Too fast, too bold: Warum Vollautomatisierung Uber 825 Millionen Euro kostet

Ein massiver Eingriff in die berufliche Existenzgrundlage

Die niederländische Datenschutzaufsichtsbehörde Autoriteit Persoonsgegevens (AP) hat gegen den Fahrdienstvermittler Uber ein Bußgeld in Höhe von 824.990.000 Euro verhängt. Diese Summe stellt die zweithöchste Einzelstrafe dar, die seit dem Inkrafttreten der Datenschutzgrundverordnung (DSGVO) vor acht Jahren jemals festgesetzt wurde. Der Kern des Vorwurfs wiegt schwer: Uber hat über einen Zeitraum von vier Jahren, konkret von 2018 bis 2022, gegen das fundamentale Verbot vollautomatisierter algorithmischer Entscheidungen verstoßen, das in Artikel 22 der DSGVO verankert ist. Die Behörde kam zu dem Schluss, dass das Unternehmen Fahrer ohne jegliche menschliche Kontrolle deaktiviert hat. Dies geschah auf Basis einer algorithmischen Auswertung von Fahrerdaten, Fahrverhaltensdaten sowie Kundenbewertungen. Für die betroffenen Fahrer bedeutete dies oft den plötzlichen und unerwarteten Verlust ihrer Einkommensquelle. Die Aufsichtsbehörde betont, dass bei derart weitreichenden Konsequenzen für das Leben und die Existenz von Menschen eine manuelle Prüfung durch menschliche Entscheider zwingend erforderlich gewesen wäre, um die Rechte der Betroffenen zu wahren.

Die Details des behördlichen Befundes

Die Entscheidung der niederländischen Behörde ist das Ergebnis einer langjährigen Untersuchung. Auslöser war eine Beschwerde einer französischen Menschenrechtsorganisation, die sich für die Rechte von 170 Uber-Fahrern einsetzte. Diese hatten sich aufgrund der automatisierten Sperrungen an die Organisation gewandt, welche daraufhin die französische Datenschutzaufsichtsbehörde CNIL einschaltete. Da die niederländische Behörde AP jedoch für den Europasitz von Uber federführend zuständig ist, wurde der Fall dorthin übergeben. Die Ermittlungen ergaben, dass Uber ein System etabliert hatte, das Fahrer ohne Vorwarnung von der Plattform ausschloss. Monique Verdier, die stellvertretende Chefin der AP, unterstrich in ihrer Stellungnahme die Schwere des Vergehens: Die Betroffenen verloren von einem Moment auf den anderen ihre wirtschaftliche Basis, ohne dass ein Mensch den Sachverhalt geprüft hätte. Artikel 22 der DSGVO schützt Nutzer explizit vor solchen vollautomatisierten Prozessen, insbesondere bei Kündigungen, Kreditentscheidungen oder der Zuteilung von Aufträgen, bei denen eine algorithmische Entscheidung erhebliche Auswirkungen auf das Individuum hat. Uber hat inzwischen nach eigenen Angaben die Praxis innerhalb der Europäischen Union angepasst, um den Anforderungen des Datenschutzes zu entsprechen.

Ein langer Weg der rechtlichen Auseinandersetzungen

Die aktuelle Rekordstrafe ist kein isolierter Vorfall in der Beziehung zwischen Uber und der niederländischen Aufsichtsbehörde. Es handelt sich bereits um den vierten Bußgeldbescheid, den die AP gegen den Fahrdienstleister erlassen hat. Die vorangegangenen Sanktionen verdeutlichen ein Muster an datenschutzrechtlichen Defiziten. Im Jahr 2018 wurde eine Strafe von 600.000 Euro verhängt, gefolgt von 10 Millionen Euro im Jahr 2023. Ein weiterer Bescheid über 290 Millionen Euro folgte im Jahr 2024. In den beiden letztgenannten Fällen ging es ebenfalls um die Rechte der Fahrer: Einmal verletzte Uber die Auskunftsrechte der Fahrer, ein anderes Mal wurden Daten ohne ausreichende Rechtsgrundlage in den USA verarbeitet und gespeichert. Gegen diese beiden Bescheide hat das Unternehmen bereits Rechtsmittel eingelegt, die Verfahren sind noch nicht abgeschlossen. Auch gegen den aktuellen, massiven Bußgeldbescheid hat Uber offiziell Einspruch erhoben. Es ist bemerkenswert, dass sich der aktuelle Fall ausschließlich auf die algorithmischen Entscheidungen konzentriert und nicht, wie in früheren Fällen, auf die allgemeine Verarbeitung von Nutzerdaten. Die Behörde sieht in der Summe von 825 Millionen Euro eine angemessene Reaktion auf die Schwere der Auswirkungen für die betroffenen Fahrer.

