google reCaptcha und Google Font

[gregorsart]

Hallo zusammen, was mit aufgefallen ist:

Wenn man in Shopify ein Formular verwendet (z.B. Newsletter Anmeldung) ist dies ja Shopify nativ. Aber diese Formulare werden auch von Haus aus mit google reCaptcha gesichert.

Damit einher geht eine google Font (die Roboto, die mitgeladen wird) Daher: Verwendet man ein Formular bei Shopify, dann verwendet man auch automatisch eine Google Font! Das gilt es bei der Abmahn-Situation zu berücksichtigen!

Wie seht ihr das? 

Grüße newbie

[Gabe]

Vergleiche das live Theme mit einer frischen heruntergeladenen Kopie des Themes. In vielen Fällen lädt eine App die Fonts also rein. Dort wird es komplizierter das Problem zu lösen, wenn die App die Option nicht hat, keine Google Fonts (nur Systemfonts) zu verwenden. Das müsste ein Experte genauer anschauen da die Apps das Problem sind. Loox zum Beispiel, hat keine Möglichkeit, die Google Fonts zu deaktivieren oder lokale Fonts zu laden. Hier kann man auch als Entwickler wenig tun - nur die App Anbieter selber können das anschauen wie man in diesem Beitrag sieht.

Ein paar weitere Tipps dazu:

• https://www.haendlerbund.de/de/leistungen/rechtssicherheit/hilfe-bei-abmahnung/abmahnung-google-font... 
• https://sicher3.de/google-fonts-checker 
• https://www.adsimple.at/datenschutzerklaerung/google-fonts-datenschutzerklaerung
• https://ezfycode.com/blog/add-custom-fonts-to-shopify
• https://simplify-everything.com/en/blog/2019/05/30/how-to-host-google-fonts-local-through-css

Man soll also die Fonts lokal einbinden im Asset Folder. Einen neuen asset hinterlegen...@font face usw. Die fonts dann im Datei Bereich hochladen und zu Asset verlinken...im theme.liquid dann %include fonts usw.

Man kann auch über den Händlerbund die AGB und datenschutzhinweise erstellen lassen. Da lässt sich auch ein passus zu Google fonts auswählen und wird entsprechend

in der Datenschutzerklärung übernommen. 

[Timo_Krause · Accepted solution]

Hallo @gregorsart,

erst vor ein paar Tagen hat die IT-Recht-Kanzlei genau dieses Thema aufgegriffen.

In diesem Beitrag (https://www.it-recht-kanzlei.de/google-fonts-recaptcha-youtube.html) heißt es dazu:

Anders, als man meinen könnte, ist die IP-Übertragung durch die Webfonts-Komponente innerhalb von Google reCAPTCHA (...) aber nicht eigenständig als datenschutzrechtliches Problem zu werten.

Bereits originär wird bei der Einbindung beider Dienste nämlich die IP-Adresse des Nutzers erhoben und an Google übermittelt.

Im Falle von reCAPTCHA geschieht dies über ein Skript. Die IP-Adresserhebung -und Übermittlung dient hier der Verifizierung der Quelle des Aufrufs und einer automatischen Entscheidung über weitere Legitimierungsanforderungen zur Abwehr automatisierter Seitenaufrufe und Distributed Denial of Service-Attacken. Insoweit ist die IP-Adressübermittlung an Google grundsätzlich über berechtigte Interessen an der Funktionalität der Website und an der Missbrauchsprävention gem. Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt.

---

Für mich liest sich das so, dass die Einbindung von Google Fonts in Google reCAPTCHA in soweit nicht problematisch ist, als das du den reCAPTCHA Dienst zur Spam-Abwehr benutzt, was einem berechtigten Interesse gleichkommt und Google Fonts hier nur dazu dient, das Design des reCAPTCHA Dienstes darzustellen. 

Dies ist natürlich keine Rechtsberatung sondern lediglich meine eigene Interpretation des Artikels. 

[Gabe]

Hey Timo! @Timo_Krause 

Danke für den Link und die Übermittlung der IP Adresse war für mich auch nie strafrechtlich gesehen abmahnbar. Die IP Adresse ist ein sog. "primary data" (wie z. B. Browsertyp) und nicht "secondary data", wie z. B. die Übermittlung weiterer personenbezogene Angaben, wie Email oder Online Purchase History, was ja nicht-konform wäre. 

