Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens (AP) hat gegen Uber ein Bußgeld von 824.990.000 Euro verhängt. Der Vorwurf: Der Fahrdienstvermittler ließ zwischen 2018 und 2022 vollautomatisierte Entscheidungen über die Konten seiner Fahrer treffen — ohne dass ein Mensch sie vorher prüfte. Es ist die zweithöchste Strafe, die seit Inkrafttreten der DSGVO im Jahr 2018 ausgesprochen wurde. Nur das Bußgeld von 1,2 Milliarden Euro gegen Meta aus dem Jahr 2023 liegt darüber.
Was Uber vorgeworfen wird
Nach den Feststellungen der Behörde deaktivierte Uber Fahrerkonten automatisch, wenn das System einen Betrugsverdacht erkannte oder die Kundenbewertungen zu niedrig ausfielen. Bei anhaltend schlechten Bewertungen wurden Konten dauerhaft gesperrt. Grundlage waren Fahrerdaten, Daten zum Fahrverhalten und die Auswertung von Kundenbewertungen — eine anschließende Kontrolle durch einen Mitarbeiter fand laut AP nicht statt.
Damit verstieß Uber gegen Artikel 22 der DSGVO. Dieser verbietet es, Menschen einer Entscheidung zu unterwerfen, die ausschließlich auf automatisierter Verarbeitung beruht und rechtliche oder ähnlich erhebliche Wirkung entfaltet. Zusätzlich bemängelt die Behörde, dass Uber die Fahrer nicht ausreichend über die automatisierte Entscheidungsfindung informiert habe.
„Fahrer wurden ohne Vorwarnung deaktiviert. Von einem Moment auf den anderen hatten sie kein Einkommen mehr über Uber", sagte Monique Verdier, stellvertretende Vorsitzende der AP. Solche Entscheidungen hätten zunächst von einem Menschen geprüft werden müssen.
Ein Fahrer aus Frankreich brachte den Fall ins Rollen
Ausgangspunkt des Verfahrens war laut TechCrunch eine Beschwerde des französischen Fahrers Brahim Ben Ali, der 2019 nach seiner Deaktivierung aktiv wurde und mit Unterstützung der Organisation PersonalData.io Aussagen von 170 weiteren Fahrern sammelte. Zuständig ist die niederländische Behörde, weil Uber seinen europäischen Hauptsitz in Amsterdam hat.
Uber widerspricht der Entscheidung scharf. Man sei „mit dieser Entscheidung und der unverhältnismäßigen Strafe überhaupt nicht einverstanden", erklärte ein Sprecher. Die meisten Sperrungen seien vorübergehend gewesen, dauerhafte Deaktivierungen hätten nie ohne menschliche Prüfung stattgefunden — eine Darstellung, die die Behörde bestreitet. Uber hat Einspruch eingelegt und nach eigenen Angaben seine Praxis in der EU inzwischen geändert.
Für Uber ist es bereits die vierte Strafe der niederländischen Datenschützer: Laut heise online folgten auf 600.000 Euro im Jahr 2018 zehn Millionen Euro im Jahr 2023 und 290 Millionen Euro im Jahr 2024.
Warum dieser Fall über Uber hinausreicht
Das Verfahren betrifft nicht ein Sprachmodell oder generative KI, sondern klassische algorithmische Entscheidungssysteme. Genau das macht es relevant: Artikel 22 DSGVO gilt technologieneutral — egal ob eine Regel-Engine, ein Scoring-Modell oder ein KI-Agent entscheidet. Sobald ein System eigenständig über Kündigungen, Kredite, Bewerbungen oder Kontosperrungen befindet, braucht es einen echten Human in the Loop. Ein Mitarbeiter, der Systemvorschläge nur abnickt, reicht dafür nach gängiger Lesart der Aufsichtsbehörden nicht aus.
- Automatisierte Entscheidungen mit erheblicher Wirkung sind grundsätzlich verboten (Art. 22 DSGVO).
- Betroffene müssen über die Logik der Entscheidung informiert werden und die Möglichkeit haben, sie anzufechten.
- Die Höhe der Strafe zeigt: Aufsichtsbehörden greifen bei Systemen, die Existenzen betreffen, zur oberen Bußgeldskala.
- Entscheidungshoheit: Trifft das System Entscheidungen oder bereitet es sie nur vor? Bei Kündigungen, Sperrungen oder Ablehnungen muss ein Mensch mit tatsächlicher Prüfkompetenz das letzte Wort haben — dokumentiert und nachvollziehbar.
- Transparenz: Betroffene müssen in der Datenschutzerklärung und im konkreten Fall erfahren, dass und nach welcher Logik automatisiert entschieden wird. Ein Widerspruchsweg muss existieren.
- Doppelte Regulierung: Die Hochrisiko-Pflichten des EU AI Act für KI-Systeme in Personalentscheidungen und beim Zugang zu wesentlichen Diensten wurden mit dem Digital Omnibus vom ursprünglichen 2. August 2026 auf den 2. Dezember 2027 verschoben — sie kommen aber: Risikomanagement, technische Dokumentation und menschliche Aufsicht werden dann verpflichtend. Artikel 22 DSGVO gilt unabhängig davon schon heute.
- Uber fined nearly 825 million euros for automated driver blocking — Autoriteit Persoonsgegevens
- Too fast, too bold: Warum Vollautomatisierung Uber 825 Millionen Euro kostet — heise online
- Uber faces fine of nearly $1B over automated driver suspensions — TechCrunch
- Dutch regulator fines Uber €825 mil. for letting algorithm deactivate drivers' accounts — NL Times
Was bedeutet das für Anwender in Deutschland?
Die Entscheidung gilt EU-weit als Signal, denn die DSGVO ist in Deutschland unmittelbar anwendbar und deutsche Aufsichtsbehörden orientieren sich an den Fällen der Kollegen. Wer im Unternehmen KI-Agenten oder Automatisierung für Personalprozesse, Bonitätsprüfung, Kundensperrungen oder Betrugserkennung einsetzt, sollte drei Punkte prüfen:
Wichtig für den Mittelstand: Ob ein Modell in der Cloud eines US-Anbieters läuft oder als Open-Weight-Modell lokal auf eigenen Servern, spielt für Artikel 22 keine Rolle. Ein lokal betriebenes Modell löst zwar das Problem des Datenabflusses, nicht aber die Pflicht zur menschlichen Prüfung. Wer heute etwa ein Bewerber-Ranking oder eine automatische Kundensperrung im Einsatz hat, sollte den Prozess jetzt auf „Empfehlung statt Entscheidung" umstellen und die Prüfschritte protokollieren. Der Uber-Fall zeigt, dass diese Nachjustierung deutlich günstiger ist als der Rechtsstreit danach. Mehr zu Datenschutz-Tools finden Sie in unserer Kategorie Sicherheit.