Google analysiert auch Seiten mit eingebundenen Maps (https://policies.google.com/privacy/update?hl=de#infocollect).

Typekit-Schriften stelllen ebenfalls eine Verbindung zu Drittanbietern her, was nicht wirklich toll ist und zumindest in der DSE detailliert erläutert werden sollte. Du kannst aber, unter Berücksichtigung der Lizenz, auch Schriften vom eigenen Server nachladen, was vollkommen in Ordnung ist.

Halbwegs sicher bist Du, wenn Du nur Session-Cookies ausgibst und keine Drittanbieter nutzt. Ansonsten kommst Du in das schwammige "berechtigtes Interesse"-Gebiet.
Ein ganz brauchbarer Test ist hier [dataskydd.net]: Je grüner und Null, desto gut...