Abmahnungen wegen Google Fonts: EU-Generalanwalt sieht Rechtsmissbrauch

EU-Generalanwalt Maciej Szpunar hat am 5. November 2026 vorgeschlagen, automatisiert provozierte Abmahnungen wegen Google Fonts als rechtsmissbräuchlich zu werten. Voraussetzung ist, dass jemand den Datenschutzverstoß bewusst, automatisiert und wiederholt selbst herbeiführt, um Geld zu fordern. Das geht laut heise online aus seinen Schlussanträgen in der Rechtssache C-654/25 hervor, über die der Europäische Gerichtshof (EuGH) noch nicht entschieden hat.

Wie mehr als 100.000 Abmahnungen vor dem EuGH landeten

Der Streit um die Google-Fonts-Abmahnungen begann laut Vorlagebeschluss des Bundesgerichtshofs (BGH) im Oktober 2022 mit einem Schreiben an den späteren Kläger, der auf seiner Website Google Fonts dynamisch eingebunden hatte. Google Fonts ist ein Verzeichnis mit über 1.500 Schriftarten. Google stellt es Webseitenbetreibenden kostenlos bereit.

Bei dynamischer Einbindung lädt die Seite die Schriften von einem Google-Server nach. Dabei geht die IP-Adresse der Besuchenden an Google in den USA, so der BGH. Lokal eingebundene Schriften vermeiden das. Der Kläger hatte die Einstellung nicht angepasst.

Der Absender der Abmahnungen nutzte einen Webcrawler, also eine Software, die automatisiert viele Webseiten prüft. Das Programm lief laut BGH auf dem Laptop des Beklagten zu 1. Eine zweite Software besuchte die Seite des Klägers automatisch. Die dabei vergebene dynamische IP-Adresse, also eine bei neuer Verbindung wechselnde Adresse, ging an Google in den USA.

Im Oktober 2022 schickte ein Rechtsanwalt im Namen seines Mandanten eine Abmahnung an den Kläger. Der Mandant nannte sich Teil einer „Interessengemeinschaft Datenschutz“, die den Datenschutz auf zivilrechtlichem Weg durchsetzen wolle. Das Schreiben warf dem Kläger einen Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) vor. Der Anwalt verlangte 170 Euro bis zum 3. November 2022. Dafür wollte die Gegenseite die Sache auf sich beruhen lassen, sofern der Verstoß unverzüglich endete.

Das Schreiben verwies auf Schmerzensgelder, die deutsche Gerichte Betroffenen von Datenschutzverstößen zugesprochen hätten. Insgesamt versandten die Beklagten laut BGH mehr als 100.000 solcher Schreiben. Die IT-Recht Kanzlei beziffert die Abmahnungen im deutschsprachigen Raum auf mehrere hunderttausend. Verlangt wurden laut Kanzlei meist 100 bis 200 Euro.

Die Software erledigte laut Kanzlei oft auch die Beweissicherung. Sie fertigte Screenshots vom Quellcode und dokumentierte das Impressum. Eine Unterlassungserklärung forderten die Abmahnungen meist nicht.

Der Kläger überwies laut Vorlagebeschluss am 25. Oktober 2022 die 170 Euro. Aufgrund von Medienberichten über das Vorgehen der Beklagten forderte er das Geld vergeblich zurück. Das Amtsgericht sprach ihm 70 Euro zu. Das Landgericht verurteilte die Beklagten als Gesamtschuldner zu 170 Euro und stützte sich auf § 826 BGB, die sittenwidrige vorsätzliche Schädigung. Mit der Revision wollen die Beklagten das erstinstanzliche Urteil wiederherstellen lassen.

Im August 2025 legte der BGH dem EuGH drei Fragen vor und setzte das Verfahren VI ZR 258/24 aus. Ein Rückforderungsanspruch nach § 826 BGB oder nach § 812 BGB kommt laut BGH nur in Betracht, wenn dem Absender selbst kein Schadenersatz nach Artikel 82 DSGVO zustand. Die Fragen betreffen den Personenbezug von IP-Adressen, den immateriellen Schaden und den Rechtsmissbrauch.

