Google Fonts, CDN’er og persondata: når teknik bliver jura

Kort svar: Når din side henter fonte, scripts eller billeder fra eksterne tjenester, sender den besøgendes IP-adresse – en personoplysning – til tredjeparten, ofte uden samtykke. En tysk dom fra Landgericht München I (20. januar 2022) gjorde problemet kendt med Google Fonts, men logikken gælder alle eksterne indlæsninger: fonte, CDN-scripts, embeds og chatwidgets. Løsningen er som regel teknisk enkel: host fontene selv (det er typisk også hurtigere), gennemgå sitets eksterne kald, og flyt eller samtykkestyr det, der sender data ud af huset.

Fagligt gennemgået: 2. oktober 2026

Det er her, teknik bliver jura: En enkelt linje i temaet – en font hentet fra Googles servere – gør hver sidevisning til en overførsel af personoplysninger.

Denne guide viser, hvordan du finder sitets eksterne kald, hvad de betyder juridisk, og hvordan du lukker dem ét efter ét – med en hastighedsgevinst som sideeffekt.

Vigtigt: Dette er en teknisk gennemgang, ikke juridisk rådgivning. Overførselsgrundlag som aftaler og certificeringer kan ændre sig, så vurdér konkrete tjenester ud fra den aktuelle praksis og dine leverandørers egne oplysninger.

Problemet: IP-adressen rejser med

Hver ekstern ressource på en side udløser et kald fra den besøgendes browser direkte til tredjepartens server – som minimum med IP-adresse, browseroplysninger og den side, kaldet kommer fra. IP-adressen er en personoplysning, så overførslen kræver et grundlag.

I sagen fra Landgericht München I (sag 3 O 17493/20) fandt retten, at en hjemmeside, der indlæste Google Fonts dynamisk fra Googles servere uden samtykke, videregav den besøgendes IP-adresse uden lovligt grundlag. Retten lagde vægt på, at fontene kunne have været hostet lokalt uden overførsel, og tilkendte den besøgende 100 euro i erstatning.

Dommen er tysk og faldt før EU-USA-dataaftalen (Data Privacy Framework) blev vedtaget i juli 2023, så overførselsspørgsmålet kan i dag vurderes anderledes. Kernen står dog stadig: Hvis en ekstern indlæsning ikke er nødvendig, er det svært at begrunde, at den sker uden samtykke. Pointen er ikke „Google er forbudt“, men at hver ekstern indlæsning er en databeslutning, du skal have taget bevidst.

1. Find sitets eksterne kald

Åbn sitet i et privat vindue med browserens netværksfane åben (eller brug en scanner), afvis alt i cookiebanneret, og se så, hvilke fremmede domæner der stadig kaldes. Typiske fund er fonts.googleapis.com, script-CDN’er, kortudbydere, videoplatforme, chat- og anmeldelseswidgets og trackingpixels.

1. Åbn udviklerværktøjerne (F12), og vælg fanen Netværk.
2. Slå „Deaktiver cache“ til, og genindlæs siden.
3. Sortér eller filtrér på domæne, og notér alle domæner, der ikke er dit eget.
4. Gentag på forsiden, en produktside, en side med formular og checkout.

Listen er din arbejdsliste. Gentag øvelsen efter nye plugins, præcis som med cookiebannertesten. De to hænger sammen: Eksterne kald før samtykke er kernen i problemet.

2. Fontene: host dem selv

Google Fonts er udgivet under åbne licenser, der tillader selvhosting, så løsningen er ren gevinst: Download fontfilerne (kun de varianter, du bruger), læg dem på dit eget webhotel, og indlæs dem lokalt. Mange temaer og performance-plugins, bl.a. LiteSpeed Cache og FlyingPress, har funktioner til netop det.

Dermed forsvinder tredjepartskaldet, og siden bliver typisk hurtigere: én forbindelse mindre og fuld kontrol over caching og font-display. Den konkrete fremgangsmåde står i guiden om selvhostede webfonte.

Tjek bagefter i netværksfanen, at fonts.googleapis.com og fonts.gstatic.com er væk. Temaer, sidebyggere og plugins kan stadig indlæse fonte på egen hånd.

Hvor gemmer de skjulte fontkald sig?