Die Akteure und ihre Rollen

Im Zentrum der Auseinandersetzung stehen auf der einen Seite die niederländische Datenschutzaufsichtsbehörde AP als entscheidende Instanz, die für den Europasitz von Uber verantwortlich zeichnet. Auf der anderen Seite steht das US-Unternehmen Uber, das als Fahrdienstvermittler agiert und die algorithmischen Systeme entwickelte, die nun als gesetzeswidrig eingestuft wurden. Eine zentrale Rolle bei der Aufdeckung spielte die französische Menschenrechtsorganisation, die als Sprachrohr für die 170 betroffenen Fahrer fungierte und den Stein durch die Beschwerde bei der CNIL ins Rollen brachte. Monique Verdier, als stellvertretende Chefin der AP, fungiert als wichtigste Sprecherin der Behörde und hat die Entscheidung öffentlich begründet. Sie macht deutlich, dass die Behörde die Schutzfunktion der DSGVO als nicht verhandelbar betrachtet. Uber hingegen agiert als juristischer Akteur, der die Bußgelder nicht akzeptiert und den Rechtsweg beschreitet. Die irische Datenschutzaufsicht wird in diesem Kontext lediglich als Vergleichsinstanz genannt, da sie für andere große Tech-Konzerne wie Meta oder TikTok zuständig ist und dort ebenfalls hohe Bußgelder verhängt hat.

Einordnung der Sanktion im europäischen Kontext

Einzuordnen ist diese Entscheidung als ein deutliches Signal der europäischen Aufsichtsbehörden gegen die unkontrollierte Macht von Algorithmen. Sollten die verhängten Geldbußen in dieser Höhe Bestand haben, würde Uber den zweiten Platz in der Rangliste der höchsten DSGVO-Strafen einnehmen. An der Spitze steht weiterhin Meta mit einer Strafe von 1,2 Milliarden Euro, die 2023 durch die irische Datenschutzaufsicht verhängt wurde. Auf dem dritten Platz läge TikTok mit 530 Millionen Euro, ebenfalls sanktioniert durch die irische Aufsichtsbehörde. Den Berichten zufolge unterstreicht die Höhe der Strafe gegen Uber, wie ernst die Behörden den Schutz vor vollautomatisierten Entscheidungen nehmen, die in das Leben von Arbeitnehmern eingreifen. Es ist ein Balanceakt zwischen technologischer Effizienz und dem Schutz individueller Rechte. Die Behörde macht hierbei deutlich, dass technologische Innovation nicht als Freibrief dienen darf, um menschliche Verantwortung bei existenzbedrohenden Entscheidungen zu umgehen. Die Praxis, Fahrer anhand von Datenanalysen ohne menschliche Kontrolle zu sperren, wird von der AP als ein klarer Verstoß gegen den Geist und den Buchstaben der europäischen Datenschutzgesetzgebung gewertet.

Offene Fragen und verbleibende Lücken

Der vorliegende Sachverhalt lässt einige Fragen offen, die der Quelltext nicht beantworten kann. Zunächst bleibt unklar, wie genau der Algorithmus von Uber die Daten gewichtet hat, um eine Sperrung auszulösen. Es wird zwar erwähnt, dass Fahrverhalten und Kundenbewertungen einflossen, doch die technische Logik hinter der automatisierten Entscheidung bleibt ein Betriebsgeheimnis. Ebenso wird nicht detailliert erläutert, wie Uber den Prozess der menschlichen Prüfung nun konkret in die Abläufe integriert hat, um den Anforderungen der DSGVO in der EU gerecht zu werden. Auch ist offen, wie viele Fahrer insgesamt über den Zeitraum von vier Jahren von diesen Sperrungen betroffen waren, da lediglich die 170 Fahrer genannt werden, die sich bei der Menschenrechtsorganisation gemeldet hatten. Ob es eine Dunkelziffer gibt, lässt sich aus den vorliegenden Informationen nicht ableiten. Zudem ist nicht bekannt, welche internen Kriterien Uber zur Verteidigung gegen die Vorwürfe vorbringt, außer der Tatsache, dass Rechtsmittel eingelegt wurden. Die genaue Strategie des Unternehmens im juristischen Kampf gegen die AP bleibt somit im Dunkeln.

Wie es weitergeht

Die juristische Auseinandersetzung um das Bußgeld in Höhe von 825 Millionen Euro steht erst am Anfang. Da Uber bereits angekündigt hat, Rechtsmittel gegen den Bescheid einzulegen, wird sich das Verfahren voraussichtlich über einen längeren Zeitraum erstrecken. Die Gerichte müssen nun prüfen, ob die Einschätzung der niederländischen Datenschutzaufsichtsbehörde rechtlich Bestand hat. Parallel dazu laufen noch die Verfahren zu den vorangegangenen Bußgeldbescheiden aus den Jahren 2023 und 2024, bei denen es um Auskunftsrechte und die Datenverarbeitung in den USA ging. Auch hier stehen die endgültigen gerichtlichen Entscheidungen noch aus. Für Uber bedeutet dies eine Phase der rechtlichen Unsicherheit, in der mehrere Verfahren gleichzeitig gegen das Unternehmen laufen. Die AP wird die Einhaltung der DSGVO-Regeln in der EU weiterhin genau beobachten. Es bleibt abzuwarten, ob die nun geänderte Praxis von Uber ausreicht, um die Behörden langfristig zufriedenzustellen, oder ob weitere Anpassungen oder Sanktionen folgen werden. Die kommenden Monate werden zeigen, wie die Justiz das Spannungsfeld zwischen algorithmischer Automatisierung und dem Schutz der Arbeitnehmerrechte bewertet.