IT-Sicherheit & technische Lösung

Technische Lösung – Ein Muss!

Der erste Schritt, unabhängig davon, ob man ein Forderungsschreiben erhalten hat oder nicht, ist, zu prüfen, ob auf der eigenen Webseite Google Fonts dynamisch eingebunden sind. Wenn ja: diesen Zustand unverzüglich ändern! Nicht morgen oder übermorgen, sondern heute!
Wenn man nicht auf externe Spezialisten zurückgreifen mag, die diesen Vorgang für kleine Münze erledigen (z.B.: https://www.digistore24.com/product/450302) , ist ein übliches technisches Vorgehen zum Beispiel folgendes:

• Benutzte Google Fonts herausfinden.
• Benötigte Google Fonts herunterladen.https://fonts.google.com/
• Google Fonts auf den Server hochladen.
• CSS auf der Website anpassen.
• Verbindung zu Google Fonts deaktivieren.
• Prüfen, ob alle Google Fonts lokal geladen werden.

Es gibt auch Wordpress-Plugins, die Google Fonts deaktivieren:

https://de.wordpress.org/plugins/search/disable+google+fonts/

Allerdings kann jedes neue Plugin oder jedes Update die dynamische Einbindung der Fonts wieder durch die Hintertür mitbringen. Man muss also seine Webseite immer wieder prüfen!
Da die Ersteller der Forderungsschrieben die Webseiten vermutlich im ersten Schritt nur oberflächlich gescannt haben, aber im Zweifel vor Gericht in der Beweispflicht sind, ist mit der schnellen technischen Umsetzung einer möglichen Klage sehr wahrscheinlich der Boden entzogen. Sogenannte

Wayback-Seiten

bilden die Vergangenheit von Webseiten auf der Basis von Screenshots ab. Der ehemalige technische Aufbau lässt sich damit nicht rekonstruieren. Hinweis: Wenn man schon aufräumt, sollte man bei der Gelegenheit auch alle anderen Third Partys auf den Prüfstein legen und am besten entfernen.

Reaktionsmöglichkeiten

Hat man nun die Webseite technisch gesäubert, stellt sich die Frage, ob und wie man nun auf die Forderungsschreiben reagieren soll. Es gibt im Grunde drei Möglichkeiten:

1. Bezahlen
   Diese naheliegende Möglichkeit ist auch die schlechteste Lösung. Zum einen leistet man diesem rechtsmissbräuchlichem Vorgehen Vorschub, und zum anderen ist man dadurch nicht davor sicher, dass noch 10, 100 oder 1000 weitere vergleichbare Schreiben eintrudeln, solange die Kuh noch Milch gibt. Außerdem ist es kaufmännisch Nonsens, unbegründete und unbewiesene Forderungen anstandslos zu begleichen.
2. Ignorieren
   Das Aussitzen hat ein Bundeskanzler perfektioniert. Allerdings ergibt sich hier ein bestimmtes Risiko: das Forderungsschreiben kann man mit wenig juristischer Fantasie als Widerspruch nach Art. 21 Abs. 1 DSGVO auffassen. Das ergibt sich aus der Passage: „...Bitte unterlassen Sie es also unverzüglich, bei einem Aufruf Ihrer Internetseite meine IP-Adresse durch Bereitstellung einer Schriftart des Anbieters Google (Google Fonts) dem Anbieter dieser Schriftart offenzulegen, wie oben angegeben geschehen…“
   Eine Widerspruchserklärung ist formlos möglich und auch gültig, wenn die betroffene Person ihren eindeutigen Willen erklärt, selbst wenn dabei das Wort Widerspruch nicht fällt.
   Wenn eine betroffene Person ihre Rechte in einem Schreiben geltend macht, muss der Verantwortliche unverzüglich, spätestens innerhalb eines Monats antworten, auch wenn es eine negative Antwort ist (Art. 12 Abs. 3 DSGVO). Gar nicht zu antworten, kann also einen weiteren Verstoß gegen die DSGVO bedeuten.
3. Antworten
   Die Forderung zurückzuweisen, scheint der beste Weg zu sein. Ein kostenloses Musterschrieben mit dem gehörigen Maß an anwaltlicher Einschüchterung findet man hier: https://www.wbs-law.de/it-und-internet-recht/datenschutzrecht/google-webfont-musterschreiben-61157/
   Will man nicht gleich die volle Gegenargumentation offenlegen, kann man sich auch mit einem lapidaren Schreiben kurz halten: „Vielen Dank für Ihr Schrieben vom …, dessen Eingang wir bestätigen.
   Ihre Forderung weisen wir als unbegründet und unbewiesen zurück.
   Die beanstandete Verarbeitung findet im Übrigen nicht statt.
   Hochachtungsvoll…“

always stay ahead of the aircraft

Ein Sprichwort sagt: „Es gibt viele tollkühne Piloten, und es gibt viele alte Piloten. Es gibt aber nur sehr wenige alte tollkühne Piloten“. Die Entwicklungen hinsichtlich Cookies waren ebenso lange vorhersehbar wie die Google-Fonts-Problematik. Die generelle Einwilligungsbedürftigkeit bei den meisten Third Partys steht jetzt schon fest, auch wenn es vielleicht noch einige Jahre dauern mag, bis es hier zu Urteilen oder Abmahnungen kommt.
Viele Versicherungsvermittler predigen ihren Kunden das Riskmanagement, gelegentlich verbunden mit dem Hohelied des §1 StaRUG. Umso mehr müsste man doch selbst in der Pflicht stehen, nicht nur zu reagieren, sondern Risiken zu antizipieren. Ein Grundsatz der Pilotenausbildung lautet: always stay ahead of the aircraft, sei deinem Flugzeug voraus. Oder drastischer: Lass dein Flugzeug nur dahinfliegen, wo dein Gehirn schon fünf Minuten vorher gewesen ist.
Dieses vorausschauende Risikomanagement ist auch und gerade für das Betreiben von Webseite zwingend nötig, denn Fehler sind dort leicht von anderen zu erkennen.