Wann eine dynamische IP-Adresse als personenbezogenes Datum gilt

Eine dynamische IP-Adresse ist laut Szpunars Schlussanträgen ein personenbezogenes Datum, wenn die empfangende Stelle über Mittel verfügt, die vernünftigerweise zur Identifizierung der Person eingesetzt werden können. Schlussanträge sind das Rechtsgutachten eines Generalanwalts, das dem Gericht eine Entscheidung vorschlägt. Der Absender der Daten muss zusätzlich wissen oder wissen müssen, dass dies zutrifft, berichtet heise online. Damit hängt die Verantwortlichkeit der Betreibenden einer Website an ihrem Kenntnisstand.

Die Einordnung von IP-Adressen als personenbezogene Daten hängt laut heise online von den technischen Möglichkeiten des Empfängers ab. Der BGH sah hier Klärungsbedarf. Laut IT-Recht Kanzlei kann Google die Person hinter einer IP-Adresse regelmäßig nicht allein mit technischen Mitteln bestimmen. Es braucht rechtliche Mittel, etwa das Auskunftsverlangen einer Behörde beim Internetanbieter. Mit Auskunftsanfragen befasste sich auch das VG Düsseldorf und stoppte eine vorschnelle Datenlöschung.

Dynamische Adressen werden je nach Vergabepraxis zeitnah neu an andere Nutzende vergeben, so die IT-Recht Kanzlei. Für einen Rückschluss auf die Person braucht es deshalb den Zeitstempel der Übermittlung. Zudem muss der Internetanbieter die Zuordnung lange genug speichern, bis eine Behörde nachfragt.

Das Berufungsgericht stellte laut Vorlagebeschluss darauf ab, ob Google als Empfänger die Person bestimmen lassen kann. Der BGH hält es für denkbar, dass die DSGVO auch gilt, wenn die übermittelnde Stelle die Person identifizieren kann, schreibt die Kanzlei. Im Verfahren fehlen Feststellungen zur Speicherung der Adresse.

Warum bei selbst provozierten Verstößen kein Schaden entsteht

Ein immaterieller Schaden entfällt nach Szpunars Schlussanträgen, wenn jemand einen DSGVO-Verstoß bewusst, automatisiert und wiederholt selbst herbeiführt, um daraus Kapital zu schlagen. Das berichtet heise online zu Artikel 82 DSGVO, der den Schadenersatz regelt. Immateriell heißt: ein Nachteil ohne direkten Vermögensverlust, etwa der Verlust der Kontrolle über eigene Daten.

Dieses Bild wurde mit KI generiertProviderhiggsfieldModellgpt_image_2_5 flare high 1k 16:9Promptflat vector illustration, schematic top-down flow diagram in a circular loop without any numbers: a simple robot icon visits a minimal website window, the website window sends a small font symbol "Aa" back to the robot, then the robot triggers a paper letter with a euro coin symbol. A large crossed-out shield-and-heart icon in the center symbolizes no real harm suffered. Bold outlines, flat shapes, limited palette of navy, teal, mustard yellow and soft coral on a light beige background, generous spacing, balanced composition, no people. No watermark, no signature.

Wer systematisch das Internet scanne, erleide weder einen echten Kontrollverlust noch begründete Zukunftsängste vor einem Missbrauch. Die Daten seien exakt so verwendet worden, wie die Person es absichtlich arrangiert habe. So gibt heise online die Schlussanträge wieder.

Der BGH betont im Vorlagebeschluss, dass der Schadensbegriff unionsrechtlich eigenständig auszulegen ist, schreibt die IT-Recht Kanzlei. Schon die Befürchtung künftigen Missbrauchs kann danach ein Schaden sein. Die bloße Behauptung ohne nachgewiesene Folgen reicht nicht. Das Berufungsgericht verneinte den Schaden, weil der Absender die Übermittlung selbst veranlasst hatte.

Die IT-Recht Kanzlei nennt drei Umstände, die sie an diesen Abmahnungen für verwerflich hält. Der Verstoß sei vorsätzlich provoziert worden. Das Vorgehen sei planvoll auf eine Geldforderung angelegt gewesen. Betroffen sei ausschließlich eine Maschine gewesen.

