Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens hat gegen den Fahrdienstvermittler Uber eine Geldbuße von knapp 825 Millionen Euro verhängt. Nach Einschätzung der Behörde verstieß das Unternehmen gegen europäische Datenschutzvorschriften, weil Entscheidungen über die Deaktivierung von Fahrerkonten teilweise automatisiert getroffen worden seien und betroffene Fahrer darüber nicht ausreichend informiert worden seien. Das Uber Bußgeld 825 Millionen Euro gehört damit zu den höchsten Sanktionen, die bislang auf Grundlage der europäischen Datenschutz-Grundverordnung verhängt wurden.
Uber widerspricht der Entscheidung und will dagegen vorgehen. Das Unternehmen bezeichnet die Höhe der Sanktion als unverhältnismäßig und macht geltend, dass die untersuchten Verfahren inzwischen nicht mehr angewendet würden. Nach Darstellung von Uber seien dauerhafte Kontosperren nicht ohne menschliche Prüfung vorgenommen worden. Das Unternehmen verweist zudem darauf, dass Fahrer Entscheidungen überprüfen lassen und gegen Sperren vorgehen könnten.
Im Mittelpunkt des Verfahrens steht die Frage, in welchem Umfang Uber Software eingesetzt hat, um über den Zugang von Fahrern zur Plattform zu entscheiden. Nach Feststellung der niederländischen Behörde wurden Konten in bestimmten Fällen automatisiert deaktiviert. Betroffen waren unter anderem Situationen, in denen Systeme Hinweise auf möglichen Betrug erkannten oder Kundenbewertungen bestimmte Schwellenwerte unterschritten.
Die Behörde wertete dies als Verstoß gegen Rechte, die Betroffenen durch die Datenschutz-Grundverordnung eingeräumt werden. Nach Artikel 22 der Verordnung haben Menschen grundsätzlich das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, wenn diese rechtliche Wirkung entfaltet oder sie in vergleichbarer Weise erheblich beeinträchtigt. Das europäische Datenschutzrecht sieht zwar Ausnahmen vor. Dabei müssen jedoch je nach Rechtsgrundlage Schutzmechanismen gelten, zu denen insbesondere menschliches Eingreifen und Möglichkeiten zur Anfechtung gehören können.
Aus Sicht der Behörde konnten die Entscheidungen für Fahrer erhebliche wirtschaftliche Folgen haben, weil eine Deaktivierung den Zugang zu Vermittlungen über die Plattform beschränken oder vollständig unterbrechen konnte. Zusätzlich beanstandete die Behörde, dass Uber die Betroffenen nicht ausreichend über die automatisierte Entscheidungsfindung informiert habe.
Uber stellt die Vorgänge teilweise anders dar. Das Unternehmen erklärt, bei Verdachtsfällen seien Konten zwar zeitweise gesperrt worden, dauerhafte Deaktivierungen habe es jedoch nicht ohne eine menschliche Überprüfung gegeben. Auch die Darstellung der Behörde zu dauerhaft automatisierten Sperren wegen niedriger Kundenbewertungen weist Uber zurück.
Nach Angaben des Unternehmens betrafen Deaktivierungen aufgrund niedriger Bewertungen im Jahr 2021 europaweit 126 Fahrer. Uber führt diese Zahl auch als Argument gegen die Höhe der verhängten Geldbuße an. Die Datenschutzbehörde gelangte dagegen zu dem Schluss, dass die beanstandeten Verfahren einen schweren Eingriff in die Rechte der betroffenen Fahrer darstellten.
Damit ist die Behördenentscheidung noch nicht rechtskräftig abgeschlossen. Uber hat angekündigt, Rechtsmittel einzulegen. Über die endgültige rechtliche Bewertung können deshalb weitere Verwaltungs- oder Gerichtsverfahren entscheiden. Die Feststellungen der Datenschutzbehörde gelten als behördliche Entscheidung, werden von dem Unternehmen aber ausdrücklich angegriffen.
Ausgangspunkt der Untersuchung waren Beschwerden von Uber-Fahrern in Frankreich. Zuständig wurde dennoch die niederländische Datenschutzaufsicht, weil Uber seinen europäischen Hauptsitz in den Niederlanden hat. Dieses Verfahren entspricht dem europäischen System der grenzüberschreitenden Datenschutzaufsicht, bei dem grundsätzlich die Behörde am europäischen Hauptsitz eines Unternehmens eine zentrale Rolle übernehmen kann.
Die Behörde bestätigte, dass sich das Verfahren auf Vorgänge in Europa in den Jahren 2020 bis 2022 bezieht. In Medienberichten wurde teilweise ein weiter gefasster Zeitraum genannt. Für die behördlich bestätigte Einordnung ist deshalb der Zeitraum von 2020 bis 2022 maßgeblich.
Mit rund 825 Millionen Euro erreicht die Sanktion eine außergewöhnliche Größenordnung. Nach dem derzeitigen Stand handelt es sich um die zweithöchste bislang verhängte Geldbuße nach der Datenschutz-Grundverordnung. Höher lag eine 2023 von der irischen Datenschutzbehörde gegen den Facebook-Mutterkonzern Meta verhängte Strafe von 1,2 Milliarden Euro. Auch diese Entscheidung wurde rechtlich angegriffen.
Für die Höhe von Datenschutzbußgeldern spielen unter anderem die Schwere und Dauer eines Verstoßes sowie die wirtschaftliche Größe eines Unternehmens eine Rolle. Nach Angaben aus der niederländischen Entscheidung wurde die Sanktion bei Uber unter Einbeziehung des weltweiten Jahresumsatzes berechnet.
Der Fall reicht über Uber hinaus. Digitale Plattformen nutzen automatisierte Systeme in großem Umfang, um Risiken zu bewerten, Nutzerkonten zu kontrollieren und Entscheidungen über den Zugang zu Dienstleistungen zu treffen. Das europäische Datenschutzrecht setzt solchen Verfahren Grenzen, wenn Entscheidungen ohne wirksames menschliches Eingreifen erhebliche Auswirkungen auf einzelne Personen haben.
Gerade bei Plattformarbeit kann die Frage wirtschaftlich besonders relevant sein. Wer über eine App Aufträge erhält, kann bei einer Kontosperre unmittelbar die Möglichkeit verlieren, über diese Plattform Einnahmen zu erzielen. Die niederländische Behörde sieht deshalb in der ausreichenden Information der Betroffenen und in einer wirksamen menschlichen Überprüfung wesentliche Schutzmechanismen.
Ob die Bewertung der Behörde und die Höhe von knapp 825 Millionen Euro Bestand haben, wird nun vom weiteren Rechtsweg abhängen. Bis zu einer abschließenden Entscheidung bleibt die Sanktion eine angefochtene Behördenentscheidung. Unstrittig ist dagegen, dass der Fall die Reichweite der europäischen Regeln für automatisierte Entscheidungen bei großen digitalen Plattformen erneut in den Mittelpunkt rückt.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu