Google-Fonts-Abmahnung: EuGH-Generalanwalt hält die Massenforderungen für rechtsmissbräuchlich

170 Euro, weil auf deiner Studio-Website eine Schriftart von Google geladen wurde? Jetzt hat sich der Generalanwalt am Europäischen Gerichtshof zur Abmahnwelle von 2022 geäußert – mit deutlichen Worten.

Erinnerst du dich an den Herbst 2022? Damals landeten in ganz Deutschland Schreiben in den Briefkästen von Website-Betreibern. Der Vorwurf: Auf der Website würden Google Fonts direkt von Google-Servern geladen. Dabei werde die IP-Adresse der Besucher an Google übermittelt, und das verletze die DSGVO. Gefordert wurden 170 Euro „Schadensersatz“. Betroffen waren Websites aus allen Branchen – und eben auch viele Tattoo-Studios.

Am 5. November 2026 hat Generalanwalt Maciej Szpunar am Europäischen Gerichtshof (EuGH) seine Schlussanträge in der Rechtssache C-654/25 vorgelegt. Seine Einschätzung: Wer einen Datenschutzverstoß absichtlich und massenhaft selbst herbeiführt, um daraus Geld zu machen, hat keinen ersatzfähigen Schaden. Und selbst wenn doch: Solche Forderungen wären rechtsmissbräuchlich. In diesem Beitrag erfährst du, was das bedeutet, ob du dein Geld zurückbekommst und wie du deine Studio-Website heute absicherst.

Rückblick: So lief die Google-Fonts-Welle 2022

Google Fonts sind kostenlose Schriftarten, die viele Baukasten-Systeme und WordPress-Themes standardmäßig einbinden. Werden sie „dynamisch“ eingebunden, lädt der Browser jedes Besuchers die Schrift direkt von einem Google-Server. Dabei wird seine IP-Adresse an Google übertragen – ohne dass er vorher gefragt wurde.

2022 hatte das Landgericht München I in einem Einzelfall einem Website-Besucher deshalb 100 Euro Schadensersatz zugesprochen. Daraus machten einige ein Geschäftsmodell: Eine Software (ein sogenannter Crawler) besuchte automatisiert unzählige Websites und dokumentierte, wo Google Fonts dynamisch geladen wurden. Anschließend gingen Schreiben mit einer Zahlungsaufforderung über 170 Euro raus, teils über einen Anwalt im Namen einer angeblichen „Interessengemeinschaft Datenschutz“. Nach Angaben des Bundesgerichtshofs wurden mehr als 100.000 solcher Schreiben verschickt.

Gerade kleine Betriebe waren ein leichtes Ziel. Viele Tattoo-Studios haben ihre Website selbst gebaut oder von Bekannten erstellen lassen – oft mit Templates, in denen Google Fonts schon eingebaut waren. Und 170 Euro sind ein Betrag, den viele lieber zahlen, als sich auf einen Streit einzulassen. Genau darauf war das Modell ausgelegt.

Der Weg zum EuGH: Ein Betroffener wollte sein Geld zurück

Das Verfahren, das jetzt in Luxemburg liegt, ist für dich besonders interessant: Es geht genau um die Frage, ob man die gezahlten 170 Euro zurückverlangen kann.

Ein Website-Betreiber hatte im Oktober 2022 ein solches Schreiben erhalten und die 170 Euro fristgerecht gezahlt. Als er erfuhr, dass Tausende andere dasselbe Schreiben bekommen hatten, verlangte er das Geld zurück. Das Amtsgericht Hannover sprach ihm 70 Euro zu. Das Landgericht Hannover verurteilte den Abmahner und seinen Anwalt dann als Gesamtschuldner, die vollen 170 Euro zurückzuzahlen – wegen vorsätzlicher sittenwidriger Schädigung (§ 826 BGB). Dagegen legten beide Revision zum Bundesgerichtshof (BGH) ein. Der BGH sieht es so: Das Geld muss nur dann zurück, wenn dem Abmahner tatsächlich kein Schadensersatzanspruch nach der DSGVO zustand.

Der BGH hat das Verfahren mit Beschluss vom 28. August 2025 ausgesetzt und dem EuGH drei Fragen vorgelegt (Az. VI ZR 258/24):

1. Ist eine dynamische IP-Adresse ein personenbezogenes Datum, wenn nur ein Dritter die Informationen hat, um die Person dahinter zu identifizieren?
2. Kann jemand einen immateriellen Schaden nach Art. 82 DSGVO geltend machen, wenn er den Datenschutzverstoß gezielt selbst herbeiführt, um ihn zu dokumentieren und Geld zu verlangen – und das massenhaft?
3. Falls ja: Kann der Anspruch wegen Rechtsmissbrauchs ausgeschlossen sein, wenn die Voraussetzungen künstlich geschaffen wurden, um einen Vorteil zu erlangen?