Wann Schadenersatzansprüche als Rechtsmissbrauch gelten

Schadenersatzansprüche sind nach Szpunars Vorschlag rechtsmissbräuchlich, wenn die primäre Motivation in finanziellen Einnahmen liegt und die Anspruchsvoraussetzungen künstlich und absichtlich geschaffen wurden. Dann gehe der Schutz der europäischen Datenschutznormen ins Leere, berichtet heise online. Das Verbot des Rechtsmissbrauchs ist laut heise ein allgemeiner Grundsatz des Unionsrechts.

Szpunar zieht Parallelen zur Rechtsprechung zu sogenannten Urheberrechtstrollen. Bei diesen wird die Rechtsverfolgung ebenfalls rein geschäftsmäßig betrieben, so heise online. Nach ständiger Rechtsprechung des EuGH ist die missbräuchliche Berufung auf Unionsrecht zudem unzulässig, schreibt die IT-Recht Kanzlei.

Das Berufungsgericht hatte laut Vorlagebeschluss ebenfalls Rechtsmissbrauch angenommen. Wer einen Verstoß gezielt provoziere, handle selbstwidersprüchlich und sei nicht schutzbedürftig.

Der BGH sieht laut IT-Recht Kanzlei Indizien für Missbrauch, vor allem das gezielte, massenhafte Vorgehen und die finanzielle Motivation. Er hält zugleich legitime Interessen für denkbar, etwa Aufklärungsarbeit zu einer verbreiteten Datenschutzproblematik. Die Kanzlei nennt das weltfremd. Für Aufklärung baue niemand eine Infrastruktur für Abmahnungen im sechsstelligen Bereich auf.

Die Kriterien für Missbrauch sind laut Kanzlei unscharf. Das gilt besonders für die Absicht, also die subjektive Komponente. Die dritte Vorlagefrage des BGH zielt darauf, ob ein finanzieller Vorteil als alleinige Motivation vorliegen muss.

Was die Schlussanträge für Webseitenbetreibende konkret bedeuten

Die Schlussanträge in C-654/25 binden den EuGH nicht, doch das Gericht folgt ihnen laut heise online häufig. Szpunar erteilt damit geschäftsmäßigen Abmahnmodellen laut heise online eine deutliche Absage. Schließt sich der EuGH an, wäre automatisierten Abmahnungen im Datenschutz der Boden entzogen. Betreibende von Webseiten bekämen dann spürbare rechtliche Entlastung und mehr Sicherheit.

Für Betroffene, die auf Abmahnungen hin gezahlt haben, ist unbequem, dass ein Schlussantrag noch kein Geld zurückbringt, denn der BGH wartet laut IT-Recht Kanzlei die Antwort des EuGH ab. Die Kanzlei hofft, dass die Luft für technikbasierte Massenabmahnungen durch die Position des EuGH sehr dünn wird.

Die IT-Recht Kanzlei beobachtet seit Jahren, dass Abmahnungen im Datenschutzrecht an Bedeutung gewinnen. Weil Datenschutz im Onlinehandel meist eine technische Komponente hat, eigne sich das Feld für automatisiertes Vorgehen. Inzwischen träfen die Abmahnungen auch reine Präsentationswebseiten ohne Onlineshop.

Gerichte beschäftigen sich auch an anderer Stelle mit Daten und Google-Diensten. Das LG Frankfurt hat Google etwa 3D-Luftbilder eines Grundstücks in Google Earth untersagt. Eine Sammelklage gegen Perplexity dreht sich um Datenweitergabe.

Tipp: Binden Sie Google Fonts lokal ein, dann bleibt laut BGH-Beschluss die Übermittlung der IP-Adresse an Google in den USA aus, auf die sich solche Abmahnungen stützen.

Die Frage ist, wann der EuGH entscheidet. Einen Urteilstermin nennt heise online nicht. Erst nach der Antwort des EuGH setzt der BGH das Verfahren VI ZR 258/24 fort und entscheidet über die Rückforderung der 170 Euro, die der Kläger auf eine Abmahnung hin gezahlt hat.