• Temaets indstillinger: Mange temaer har en indstilling for at indlæse Google Fonts lokalt – den er ikke altid slået til som standard.
• Sidebyggeren: Sidebyggere kan have deres egen fontindstilling, der indlæser fonte eksternt uafhængigt af temaet.
• Plugins: Formular-, slider- og cookieplugins kan indlæse egne fonte.
• Indlejrede elementer: Kort, videoer og widgets fra tredjeparter henter ofte fonte fra deres egne servere.
• wp-admin: Editoren kan indlæse fonte eksternt for redaktører – det rammer ikke besøgende, men er værd at kende.

3. Resten: CDN’er, embeds og widgets

Ekstern ressource	Typisk løsning
Biblioteker fra script-CDN’er	Host filerne selv, ligesom fontene
Videoer (fx YouTube, Vimeo)	Facade med „klik for at afspille“, så platformen først kaldes ved klik og samtykke
Kort, chat og anmeldelseswidgets	Indlæs efter samtykke via din samtykkeløsning, eller vælg EU-baserede alternativer
Trackingpixels og analyse	Indlæs kun efter samtykke, eller overvej selvhostet analyse
Dit eget CDN til statiske filer	Kan være fint med databehandleraftale og fornuftig konfiguration – vurdér konkret

Facader for video er også en stor hastighedsgevinst, fordi tunge scripts først indlæses, når nogen faktisk vil se videoen. Vurderingen af dit eget CDN står i guiden om Cloudflare og GDPR, og selvhostet webanalyse gennemgås i guiden om Matomo på eget webhotel.

Målet er ikke nul eksterne tjenester. Målet er, at hver enkelt er valgt, dokumenteret og styret.

4. Kontrollér, og dokumentér

Det praktiske tjek tager to minutter: Åbn dit site i en privat fane med netværksfanen åben, og filtrér på „fonts.g“. Kald til fonts.googleapis.com eller fonts.gstatic.com betyder, at besøgendes IP-adresser sendes til Google ved sidevisningen. Tjek flere sidetyper – temaet kan være rent, mens en skabelon, et plugin eller en videowidget stadig kalder ud.

Tag tjekket igen efter større opdateringer, fordi eksterne fontkald har det med at dukke op igen. Notér i sitets dokumentation, at fontene er selvhostede, og hvilke eksterne tjenester der bevidst er valgt og hvorfor. Så er både et tilsynsspørgsmål og den næste udviklers spørgsmål besvaret på forhånd.

Gevinsten: jura og hastighed på én gang

Det gode ved denne oprydning er, at compliancearbejdet også er performancearbejde. Færre tredjepartskald betyder færre DNS-opslag, færre forbindelser og færre scripts, du ikke selv kontrollerer – det kan mærkes på indlæsningstid og Core Web Vitals. Selvhostede fonte og videofacader hører til de få tiltag, hvor jura, hastighed og robusthed trækker samme vej.

Resten af tankegangen om at holde data tæt på dig selv finder du i hubben om datasuverænitet.

Læs også

• Hub: Lovkrav til hjemmesider og webshops
• Selvhostede webfonte: hurtigere og uden tredjelandsoverførsel
• Cookiebanner efter reglerne
• Tredjepartsscripts, der koster hastighed
• WordPress hosting hos Hostious – LiteSpeed og NVMe, servere i Europa og dansk support døgnet rundt

Ofte stillede spørgsmål om Google Fonts og GDPR

Er Google Fonts ulovligt?

Fontene er ikke ulovlige. Problemet er dynamisk indlæsning fra Googles servere, som sender besøgendes IP-adresse uden samtykke. Selvhosting fjerner problemet og er tilladt efter fontenes licenser.

Hvordan ser jeg, om mit site henter eksterne fonte?

Åbn netværksfanen i browserens udviklerværktøjer, og filtrér på „font“ eller „fonts.g“ – eller søg efter fonts.googleapis.com i sidens kildekode. Gentag efter tema- og pluginopdateringer.

Gør selvhostede fonte siden langsommere?

Typisk tværtimod: én forbindelse mindre og fuld kontrol over caching og font-display. Host kun de varianter, du faktisk bruger.

Gælder det samme for andre eksterne tjenester end fonte?

Ja. Script-CDN’er, videoer, kort, chat og trackingpixels sender også besøgendes IP-adresse til tredjeparten. Host det, der kan hostes selv, og indlæs resten først efter samtykke.