Die niederländische Aufsichtsbehörde für Datenschutz, Autoriteit Persoonsgegevens (AP), hat im vergangenen Monat ein Bußgeld in Höhe von 824.990.000 Euro gegen den US-amerikanischen Personenbeförderungsdienstleister Uber verhängt. Die Aufsichtsbehörde stellte fest, dass Uber Mittel zur automatisierten Entscheidungsfindung gegenüber Fahrerinnen und Fahrer eingesetzt hat.
Damit hat die AP bereits vier Bußgelder gegen Uber verhängt. Auch die vergangenen Bußgelder, aus 2018, 2023 und 2024, sind derzeit noch aktiv – Uber wehrt sich gegen die beiden Bußgelder aus 2023 und 2024, bei denen es sich ebenfalls um Millionen Beträge handelt.
Software-Tracking für Fahrverhalten und Kundenbewertungen
Uber setzte zwischen 2018 und 2022 eine Software ein, um das Fahrverhalten von Fahrern sowie Kundenbewertungen zu überwachen. Das System sollte mögliche Betrugsfälle erkennen und auffällige Bewertungen identifizieren. Wurde ein solcher Fall festgestellt, konnten die betroffenen Konten der Fahrer automatisch deaktiviert werden.
Eine menschliche Prüfung fand in diesem Prozess nicht statt. Für die Fahrer hatte die Deaktivierung erhebliche Folgen: Während ihre Konten gesperrt waren, konnten sie über Uber kein Einkommen erzielen.
Die AP leitete eine Untersuchung ein, nachdem sich 171 französische Fahrer an die französische Menschenrechtsorganisation Ligue des droits de l’Homme (LDH) gewandt hatten. Die LDH reichte daraufhin im Namen der Fahrer eine Beschwerde bei der französischen Datenschutzbehörde CNIL ein.
Da Uber seinen europäischen Hauptsitz in den Niederlanden hat, war die AP im Rahmen des One-Stop-Shop-Mechanismus der DSGVO federführend zuständig. Während der Untersuchung arbeitete sie eng mit der französischen Aufsichtsbehörde zusammen und stimmte die Entscheidung über die Geldbuße mit weiteren europäischen Datenschutzaufsichtsbehörden ab.
Unzulässige automatisierte Deaktivierungen
Bei der Deaktivierung der Fahrerkonten lag eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO vor. Danach haben betroffene Personen grundsätzlich das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, wenn diese ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
Eine solche erhebliche Beeinträchtigung sah die AP hier als gegeben an. Durch die Deaktivierung waren die Fahrer für Fahrgäste nicht mehr auffindbar. In der Folge konnten über die Plattform keine Fahrten mehr bei ihnen gebucht werden. Für die Betroffenen führte dies unmittelbar zu finanziellen Nachteilen.
Die Ausnahmen des Art. 22 Abs. 2 DSGVO sind in diesem Fall nicht zutreffend. Die automatisierte Deaktivierung war für die Durchführung des Vertrags nicht erforderlich. Auch eine gesetzliche Grundlage oder eine ausdrückliche Einwilligung der betroffenen Fahrerinnen und Fahrer lag nicht vor. Zudem fehlten angemessene Maßnahmen, um die Rechte und Interessen der Betroffenen zu schützen.
Hinzu kam, dass Uber die Fahrer nach Feststellung der AP nicht ausreichend über die automatisierten Entscheidungsprozesse informiert hatte. Gerade bei Entscheidungen mit erheblichen wirtschaftlichen Folgen müssen Betroffene nachvollziehen können, warum eine Entscheidung getroffen wurde und wie sie dagegen vorgehen können.
Automatisierungen zulässig umsetzen
Automatisierte Prozesse werden durch den Einsatz von KI in Unternehmen immer wichtiger. Sie können Abläufe beschleunigen, Kosten senken und Entscheidungen vorbereiten. Gleichzeitig steigt das Risiko, dass Betroffene einer Entscheidung ausgesetzt werden, die ausschließlich automatisiert getroffen wird und erhebliche Auswirkungen auf sie hat.
Gerade deshalb bleibt das Human-in-the-Loop-Prinzip zentral. Eine echte menschliche Intervention kann dazu beitragen, automatisierte Entscheidungsprozesse datenschutzkonform auszugestalten. Das setzt jedoch voraus, dass die menschliche Prüfung nicht nur formal erfolgt, sondern inhaltlich wirksam ist.
Unternehmen sollten daher frühzeitig prüfen, ob Art. 22 Abs. 1 DSGVO auf ihre Prozesse anwendbar sein könnte. Das gilt insbesondere bei Tools, die Risiken bewerten oder wirtschaftlich relevante Entscheidungen vorbereiten. Wird eine Automatisierung eingesetzt, müssen geeignete Schutzmaßnahmen vorgesehen werden. Dazu kann nach Art. 22 Abs. 3 DSGVO insbesondere das Recht auf menschliches Eingreifen gehören.
Hilfreich ist außerdem, bereits vor Einführung solcher Systeme eine Datenschutzfolgeabschätzung (DSFA) durchzuführen. So lassen sich Risiken für Betroffene, Transparenzpflichten, Rechtsgrundlagen und technische Schutzmaßnahmen frühzeitig prüfen. Auch die Grundsätze der Datenverarbeitung und die Rechenschaftspflicht dürfen dabei nicht vernachlässigt werden.
Die AP hat sich bereits in der Vergangenheit mit datenschutzrechtlich unzulässigen Praktiken bei automatisierten Entscheidungsfindungen befasst. In unserem Beitrag vom 30.09.2025 lesen Sie, wie die niederländische Aufsichtsbehörde einen Leitfaden zur Gestaltung einer bedeutungsvollen menschlichen Intervention veröffentlicht hat.
Fazit
Das Bußgeld gegen Uber zeigt, dass automatisierte Entscheidungen mit erheblichen Folgen für Betroffene nicht ohne wirksame Kontrolle erfolgen dürfen. Unternehmen müssen prüfen, ob Art. 22 DSGVO anwendbar ist, transparente Informationen bereitstellen und echte menschliche Eingriffsmöglichkeiten schaffen.
Automatisierung und KI können Prozesse effizienter machen. Sie brauchen aber klare rechtliche Leitplanken, nachvollziehbare Entscheidungen und Schutzmechanismen für Betroffene.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
