Zuletzt aktualisiert: November 2026
Im Herbst 2022 erhielten Tausende Websitebetreiber in Deutschland nahezu gleichlautende Schreiben: Ihre Website habe beim Aufruf die IP-Adresse des Absenders ohne Einwilligung an Google in die USA übermittelt, weil die Schriftarten von Google Fonts nicht lokal, sondern von Google-Servern geladen würden. Gegen Zahlung von 170 Euro werde auf weitere Schritte verzichtet. Viele zahlten. Einer davon wollte sein Geld zurück, und dieser Rechtsstreit liegt inzwischen über eine Vorlage des Bundesgerichtshofs beim Gerichtshof der Europäischen Union. Generalanwalt Szpunar hat nun seine Schlussanträge vorgelegt. Sie sind eine deutliche Absage an das Geschäftsmodell der provozierten DSGVO-Verstöße, enthalten aber auch eine Aussage zur IP-Adresse, die für alle Websitebetreiber wichtig ist.
Der Fall: Webcrawler, Google Fonts und 170 Euro
Der Kläger des Ausgangsverfahrens betreibt eine Website, auf der er Google Fonts in der dynamischen Standardkonfiguration eingebunden hatte. Dabei werden die Schriftarten beim Seitenaufruf von einem Google-Server geladen, und die IP-Adresse des Besuchers wird an Google in die USA übermittelt. Durch eine lokale Einbindung der Schriftarten lässt sich das vermeiden.
Der erste Beklagte hatte ein automatisiertes System aufgebaut: Ein Webcrawler suchte nach Websites mit dynamisch eingebundenen Google Fonts, eine weitere Software rief diese Seiten automatisch auf. Nach den Angaben des Bundesgerichtshofs wurde die Methode mehr als 100.000-mal angewendet. Im Oktober 2022 erhielt der Websitebetreiber das Schreiben eines vom Beklagten beauftragten Rechtsanwalts mit dem Vorwurf eines Verstoßes gegen Art. 6 Abs. 1 lit. a und f DSGVO und dem Angebot, gegen Zahlung von 170 Euro auf weitere rechtliche Schritte zu verzichten. Er zahlte fristgerecht.
Als er erfuhr, dass dasselbe Vorgehen gegenüber Tausenden anderen Betreibern angewandt worden war, verlangte er das Geld zurück. Das Amtsgericht Hannover sprach ihm 70 Euro zu. Das Landgericht Hannover verurteilte den Abmahner und seinen Anwalt als Gesamtschuldner zur Rückzahlung der vollen 170 Euro wegen vorsätzlicher sittenwidriger Schädigung. Ob überhaupt ein DSGVO-Verstoß vorlag, ließ es offen, weil jedenfalls kein immaterieller Schaden entstanden sei. Der Bundesgerichtshof hat das Revisionsverfahren ausgesetzt und dem EuGH drei Fragen vorgelegt: zur Personenbezogenheit der dynamischen IP-Adresse, zum Schaden bei einem bewusst provozierten Verstoß und zum Rechtsmissbrauch.
Frage 1: Ist die übermittelte IP-Adresse ein personenbezogenes Datum?
Nach Art. 4 Nr. 1 DSGVO ist ein Datum personenbezogen, wenn es sich auf eine identifizierte oder identifizierbare Person bezieht. Ob eine Person identifizierbar ist, richtet sich nach Erwägungsgrund 26 nach den Mitteln, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich nutzt. In Rechtsprechung und Literatur stehen sich seit Langem ein „absoluter“ und ein „relativer“ Ansatz gegenüber: Nach dem absoluten genügt es, wenn irgendein Dritter, etwa der Internetzugangsanbieter, die Person identifizieren kann. Nach dem relativen kommt es auf die Stelle an, die tatsächlich Zugang zu der Information hat.
