com wählst du die Schrift und lädst sie herunter. Für das Web brauchst du das Format WOFF2, es ist klein und wird von allen aktuellen Browsern unterstützt.
3. Hochladen: Leg die Dateien in einen Ordner auf deinem Server, etwa /fonts/.
4. Einbinden: Im CSS deiner Website verweist du auf die eigenen Dateien statt auf Google.
5. Alte Einbindung entfernen: Lösche den Link auf fonts.googleapis.com aus dem Kopfbereich deiner Seite.
6. Erneut prüfen: Wiederhole Schritt 1. Es darf kein Aufruf an Google mehr erscheinen.

So sieht eine lokale Einbindung im CSS aus:

@font-face {
  font-family: "Inter";
  src: url("/fonts/inter-regular.woff2") format("woff2");
  font-weight: 400;
  font-display: swap;
}

Bei WordPress gibt es in vielen Themes eine Einstellung wie „Schriften lokal laden“. Fehlt sie, übernehmen spezielle Plugins das Herunterladen und Umschreiben automatisch. Achte darauf, dass auch Page-Builder, Slider und andere Plugins keine eigenen Google Fonts nachladen. Genau dort verstecken sich die meisten Reste.

Ein Nebeneffekt: Lokale Schriften laden oft schneller, weil keine zusätzliche Verbindung zu einem fremden Server nötig ist. Mehr dazu unter Wie mache ich meine Website schneller.

2 Google Maps: drei Wege

Eine eingebettete Google-Maps-Karte lädt beim Seitenaufruf Daten von Google und setzt in der Regel Informationen im Browser. Ohne Einwilligung ist das angreifbar. Lokal speichern wie eine Schrift kannst du eine interaktive Karte nicht. Du hast drei Möglichkeiten.

Weg	Datenschutz	Aufwand	Für wen
Karte direkt einbetten	Einwilligung über den Banner nötig, sonst angreifbar	gering	nur mit sauberem Cookie-Banner
Vorschaubild, Karte lädt erst nach Klick und Zustimmung	sauber, wenn vor dem Klick nichts lädt	mittel	wer die interaktive Karte wirklich braucht
Adresse als Text, eigenes Bild, Link „Route planen“	sauber, Daten fließen erst beim Klick auf den Link	gering	die meisten Dienstleister

Für die meisten Praxen, Kanzleien und Handwerksbetriebe ist der dritte Weg der beste. Die Adresse steht als Text auf der Seite, darunter ein Foto vom Eingang oder eine einfache eigene Grafik und ein Link, der Google Maps oder dein Google-Unternehmensprofil in einem neuen Fenster öffnet. Wer den Weg sucht, hat das Smartphone ohnehin in der Hand.

Auch Alternativen wie OpenStreetMap laden Kartendaten von fremden Servern, solange du die Karte nicht selbst hostest. Die Datenschutzfrage stellt sich dort also ebenfalls.

3 YouTube und andere Videos

Ein eingebettetes YouTube-Video lädt den Player von Google-Servern. Der „erweiterte Datenschutzmodus“ mit der Adresse youtube-nocookie.com verzichtet laut YouTube auf bestimmte Cookies, solange niemand auf Play klickt. Eine Verbindung zu Google entsteht trotzdem schon beim Laden des Players, und es werden Informationen im Browser gespeichert. Der Modus allein ersetzt deshalb nach verbreiteter Auffassung keine Einwilligung.

Sauber sind diese Wege:

• Vorschaubild mit Klick: Statt des Players zeigst du ein Bild mit Play-Symbol und einem kurzen Hinweis, etwa „Beim Abspielen werden Daten an YouTube übertragen“. Erst der Klick lädt das Video. Das Vorschaubild legst du selbst auf deinen Server. Lädst du es von YouTube, fließen wieder Daten.
• Einwilligung über den Banner: YouTube steht als Dienst in der Kategorie „Externe Medien“ und lädt nur nach Zustimmung.
• Video selbst hosten: Kurze Clips bis etwa eine Minute kannst du als MP4-Datei direkt auf deinem Server ablegen. Für längere Videos ist das wegen Datenmenge und Ladezeit selten sinnvoll.

Beispiel: Eine Coachin in Köln hat auf ihrer Über-mich-Seite ein dreiminütiges Vorstellungsvideo von YouTube. Sie ersetzt den Player durch ein eigenes Standbild mit Play-Symbol und dem Hinweis zur Datenübertragung. Erst beim Klick lädt der Player. Ihre Seite lädt dadurch spürbar schneller, und ohne Klick geht keine Verbindung zu Google raus.