Was Generalanwalt Szpunar sagt

Der Generalanwalt beantwortet die Fragen des BGH so:

• Kein Schaden bei selbst provoziertem Verstoß: Wer einen DSGVO-Verstoß bewusst, automatisiert und wiederholt selbst herbeiführt, erleidet keinen ersatzfähigen immateriellen Schaden nach Art. 82 DSGVO. Die betroffene Person habe „keineswegs die Kontrolle über ihre Daten verloren. Im Gegenteil wurden ihre personenbezogenen Daten genauso verwendet, wie sie es vorgesehen hatte.“ Auch eine Befürchtung, die Daten könnten missbraucht werden, sei nicht erkennbar – schließlich habe der Abmahner eigens eine Software entwickelt, um die Übermittlung auszulösen.
• Rechtsmissbrauch: Weil schon kein Schaden vorliegt, hält Szpunar diese Frage eigentlich für entbehrlich. Für den Fall, dass der EuGH das anders sieht, prüft er sie trotzdem: Ein Anspruch scheitert am Rechtsmissbrauch, wenn seine Voraussetzungen künstlich geschaffen wurden, um einen Vorteil zu erlangen. Dabei genügt es, wenn der finanzielle Gewinn das Hauptziel ist – er muss nicht das einzige sein. Das Argument des Abmahners, er habe Website-Betreiber auch auf ein Datenschutzproblem aufmerksam machen wollen, lässt Szpunar deshalb nicht gelten. Er zieht ausdrücklich eine Parallele zu den „Urheberrechtstrollen“ aus dem EuGH-Urteil M.I.C.M.
• IP-Adressen: Eine automatisch an Google übermittelte dynamische IP-Adresse ist für Google ein personenbezogenes Datum, wenn Google über Mittel verfügt, die vernünftigerweise zur Identifizierung eingesetzt werden könnten. Dafür genügt nach Szpunar schon ein „nicht unerhebliches“ Risiko. Er verweist ausdrücklich auf die umfangreichen Datenbestände, mit denen Google die IP-Adresse verknüpfen kann. Für den Website-Betreiber ist die IP-Adresse dann mittelbar ebenfalls ein personenbezogenes Datum – allerdings nur, wenn er weiß oder hätte wissen müssen, dass Google die Person identifizieren kann.

Kurz gesagt: Die Masche mit den 170-Euro-Forderungen hätte nach dieser Linie keine Grundlage. Der Datenschutz an sich bleibt aber bestehen – der dritte Punkt zeigt, dass die Einbindung von Drittdiensten weiterhin ein Thema ist.

Einordnung: Noch kein Urteil, aber ein starkes Signal

Wichtig zu wissen: Schlussanträge sind noch keine Entscheidung. Der Generalanwalt ist ein unabhängiges Mitglied des EuGH und schlägt dem Gericht eine Lösung vor. Die Richterinnen und Richter sind daran nicht gebunden, folgen den Schlussanträgen aber in der Mehrzahl der Fälle. Das Urteil wird in den kommenden Monaten erwartet.

Nach der Entscheidung aus Luxemburg ist wieder der BGH am Zug. Er muss den konkreten Fall aus Hannover dann auf Grundlage der EuGH-Antworten entscheiden – also auch darüber, ob der Website-Betreiber seine 170 Euro zurückbekommt.

Für dich heißt das: Die Richtung ist klar, das letzte Wort ist aber noch nicht gesprochen. Wer heute ein ähnliches Schreiben bekommt, hat mit den Schlussanträgen jedenfalls ein gewichtiges Argument in der Hand.

Geld zurück? Leider meist zu spät

Die naheliegende Frage: Bekomme ich meine 170 Euro zurück, wenn ich 2022 gezahlt habe? Die ehrliche Antwort: in den meisten Fällen eher nicht.

Der Grund ist die Verjährung. Ansprüche auf Rückzahlung verjähren in der Regel nach drei Jahren (§ 195 BGB). Die Frist beginnt am Ende des Jahres, in dem der Anspruch entstanden ist und du die maßgeblichen Umstände kanntest (§ 199 BGB). Wer 2022 gezahlt hat, dessen Anspruch dürfte damit grundsätzlich mit Ablauf des 31. Dezember 2025 verjährt sein.

Ausnahmen sind denkbar, aber eng. Hast du zum Beispiel schon früh Klage erhoben oder mit der Gegenseite über eine Rückzahlung verhandelt, kann die Verjährung gehemmt sein. In sehr seltenen Fällen kann auch eine besonders unklare Rechtslage den Fristbeginn hinausschieben. Ob so etwas bei dir in Betracht kommt, lässt sich nur im Einzelfall prüfen.