Der Generalanwalt legt dar, dass der Gerichtshof sich stets für den relativen Ansatz entschieden hat, vom Urteil Breyer (C-582/14) zur dynamischen IP-Adresse bis zum Urteil EDSB/SRB vom 4. September 2025 (C-413/23 P) zu pseudonymisierten Daten. Für die Übermittlung folgert er daraus: Maßgeblich ist die Perspektive des Empfängers. Verfügt der Empfänger über Mittel, die vernünftigerweise zur Identifizierung eingesetzt werden können, ist die IP-Adresse für ihn unmittelbar und für den Übermittelnden mittelbar ein personenbezogenes Datum.
Die Schwelle setzt der Generalanwalt bewusst niedrig an. Es genüge ein „nicht unerhebliches“ Identifizierungsrisiko, ein erwiesenes und sicher realisierbares Risiko sei nicht erforderlich. Mit Blick auf Google weist er darauf hin, dass die über Google Fonts übermittelte IP-Adresse Teil eines weitaus größeren Datenbestands sei, den Google erhebt und mit dem sich Rückschlüsse auf das Privatleben ziehen lassen. Ob eine Verknüpfung tatsächlich zur Identifizierung führen kann, muss das nationale Gericht prüfen.
Neu ist eine Einschränkung zugunsten der Websitebetreiber. Es sei nicht zufriedenstellend, den Betreiber allen Pflichten eines Verantwortlichen zu unterwerfen, wenn es von einem Umstand außerhalb seines Einflussbereichs abhänge, ob der Empfänger identifizieren kann. Der Betreiber wisse in vielen Fällen nicht einmal, dass ein solches Datum übermittelt wird. Für den Betreiber soll die IP-Adresse deshalb nur dann ein personenbezogenes Datum sein, wenn er weiß oder hätte wissen müssen, dass der Empfänger über die Mittel zur Identifizierung verfügt.
Für die Praxis ist diese Einschränkung mit Vorsicht zu genießen. Nach der breiten öffentlichen Diskussion und der Abmahnwelle seit 2022 dürfte es schwerfallen, sich bei Google Fonts, Google Maps, eingebetteten Videos oder ähnlichen Diensten großer Anbieter auf Unkenntnis zu berufen. Ob der Gerichtshof dieses subjektive Element überhaupt übernimmt, ist offen.
Frage 2: Kein Schaden bei provoziertem Verstoß
Der Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO setzt einen Verstoß, einen tatsächlich entstandenen Schaden und einen Kausalzusammenhang voraus. Ein Schaden wird nicht vermutet. Nach der Rechtsprechung des Gerichtshofs kann allerdings schon der bloße Verlust der Kontrolle über die eigenen Daten ein immaterieller Schaden sein, ebenso eine begründete Befürchtung des Missbrauchs.
Genau daran fehlt es nach Auffassung des Generalanwalts, wenn der Betroffene den Verstoß selbst herbeiführt. Wer gezielt nach Websites sucht, die seine IP-Adresse an Dritte weitergeben, diese aufruft und dann eine Entschädigung verlangt, habe die Kontrolle über seine Daten nicht verloren. Die Daten seien genau so verwendet worden, wie er es vorgesehen hatte. Ebenso wenig könne er sich auf eine Befürchtung des Missbrauchs berufen: Der massenhafte Aufruf von Websites mit eigens dafür entwickelter Software zeige vielmehr, dass er das Risiko einer Nutzung seiner IP-Adresse bewusst in Kauf nahm.
Sein Vorschlag lautet: Ein immaterieller Schaden kann nicht anerkannt werden, wenn die betroffene Person bewusst, in automatisierter Weise und wiederholt einen Verstoß gegen die DSGVO herbeigeführt hat, um hierfür eine Entschädigung zu erlangen.
Frage 3: Rechtsmissbrauch auch bei gemischten Motiven
Weil schon der Schaden fehlt, hält der Generalanwalt die dritte Frage eigentlich für entbehrlich. Er beantwortet sie dennoch hilfsweise. Nach ständiger Rechtsprechung dürfen sich Bürger nicht in betrügerischer oder missbräuchlicher Weise auf Unionsrecht berufen. Ein Missbrauch setzt ein objektives Element (das Ziel der Regelung wird trotz formaler Einhaltung ihrer Bedingungen nicht erreicht) und ein subjektives Element (die Absicht, sich durch künstliche Schaffung der Voraussetzungen einen Vorteil zu verschaffen) voraus.
Der Beklagte hatte vorgetragen, er habe die Websitebetreiber auch auf das Datenschutzproblem aufmerksam machen wollen. Das reicht nach Ansicht des Generalanwalts nicht. Die missbräuchliche Absicht müsse nicht das einzige Motiv sein; es genüge, dass das Geldinteresse das Hauptziel war. Er stützt sich dabei auf das Urteil Brillen Rottler vom 19. März 2026 (C-526/24) und zieht eine Parallele zur Entscheidung M.I.C.M. (C-597/19) zu „Copyright-Trollen“: Auch dort schloss ein gewisser Nutzen für die Rechtsdurchsetzung einen Missbrauch nicht aus, wenn in Wirklichkeit die Einnahmeerzielung im Vordergrund stand. Positive, aber nebensächliche Folgen ändern daran nichts.
Einordnung: Was folgt daraus?
Für Websitebetreiber, die gezahlt haben
Folgt der Gerichtshof dem Generalanwalt, entfällt die Grundlage für Zahlungen an Massenabmahner, die Verstöße gezielt provoziert haben. Für die Rückforderung bereits gezahlter Beträge kommt es dann auf das nationale Recht an. Das Landgericht Hannover hat im Ausgangsverfahren einen Anspruch wegen vorsätzlicher sittenwidriger Schädigung bejaht; der Bundesgerichtshof wird nach dem EuGH-Urteil darüber entscheiden. Ob und in welchem Umfang Rückforderungen heute noch durchsetzbar sind, hängt unter anderem von der Verjährung und den Umständen des Einzelfalls ab. Das sollte geprüft werden, bevor man Zeit und Geld investiert.
Für alle Websitebetreiber
Die Schlussanträge sind kein Freibrief für die dynamische Einbindung von Drittdiensten. Zum einen betreffen die Aussagen zum fehlenden Schaden nur den Sonderfall des bewusst provozierten Verstoßes. Ein gewöhnlicher Besucher, dessen IP-Adresse ohne Rechtsgrundlage weitergegeben wird, kann sich weiterhin auf einen Kontrollverlust berufen. Zum anderen bleiben Unterlassungsansprüche, Maßnahmen der Aufsichtsbehörden und Abmahnungen durch Mitbewerber oder Verbände möglich. Die sichere Lösung bleibt, Schriftarten und vergleichbare Ressourcen lokal einzubinden und für andere Drittdienste eine tragfähige Rechtsgrundlage, in der Regel eine Einwilligung, vorzusehen.
Für Betroffene von Datenschutzverstößen
Wer tatsächlich von einem Datenschutzverstoß betroffen ist, verliert durch die Schlussanträge keine Rechte. Der Generalanwalt bestätigt ausdrücklich die Rechtsprechung, wonach schon der Kontrollverlust ein ersatzfähiger Schaden sein kann. Ausgeschlossen werden soll nur der selbst herbeigeführte Schaden.
Wie geht es weiter?
Die Schlussanträge eines Generalanwalts sind für den Gerichtshof nicht bindend, er folgt ihnen aber häufig. Eine mündliche Verhandlung hat in diesem Verfahren nicht stattgefunden. Mit einem Urteil ist erfahrungsgemäß einige Monate nach den Schlussanträgen zu rechnen. Danach entscheidet der Bundesgerichtshof über die Revision.
Weitere Hintergründe zum Thema finden Sie in unseren Beiträgen zum Google-Fonts-Urteil des LG München, zum Schadensersatz nach Art. 82 DSGVO, zur Bemessung des immateriellen Schadensersatzes und zur DSGVO-Abmahnung durch Wettbewerber.