4 Was sonst noch Daten nach außen schickt

Schriften, Karten und Videos sind die bekanntesten Fälle, aber nicht die einzigen. Prüfe auch:

• Icon-Schriften und Bibliotheken über fremde Server: etwa Font Awesome oder jQuery von einem externen Content-Delivery-Netzwerk. Beides lässt sich meist lokal einbinden.
• Adobe Fonts: Sie lassen sich lizenzbedingt in der Regel nicht selbst hosten. Wer sie nutzt, braucht eine Einordnung in der Datenschutzerklärung und im Zweifel eine Einwilligung.
• Social-Media-Feeds: Ein eingebetteter Instagram-Feed lädt Daten von Meta.
• Bewertungs-Widgets, Chat-Fenster, Terminbuchung: Viele laden Skripte von Drittanbietern.
• Spamschutz: Google reCAPTCHA schickt Daten an Google. Alternativen stehen unter Kontaktformular und Datenschutz.

Google ist unter dem EU-US Data Privacy Framework zertifiziert. Das regelt die Übermittlung in die USA, ersetzt aber nicht die Einwilligung nach § 25 TDDDG für das Speichern im Browser. Jede Einbindung, die bleibt, gehört in die Datenschutzerklärung und, wenn sie einwilligungspflichtig ist, in den Cookie-Banner.

Häufige Fehler und wie du sie vermeidest

• Nur das Theme umgestellt: Plugins und Page-Builder laden ihre eigenen Google Fonts weiter.
• youtube-nocookie für ausreichend halten: Auch dieser Modus verbindet sich mit Google.
• Vorschaubild von YouTube geladen: Das Bild kommt dann von einem Google-Server, und der Zweck ist verfehlt.
• Banner ohne Wirkung: Die Karte steht im Banner, lädt aber trotzdem sofort. Prüfe das im Netzwerk-Reiter.
• Cache vergessen: Nach der Umstellung liefert ein Caching-Plugin noch die alte Seite aus. Cache leeren und neu prüfen.

Kosten und Zeitaufwand

Google Fonts lokal einzubinden dauert für eine typische Website 30 bis 60 Minuten, mit einem passenden WordPress-Plugin oft nur zehn Minuten plus Prüfung. Eine Karte durch Adresse, Bild und Link zu ersetzen dauert etwa 30 Minuten. Ein Vorschaubild mit Klick-Lösung für Videos braucht je nach System eine bis zwei Stunden, wenn es noch nicht vorhanden ist.

Viele Consent-Tools haben die Klick-Lösung für externe Medien bereits eingebaut. Sie kosten Stand Oktober 2026 je nach Anbieter und Seitenzahl von kostenlos für kleine Websites bis zu einem ein- bis niedrigen zweistelligen Eurobetrag im Monat.

Woran du erkennst, dass alles sauber eingebunden ist

1. Öffne deine Website im privaten Fenster und klick nichts an, auch nicht im Cookie-Banner.
2. Öffne die Entwicklertools mit F12, wähle „Netzwerk“ und lade die Seite neu.
3. Filtere nacheinander nach „google“, „gstatic“, „youtube“ und „ytimg“. Die Liste muss leer bleiben.
4. Wiederhole das auf Kontaktseite, Über-mich-Seite und einem Blogartikel, also überall, wo Karten oder Videos stehen.
5. Klick auf ein Video-Vorschaubild oder stimme im Banner zu. Jetzt dürfen die Aufrufe erscheinen.

• keine Aufrufe an fonts.googleapis.com oder fonts.gstatic.com
• Karten laden erst nach Klick oder Zustimmung, oder sind durch Adresse und Link ersetzt
• Videos laden erst nach Klick oder Zustimmung
• Vorschaubilder liegen auf deinem eigenen Server
• jede verbleibende Einbindung steht in Datenschutzerklärung und Banner

Häufige Folgefragen

Sind Google Fonts verboten?

Nein. Problematisch ist nur das Laden von Google-Servern ohne Einwilligung. Lokal eingebunden kannst du dieselben Schriften nutzen.

Reicht der erweiterte Datenschutzmodus von YouTube?

Nach verbreiteter Auffassung nicht, weil schon beim Laden des Players eine Verbindung zu Google entsteht. Kombiniere ihn mit einer Klick-Lösung oder einer Einwilligung.

Darf ich eine Google-Maps-Karte ohne Cookie-Banner zeigen?

Direkt eingebettet ist das angreifbar. Ohne Banner geht es mit Adresse, eigenem Bild und einem Link zu Google Maps.

Ich habe ein Schreiben wegen Google Fonts bekommen. Was nun?

Nicht vorschnell zahlen oder unterschreiben. Stell die Schriften sofort auf lokal um und lass das Schreiben prüfen. Die Schritte stehen unter Was tue ich bei einer Abmahnung.

Werden lokale Schriften langsamer geladen?

Meist im Gegenteil. Es entfällt die Verbindung zu einem fremden Server, und du lädst nur die Schnitte, die du wirklich brauchst.

Wie quik dabei hilft

In unseren Tracking-Paketen gehören Consent Mode v2 und ein Funktionstest dazu, bei der quik Landingpage ist der Cookie-Consent inklusive. Wie Google-Dienste und Einwilligung zusammenspielen, erklärt Was ist der Consent Mode v2. Die Pakete findest du unter Conversion Tracking.