Der reCaptcha ist in der Tat notwendig (und sehr effektiv) um fake und maliziöse "Bot" Anmeldungen im Shop zu unterbinden, was im heutigen Internet ein wachsendes Problem darstellt. 

[Timo_Krause]

Hi @Gabe,

ich denke, auch die Übertragung der IP-Adresse wird schon kritisch gesehen, sonst hätte es sicher kein Urteil des Landgerichts München dazu gegeben. Aber sei es drum.

Dennoch finde ich es interessant, dass es seit Ende Oktober im deutschen aber auch englischen Forum Beiträge zu reCAPTCHA gibt. Im englischen wird gefragt, wie man den Badge ausblenden kann und hier wird eben auf die Verwendung von Google Fonts hingewiesen. Das spricht aus meiner Sicht dafür, dass die Entdeckung, die ich heute Morgen nach meinem Urlaub gemacht habe, auf alle Shopify-Shops zutrifft: Der reCAPTCHA Badge wird seit neuestem auf allen Seiten (Collections, Pages, Startseite) angezeigt (siehe Bild). Das war vor 1 1/2 Wochen noch nicht der Fall und ist mir heute morgen sofort aufgefallen. Habt ihr/hat Shopify da etwas verändert?

[Gabe]

Ja, mit der IP Adresse ist es so eine Sache. Meine IP Adresse wird ja von meinem ISP "maskiert" und bei einer Suche nach meiner IP Adresse komme ich auf die HQ von meinem ISP "Imagine" (was mit mir selber oder meiner Location ja nichts zu tun hat) wie man unten sieht:

Somit bezieht sich meine IP nicht auf meine Person sondern auf die meines ISPs.

Die Klage war ja das "neben der Einordnung der IP-Adresse als personenbezogenes Datum, die unfreiwillige Weitergabe ein nicht gerechtfertigter Eingriff in das allgemeine Persönlichkeitsrecht" war. Wie kann das sein wenn die IP vom ISP maskiert wird? Aber ja, es ist ein problematisches Thema. 

• Der reCAPTCHA Badge wird seit neuestem auf allen Seiten (Collections, Pages, Startseite) angezeigt (siehe Bild).

Der eingebaute reCaptcha wird wie folgt angezeigt je nach Ankreuzfeld:

Bei dir handelt es sich um eine Badge die vom Google reCaptcha gesetzt wird da dies auch von Google verlangt wird beim crawlen deiner Webseite und der Anzeige deiner Webseite auf Google Search.

Das bedeutet lediglich, dass reCAPTCHA im Shop aktiv ist und dein Theme zeigt das Label. Derzeit zeigen alle 2.0-Themes von Shopify das reCAPTCHA-Label in der unteren rechten Ecke des Kontaktformulars NICHT an, während es bei den alten Themes (Debut, Minimal, Supply usw.) angezeigt wird. Welches Theme is deins?

• Mehr zu diesem Thema in diesem Leitfaden.

Möchtest du den Badge entfernen, gehe in deinen Theme-Editor und füge den folgenden Code Snippet zu den Seiten hinzu, die den Badge zeigen:

• {{ 'shopify.online_store.spam_detection.disclaimer_html' | t }}

Google verlangt aber das dann das folgende angezeigt wird:

• Google erklärt das ganze hier

[Timo_Krause]

Danke für deine Rückmeldung.

Wir verwenden zZt noch kein Onlinestore 2.0 Theme. Wir haben das Theme "Impulse" gekauft, das wir gerade auf OS 2.0 updaten.

In unseren drei Shops (je einer für Deutschland, Österreich und die Schweiz) haben wir jeweils beide reCAPTCHA Checkboxen angehakt. Seltsamerweise erscheint im Shop für Deutschland das reCAPTCHA Badge auf wirklich allen Seiten, egal welcher Seitentyp (Startseite, Collection, Page, Product Page, Policy). Das war vor 1,5 Wochen noch nicht der Fall. Zusätzlich wundert es mich, da dieses Verhalten in den beiden anderen Shops für Österreich und Schweiz nicht auftritt, obwohl alle drei Shops identisch sind. 

Aus irgendeinem Grund muss es auf allen Seiten einen Trigger geben, dass Google denkt, recaptcha sei hier aktiv.