Automatische Fahrersperren verstoßen gegen die DSGVO
Die niederländische Datenschutzaufsichtsbehörde Autoriteit Persoonsgegevens hat gegen Uber ein Bußgeld von 824.990.000 € verhängt. Nach Auffassung der Behörde verstieß der Konzern zwischen 2018 und 2022 gegen Artikel 22 der Datenschutz-Grundverordnung.
Uber soll Fahrer auf Grundlage von Fahrerdaten, Fahrverhaltensdaten und Kundenbewertungen vollautomatisiert gesperrt haben. Eine menschliche Prüfung fand laut Behörde nicht statt. Für die Betroffenen hatte die Entscheidung unmittelbare wirtschaftliche Folgen.
„Fahrer wurden ohne Vorwarnung deaktiviert. Von einem Moment auf den anderen hatten sie kein Einkommen mehr über Uber.“
„Diese Entscheidungen hätten zunächst von einem Menschen geprüft werden müssen.“
Artikel 22 der DSGVO schützt Menschen vor ausschließlich automatisierten Entscheidungen mit erheblichen Auswirkungen. Dazu können neben Sperren und Kündigungen auch Kreditentscheidungen, Personalauswahl oder die automatische Vergabe von Aufträgen gehören.
Beschwerde von 170 Fahrern löste das Verfahren aus
Ausgangspunkt war eine Beschwerde einer französischen Menschenrechtsorganisation im Namen von 170 Uber-Fahrern. Sie wurde zunächst bei der französischen Datenschutzaufsicht CNIL eingereicht und anschließend an die zuständige niederländische Behörde weitergeleitet.
Uber hat gegen den aktuellen Bußgeldbescheid Rechtsmittel eingelegt. Der endgültige Ausgang des Verfahrens ist damit offen. Nach den vorliegenden Angaben hat das Unternehmen seine Praxis für automatisierte Entscheidungen in der EU inzwischen angepasst, nennt aber keine Details zur technischen oder personellen Umsetzung.
Zweithöchste DSGVO-Einzelstrafe
Mit knapp 825 Millionen € wäre die Sanktion die zweithöchste bislang verhängte DSGVO-Einzelstrafe. Nur das Bußgeld gegen Meta aus dem Jahr 2023 fällt höher aus.
| Unternehmen | Bußgeld | Einordnung |
|---|---|---|
| Meta | 1,2 Milliarden € | Höchste DSGVO-Einzelstrafe |
| Uber | 824.990.000 € | Aktueller Bescheid, Rechtsmittel eingelegt |
| TikTok | 530 Millionen € | Dritthöchste genannte Einzelstrafe |
Für Uber ist es bereits das vierte Bußgeld der niederländischen Datenschutzaufsicht. Die bisherigen Verfahren betrafen unter anderem Auskunftsrechte von Fahrern und die Speicherung ihrer Daten in den USA.
| Jahr | Bußgeld gegen Uber |
|---|---|
| 2018 | 600.000 € |
| 2023 | 10 Millionen € |
| 2024 | 290 Millionen € |
| Aktueller Bescheid | 824.990.000 € |
Was Unternehmen im DACH-Raum beachten müssen
Artikel 22 der DSGVO gilt unmittelbar in Deutschland und Österreich. Für Schweizer Unternehmen ist die Vorschrift insbesondere relevant, wenn ihre Verarbeitung im EU-Geschäft in den Anwendungsbereich der DSGVO fällt.
Besonders riskant sind automatisierte Entscheidungen, die Arbeitsverhältnisse, Einkommen, Kreditwürdigkeit oder den Zugang zu Aufträgen betreffen. In solchen Prozessen braucht es eine wirksame menschliche Kontrollinstanz. Ein Human-in-the-Loop ist ein fest eingebauter Prüfpunkt, an dem ein Mensch die Entscheidung nachvollzieht und bei Bedarf korrigiert.
Dass eine menschliche Freigabe allein nicht genügt, zeigt auch die Analyse zu Schwachstellen bei Human-in-the-Loop-Verfahren. Die Prüfung muss fachlich belastbar sein und darf nicht zu einer rein formalen Bestätigung des Systemvorschlags werden.
Black-Box-Automatisierung bleibt ein Unternehmensrisiko
SaaS-Plattformen und KI-Dienste können Entscheidungen weitgehend automatisieren. Das rechtliche Risiko verschwindet dadurch jedoch nicht. Unternehmen müssen weiterhin nachvollziehen können, welche Daten einfließen, wie Entscheidungen entstehen und an welcher Stelle Menschen eingreifen.
Eigene Architekturen und kontrollierte Workflows erleichtern es, manuelle Prüfpunkte, Protokollierung und geregelte Datenflüsse gezielt einzubauen. Sie verursachen Entwicklungs- und Betriebsaufwand, reduzieren aber die Abhängigkeit von einer undurchsichtigen Anbieterlogik. Der Uber-Fall macht deutlich, dass fehlende Kontrolle deutlich teurer werden kann als ein sauber konstruierter Prüfprozess.