Der Blick zurück ist also meist erledigt. Viel wichtiger ist der Blick nach vorn: Sorge dafür, dass deine Website heute sauber aufgestellt ist.

Website-Check für dein Studio

Auch wenn die 170-Euro-Masche vor dem Aus stehen sollte: Die DSGVO gilt weiter, und Aufsichtsbehörden oder echte Besucher können Verstöße nach wie vor geltend machen. Mit diesen Punkten bist du auf der sicheren Seite:

Dazu gehört eine aktuelle Datenschutzerklärung, die alle eingesetzten Dienste nennt. Wenn du einen Website-Baukasten nutzt, frag beim Anbieter nach, wie Schriften und externe Inhalte eingebunden sind. Viele Anbieter haben inzwischen auf lokale Einbindung umgestellt – aber eben nicht alle. Und wenn jemand anderes deine Seite gebaut hat: Lass dir bestätigen, dass keine Google Fonts mehr dynamisch geladen werden.

Brief im Briefkasten? So reagierst du richtig

Ob Google Fonts, ein Foto auf Instagram oder Musik in einem Reel: Forderungsschreiben folgen oft demselben Muster. Ein kleiner Betrag, eine kurze Frist und der Hinweis, dass es sonst teurer wird. Diese Schritte helfen dir:

1. Ruhe bewahren und Frist notieren. Ignorieren ist keine gute Idee, vorschnelles Zahlen aber auch nicht.
2. Nichts unterschreiben. Vor allem keine beigefügte Unterlassungserklärung ungeprüft unterzeichnen. Sie bindet dich oft für Jahrzehnte und kann hohe Vertragsstrafen auslösen.
3. Nicht anrufen. Was du in einem spontanen Telefonat mit der Gegenseite sagst, kann später gegen dich verwendet werden.
4. Beweise sichern. Schreiben, Umschlag, E-Mails und Screenshots deiner Website zum betreffenden Zeitpunkt aufbewahren.
5. Problem beheben. Den beanstandeten Dienst trotzdem prüfen und gegebenenfalls umstellen. Das hilft dir auch gegenüber künftigen Forderungen.
6. Prüfen lassen. Ob eine Forderung berechtigt, überhöht oder rechtsmissbräuchlich ist, hängt immer vom Einzelfall ab. Hole dir fachanwaltliche Hilfe!

FAQ: Google-Fonts-Abmahnung und die Schlussanträge

Was hat der EuGH-Generalanwalt entschieden?
Er hat nichts entschieden, sondern dem EuGH am 5. November 2026 eine Lösung vorgeschlagen (Rechtssache C-654/25). Danach entsteht bei absichtlich, automatisiert und massenhaft provozierten DSGVO-Verstößen schon kein ersatzfähiger Schaden. Hilfsweise hält er solche Forderungen für rechtsmissbräuchlich.

Ist das schon verbindlich?
Nein. Der EuGH ist an die Schlussanträge nicht gebunden. Das Urteil steht noch aus, danach entscheidet der BGH den konkreten Fall.

Bekomme ich meine 170 Euro von 2022 zurück?
In den meisten Fällen eher nicht, weil Rückforderungsansprüche aus 2022 grundsätzlich mit Ablauf des Jahres 2025 verjährt sind. Ausnahmen, etwa wegen früherer Klage oder Verhandlungen, sind im Einzelfall zu prüfen.

Darf ich Google Fonts jetzt wieder einfach so einbinden?
Besser nicht. Der Generalanwalt hält eine dynamische IP-Adresse unter Umständen weiterhin für ein personenbezogenes Datum. Lokal gehostete Schriften sind die sichere Lösung.

Ich habe heute ein ähnliches Schreiben bekommen. Was soll ich tun?
Nicht ungeprüft zahlen und nichts unterschreiben. Frist notieren, Beweise sichern und die Forderung prüfen lassen.

Gilt das auch für andere Abmahnungen, etwa wegen Fotos oder Musik?
Nicht automatisch. Bei Urheberrechtsverletzungen geht es um andere Ansprüche. Der Gedanke, dass künstlich geschaffene Ansprüche missbräuchlich sein können, ist aber auch dort nicht neu.

Fazit

Die Schlussanträge sind eine gute Nachricht für alle, die 2022 einen der 170-Euro-Briefe bekommen haben. Wer Datenschutzverstöße künstlich und massenhaft provoziert, um daraus Geld zu machen, soll damit nach Ansicht des Generalanwalts keinen Erfolg haben. Für eine Rückforderung ist es meist zu spät, und das endgültige Urteil des EuGH steht noch aus. Entscheidend für dein Studio ist deshalb: Website jetzt prüfen, Google Fonts lokal einbinden und bei neuen Forderungen nicht vorschnell zahlen.