Was passiert ist
Am 10. September 2026 hat die niederländische Datenschutzbehörde gegen Uber ein Bußgeld von 824.990.000 Euro verhängt. Zwischen 2018 und 2022 verfolgte eine Software das Fahrverhalten der Fahrer und die Kundenbewertungen: Erkannte sie einen Betrugsverdacht oder zu niedrige Bewertungen, sperrte sie das Konto automatisch, teils vorübergehend, bei dauerhaft niedrigen Bewertungen endgültig. Während der Sperre verloren die Fahrer ihr Einkommen über Uber. Eine menschliche Prüfung gab es nicht, und die Fahrer wurden nicht ausreichend informiert. Auslöser waren Beschwerden von 171 französischen Fahrern, die die Ligue des droits de l'Homme bei der CNIL einreichte; zuständig war die niederländische Behörde, weil Ubers europäischer Sitz in den Niederlanden liegt. Der EDSA hat die Entscheidung am 8. Oktober veröffentlicht.
Uber hat die Verstöße beendet und Einspruch angekündigt. Das Unternehmen sagt, bei dauerhaften Sperren seien Menschen beteiligt gewesen. Es ist das vierte niederländische Bußgeld gegen Uber nach 600.000 Euro 2018, 10 Millionen 2023 und 290 Millionen 2024 und das zweithöchste DSGVO-Bußgeld nach dem gegen Meta 2023. Die Obergrenze liegt bei 4 % des weltweiten Umsatzes: 2025 setzte Uber rund 44,5 Milliarden Euro um.
Warum nicht der Algorithmus das Problem ist, sondern der fehlende Mensch
Art. 22 verbietet nicht, einen Score zu nutzen. Er verbietet, den Score allein entscheiden zu lassen, wenn die Entscheidung rechtliche Wirkung entfaltet oder die Person in ähnlicher Weise erheblich beeinträchtigt. Über Nacht das Einkommen zu verlieren, ist genau eine solche Wirkung. Die Ausnahmen in Abs. 2 (Vertrag, Gesetz, Einwilligung) reichen allein nicht: Abs. 3 verlangt trotzdem das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.
- Das menschliche Eingreifen muss echt sein: eine Person mit Befugnis und Sachkunde, das Ergebnis zu ändern, nicht jemand, der pauschal abnickt.
- Es muss vor der Wirkung der Entscheidung möglich sein, nicht nur als nachträgliche Beschwerde.
- Kundenbewertungen und Betrugssignale sind personenbezogene Daten des Fahrers, ihre Verknüpfung ist Profiling.
- Die Datenschutzinformation muss das Bestehen einer automatisierten Entscheidung, die involvierte Logik und die angestrebten Auswirkungen erklären (Art. 13 Abs. 2 lit. f).
- Ein System, das automatisch sperrt, ist eine Verarbeitung mit hohem Risiko: vor dem Start braucht es eine Datenschutz-Folgenabschätzung.
Die Frage an Ihre Mandanten in dieser Woche
Gibt es ein System, das eine Person sperrt, ausschließt oder herabstuft, ohne dass vorher jemand hinschaut? Die Antworten kommen von unerwarteten Stellen: das CRM, das säumige Kunden sperrt, die Plattform, die Lieferanten unter einer Schwelle aussortiert, das Personalsystem, das nach mehreren Auffälligkeiten den Ausweis sperrt, der Filter, der Bewerbungen aussortiert. Für jedes System gehören drei Dinge schriftlich festgehalten: wer die Entscheidung prüft, bis wann, und wie die Person informiert wird und widersprechen kann.
Der Fall reicht über die Niederlande hinaus. Er wurde mit den anderen europäischen Behörden abgestimmt, die CNIL hat mit der niederländischen Behörde zusammengearbeitet, und ab dem 2. Dezember 2026 bringt die Plattformarbeitsrichtlinie noch strengere Regeln zur menschlichen Aufsicht über algorithmische Entscheidungen. Die Entscheidung ist aber angefochten: ein deutliches Signal, wie die Behörden Art. 22 auslegen, noch keine gefestigte Rechtslage.
Praktisch: Im Verzeichnis von Verarbeitungstätigkeiten für jede Verarbeitung mit Scores oder automatischen Regeln eine Zeile, ob eine automatisierte Entscheidung nach Art. 22 vorliegt, welche Ausnahme sie trägt und wer sie überprüft. Fehlt diese Zeile, ist sie die erste, die zu schreiben ist: genau danach würde eine Behörde zuerst fragen.
Offizielle Quelle:Autoriteit Persoonsgegevens — Uber krijgt boete van bijna 825 miljoen euroOffizielle Quelle:EDPB — Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-makingSuchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