Rechtliche Unterstützung im Datenschutzrecht
Wir beraten Websitebetreiber bei der datenschutzkonformen Gestaltung ihrer Websites, bei der Abwehr von DSGVO-Abmahnungen und Schadensersatzforderungen und bei der Prüfung von Rückforderungsansprüchen. Mehr dazu auf unserer Seite Rechtsanwalt Datenschutzrecht. Wenn Sie eine Abmahnung oder Zahlungsaufforderung wegen Google Fonts oder eines anderen Datenschutzverstoßes erhalten haben, nehmen Sie Kontakt mit uns auf.
Quellen: Schlussanträge des Generalanwalts Maciej Szpunar vom 5. November 2026, Rechtssache C-654/25 [Undelam], InfoCuria; EuGH, Urteil vom 19.10.2016 – C-582/14 (Breyer); EuGH, Urteil vom 04.09.2025 – C-413/23 P (EDSB/SRB); EuGH, Urteil vom 17.06.2021 – C-597/19 (M.I.C.M.); EuGH, Urteil vom 19.03.2026 – C-526/24 (Brillen Rottler). Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Prüfung im Einzelfall.
Häufige Fragen zu Google Fonts und C-654/25
Worum geht es in der Rechtssache C-654/25?
Um die Google-Fonts-Abmahnwelle von 2022. Ein Websitebetreiber, der nach einer Abmahnung 170 Euro gezahlt hatte, verlangt das Geld zurück. Der Abmahner hatte Websites mit dynamisch eingebundenen Google Fonts per Software automatisiert aufgerufen. Der Bundesgerichtshof hat dem EuGH Fragen zur IP-Adresse, zum Schaden nach Art. 82 DSGVO und zum Rechtsmissbrauch vorgelegt.
Was schlägt der Generalanwalt vor?
Eine automatisch an Google übermittelte dynamische IP-Adresse soll für Google ein personenbezogenes Datum sein, wenn Google den Nutzer vernünftigerweise identifizieren kann, und für den Websitebetreiber, wenn er das weiß oder hätte wissen müssen. Ein immaterieller Schaden soll ausscheiden, wenn der Betroffene den Verstoß bewusst, automatisiert und wiederholt herbeigeführt hat, um eine Entschädigung zu erlangen.
Ist das schon eine Entscheidung des EuGH?
Nein. Schlussanträge sind ein Entscheidungsvorschlag und binden den Gerichtshof nicht. Das Urteil steht noch aus, danach entscheidet der Bundesgerichtshof.
Kann ich bereits gezahlte Beträge zurückfordern?
Das hängt vom Einzelfall ab, insbesondere von der Verjährung und der Anspruchsgrundlage nach nationalem Recht. Im Ausgangsverfahren hat das LG Hannover einen Anspruch wegen vorsätzlicher sittenwidriger Schädigung bejaht. Eine verbindliche Klärung bringen erst das EuGH-Urteil und die anschließende Entscheidung des Bundesgerichtshofs.
Darf ich Google Fonts jetzt wieder dynamisch einbinden?
Davon ist abzuraten. Die Schlussanträge betreffen nur den Sonderfall des provozierten Verstoßes. Gewöhnliche Besucher können sich weiterhin auf einen Kontrollverlust berufen, und Unterlassungsansprüche, Maßnahmen der Aufsichtsbehörden und Abmahnungen durch Mitbewerber bleiben möglich. Schriftarten sollten lokal eingebunden werden.
Was bedeutet Rechtsmissbrauch im Sinne des Unionsrechts?
Ein Missbrauch liegt vor, wenn das Ziel einer Regelung trotz formaler Einhaltung ihrer Bedingungen nicht erreicht wird und jemand die Voraussetzungen für einen Vorteil künstlich schafft. Nach dem Generalanwalt genügt es, wenn das Geldinteresse das Hauptmotiv ist; es muss nicht das einzige sein.
