Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens (AP) hat gegen Uber ein Bußgeld von 825 Millionen Euro verhängt. Nach Angaben der Behörde soll der Fahrdienst Fahrer-Konten mithilfe automatisierter Systeme deaktiviert haben, ohne die Betroffenen ausreichend über diese Entscheidungen zu informieren. Uber kündigte an, gegen den Bescheid vorzugehen.
Nach übereinstimmenden Berichten betrifft das Verfahren Vorgänge aus den Jahren 2018 bis 2022. Ubers Systeme sollten unter anderem mögliche Betrugsfälle erkennen – etwa verdächtige Umwege zur Erhöhung von Fahrpreisen oder angenommene Fahrten, die nach Einschätzung des Unternehmens nicht durchgeführt werden sollten. Die AP wirft Uber vor, dass Konten dabei teilweise ohne wirksame menschliche Prüfung gesperrt worden seien. Auch niedrige Kundenbewertungen sollen in einzelnen Fällen zu automatisierten dauerhaften Deaktivierungen geführt haben.
Für Fahrer kann eine Kontosperre unmittelbar den Zugang zu ihrer Einnahmequelle beenden. Die Datenschutz-Grundverordnung setzt deshalb enge Grenzen für Entscheidungen, die ausschließlich automatisiert getroffen werden und für Betroffene erhebliche Folgen haben. Nach Darstellung der Behörde fehlten bei Uber sowohl ausreichende Informationen über das Verfahren als auch die erforderliche menschliche Beteiligung.
KontextWelche Rechte haben Betroffene nach der Datenschutz-Grundverordnung bei folgenreichen automatisierten Entscheidungen?
Artikel 22 der Datenschutz-Grundverordnung schützt Personen vor Entscheidungen, die allein durch automatisierte Verarbeitung getroffen werden und rechtliche oder ähnlich erhebliche Folgen haben. Solche Entscheidungen sind nur in begrenzten Fällen zulässig: wenn sie für einen Vertrag erforderlich sind, auf EU- oder nationalem Recht mit Schutzvorkehrungen beruhen oder die Person ausdrücklich eingewilligt hat. Bei vertraglich erforderlichen Entscheidungen und bei Einwilligung müssen Betroffene mindestens menschliches Eingreifen verlangen, ihren Standpunkt darlegen und die Entscheidung anfechten können. Zudem müssen Unternehmen über automatisierte Entscheidungen, ihre grundlegende Logik sowie die voraussichtlichen Folgen informieren.
Uber weist die Vorwürfe und insbesondere die Höhe der Geldbuße zurück. Das Unternehmen erklärte, die Behörde habe frühere Regeln geprüft, die seit Jahren nicht mehr gälten. Heute gebe es menschliche Überprüfungen, Schutzvorkehrungen und Möglichkeiten für Fahrer, Sperren anzufechten. Uber bestreitet zudem, Konten dauerhaft allein durch ein automatisiertes Verfahren deaktiviert zu haben.
Die niederländische Behörde ist für das Verfahren zuständig, weil sich Ubers europäischer Sitz in Amsterdam befindet. Auslöser waren Beschwerden französischer Fahrer, die über den europäischen Datenschutzmechanismus an die AP weitergeleitet wurden. Die Sanktion zählt nach Angaben mehrerer Nachrichtenagenturen zu den höchsten bislang unter der Datenschutz-Grundverordnung verhängten Geldbußen; größer war bislang nur die 2023 gegen Meta verhängte Strafe von 1,2 Milliarden Euro.
KontextWarum bearbeitet eine Datenschutzbehörde in einem EU-Land Beschwerden von Betroffenen aus anderen Mitgliedstaaten?
Bei grenzüberschreitender Datenverarbeitung gilt in der EU das „One-Stop-Shop“-Verfahren. Betroffene können sich grundsätzlich an die Datenschutzbehörde ihres Wohnorts, Arbeitsplatzes oder des mutmaßlichen Verstoßorts wenden. Führend ist in solchen Fällen meist die Behörde am Hauptsitz des betroffenen Unternehmens in der EU. Sie untersucht den Fall, erstellt einen Entscheidungsentwurf und stimmt ihn mit den weiteren zuständigen Behörden ab. Diese bleiben für Betroffene in ihrem jeweiligen Land wichtige Ansprechpartner. Kommt keine Einigung zustande, kann der Europäische Datenschutzausschuss eine verbindliche Entscheidung treffen.
Ob und in welcher Höhe Uber am Ende zahlen muss, ist offen: Das Unternehmen hat Rechtsmittel angekündigt. Solche Verfahren können sich über Jahre ziehen; hohe Datenschutzbußen werden vor Gericht teils bestätigt, reduziert oder aufgehoben.
Für Uber ist es nicht die erste Auseinandersetzung mit der niederländischen Aufsicht. Die AP hatte dem Unternehmen bereits 2024 ein Bußgeld von zehn Millionen Euro wegen Verstößen gegen Transparenz- und Auskunftspflichten gegenüber europäischen Fahrern auferlegt. Ein weiteres, 2024 bekanntgegebenes Bußgeld von 290 Millionen Euro betraf die Übermittlung von Fahrerdaten in die USA.
Quellen & Beleglage
3 QuellenEineNachricht formuliert eigenständig. Die Angaben unten beschreiben, wofür die jeweilige Quelle in dieser Fassung verwendet wurde; die Quellenart ist kein Gütesiegel für sämtliche Aussagen der Quelle.
Verwendet für: Berichtet auf Grundlage des eingesehenen Bescheids über Betrag, Zeitraum, Vorwürfe, Stellungnahmen von Behörde und Uber sowie die angekündigte Anfechtung.
Quelle via Euronext öffnen ↗ (öffnet in neuem Tab)Verwendet für: Liefert Kontext zu den französischen Fahrerbeschwerden, der Zuständigkeit der niederländischen Aufsicht und der Einordnung der Bußgeldhöhe.
Quelle öffnen ↗ (öffnet in neuem Tab)Verwendet für: Dokumentiert die frühere Zehn-Millionen-Euro-Sanktion gegen Uber wegen Transparenz- und Datenschutzrechten europäischer Fahrer.
Quelle öffnen ↗ (öffnet in neuem Tab)Was wir weiter beobachten
Diese Punkte sind für mögliche Aktualisierungen noch nicht abschließend geklärt:
- Wie entscheiden die niederländischen Gerichte über Ubers angekündigte Anfechtung des Bußgeldbescheids?