825 Millionen Euro für fehlende menschliche Prüfung: Uber kassiert das zweithöchste DSGVO-Bußgeld
Die niederländische Datenschutzbehörde verhängt 825 Millionen Euro gegen Uber. Vorwurf: Kontosperren ohne menschliche Prüfung von 2018 bis 2022.
Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens hat am 21. August 2026 ein Bußgeld von 824.990.000 Euro gegen Uber verhängt. Der Vorwurf betrifft nicht ein Datenleck und keine unerlaubte Weitergabe, sondern die Art, wie das Unternehmen Entscheidungen getroffen hat: Fahrerkonten wurden per Software gesperrt, ohne dass ein Mensch die Entscheidung geprüft hat. Es ist das zweithöchste Bußgeld, das seit Inkrafttreten der Datenschutz-Grundverordnung ausgesprochen wurde.
Was die Behörde beanstandet
Im Kern steht Artikel 22 der DSGVO. Die Vorschrift gibt Betroffenen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, wenn diese ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine Kontosperre, die den Zugang zum Einkommen abschneidet, fällt nach Auffassung der Behörde eindeutig darunter.
Beanstandet werden zwei Punkte. Erstens habe Uber zwischen 2018 und 2022 Fahrerkonten automatisiert deaktiviert, teilweise dauerhaft, ausgelöst durch Betrugsverdacht oder niedrige Bewertungen von Fahrgästen. Eine menschliche Kontrolle, die einen Fehler des Systems hätte auffangen können, habe es dabei nicht gegeben. Zweitens habe das Unternehmen die Fahrer nicht ausreichend darüber informiert, dass über sie automatisiert entschieden wird.
Die Behörde beschreibt die Wirkung auf die Betroffenen deutlich: Fahrer seien ohne Vorwarnung deaktiviert worden und hätten von einem Moment auf den anderen kein Einkommen mehr über die Plattform gehabt.
Wie es zu dem Verfahren kam
Ausgangspunkt war eine Beschwerde von 171 französischen Fahrern, die sich über die Ligue des droits de l'Homme an die Aufsicht gewandt hatten. Zuständig wurde die niederländische Behörde, weil Ubers europäische Hauptniederlassung in Amsterdam sitzt. Wie viele Fahrer insgesamt betroffen waren, hat die Aufsicht nicht beziffert.
Die stellvertretende Vorsitzende der Behörde, Monique Verdier, fasst den rechtlichen Kern in einem Satz zusammen, der über den Einzelfall hinausweist:
Ein Computer sollte nicht eigenständig Entscheidungen treffen, die gravierende Folgen für Sie haben. Diese Entscheidungen hätten zuerst von einem Menschen geprüft werden müssen.
Bemerkenswert daran ist, dass die Aufsicht nicht das System als solches beanstandet. Automatisierte Betrugserkennung bleibt zulässig. Beanstandet wird, dass am Ende der Kette niemand stand, der das Ergebnis überprüft hat, und dass die Betroffenen davon nichts wussten.
Wie Uber die Vorwürfe sieht
Das Unternehmen widerspricht der Entscheidung und hat Rechtsmittel eingelegt. Dauerhafte Deaktivierungen seien nie vollständig automatisiert erfolgt, eine substanzielle menschliche Prüfung sei verfügbar gewesen. Uber verweist zudem darauf, dass im Jahr 2021 in Europa 126 Konten dauerhaft deaktiviert wurden, und stuft die beanstandeten Abläufe als inzwischen überholt ein. Nach eigenen Angaben hat das Unternehmen seine Verfahren in der EU angepasst.
Ob das Bußgeld Bestand hat, ist damit offen. Auch die drei früheren niederländischen Bußgelder gegen Uber sind weiterhin Gegenstand von Verfahren.
Die Höhe ordnet sich in eine Reihe ein
Über der aktuellen Summe steht nur das Bußgeld von 1,2 Milliarden Euro, das die irische Aufsicht 2023 gegen Meta verhängt hat. Darunter folgt die Strafe von 530 Millionen Euro gegen TikTok. Für Uber ist es bereits die vierte niederländische Sanktion nach 600.000 Euro im Jahr 2018, 10 Millionen Euro 2023 und 290 Millionen Euro 2024, in allen Fällen ging es um Rechte von Fahrern.
Zwei Größenverhältnisse machen die Dimension greifbar. Die Summe entspricht rund 1,85 Prozent des weltweiten Uber-Umsatzes von 44,5 Milliarden Euro im Jahr 2025. Und sie liegt in der Größenordnung von etwa 72 Prozent aller DSGVO-Bußgelder, die im gesamten Europäischen Wirtschaftsraum im Jahr 2025 zusammen verhängt wurden.
Was das für Ihr Unternehmen heißt
- Artikel 22 hängt nicht an der Technik, sondern an der Wirkung. Ob hinter der Entscheidung ein Sprachmodell, ein Scoring-Modell oder eine simple Wenn-dann-Regel steckt, spielt keine Rolle. Maßgeblich ist, ob das Ergebnis den Betroffenen erheblich trifft.
- Typische Fälle sind näher, als viele denken. Bonitätsprüfung, automatische Vorauswahl von Bewerbungen, Sperrung eines Kundenkontos, Ablehnung einer Bestellung, Kündigung eines Vertrags. Überall dort greift die Vorschrift, sobald kein Mensch mehr dazwischensteht.
- Menschliche Prüfung muss echt sein. Ein Haken, den jemand routinemäßig setzt, ohne den Fall ansehen zu können, gilt nicht als Prüfung. Nötig ist eine Person mit Befugnis und Informationsstand, die das Ergebnis tatsächlich ändern kann.
- Die Information an die Betroffenen ist ein eigener Verstoß. Uber wurde nicht nur für die fehlende Prüfung belangt, sondern zusätzlich dafür, nicht offengelegt zu haben, dass automatisiert entschieden wird. Diese Pflicht lässt sich mit vergleichsweise geringem Aufwand erfüllen.
- Dokumentation entscheidet im Streitfall. Uber argumentiert, es habe sehr wohl menschliche Prüfungen gegeben. Wer das belegen können will, braucht Protokolle darüber, wer wann welchen Fall angesehen und mit welchem Ergebnis entschieden hat.
- Der Bußgeldrahmen richtet sich nach dem Konzernumsatz. Bei Verstößen gegen Betroffenenrechte sind bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist.
Einordnung für die Praxis
Der Fall ist deshalb interessant, weil er zeitlich vor der aktuellen Automatisierungswelle liegt. Beanstandet wird ein Zeitraum bis 2022, also lange bevor Unternehmen begonnen haben, Entscheidungen an Agenten und Modelle zu übergeben. Die Vorschrift, an der Uber gemessen wird, gilt seit 2018 unverändert und wurde nicht für KI geschrieben. Sie trifft sie trotzdem, weil sie an der Wirkung ansetzt und nicht am Verfahren.
Für Unternehmen, die gerade Abläufe automatisieren, ergibt sich daraus eine überschaubare Hausaufgabe. Es genügt, die eigenen automatisierten Schritte einmal durchzugehen und für jeden zu beantworten, ob das Ergebnis jemanden erheblich betrifft, ob ein Mensch es prüfen kann und ob die Betroffenen davon wissen. In vielen Häusern ist das eine Liste von fünf bis zehn Punkten, nicht von hundert. Wenn Sie dabei unsicher sind, wo in Ihren Abläufen die Grenze verläuft, schauen wir uns das gern gemeinsam an.
