Ein Unternehmen setzt Software ein, die Kundenbewertungen automatisch auswertet und bei einem schlechten Ergebnis den Zugang sperrt. Kein Mitarbeiter schaut sich den Einzelfall an, keiner prüft, ob die Bewertung fair zustande gekommen ist. Die Software entscheidet, das System setzt die Entscheidung um, fertig. Genau ein solches Vorgehen hat die niederländische Datenschutzbehörde Uber jetzt mit einem Bußgeld von 824.990.000 Euro quittiert. Es ist die zweithöchste Geldbuße, die je auf Grundlage der Datenschutz-Grundverordnung (DSGVO) verhängt wurde – übertroffen nur von der 1,2-Milliarden-Euro-Strafe gegen Meta aus dem Jahr 2023.
Für ein Fahrdienst-Unternehmen mit Millionen Nutzern mag das ein Ausreißer sein. Für die dahinterliegende Rechtsfrage gilt das nicht: Das Verbot rein automatisierter Entscheidungen betrifft grundsätzlich jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig von der Größe. Und automatisierte Entscheidungen stecken heute in deutlich mehr Geschäftsprozessen, als vielen Verantwortlichen bewusst ist.
UBER steht in diesem Verfahren für zwei Gesellschaften: die niederländische UBER B.V. mit Sitz in Amsterdam und die US-amerikanische UBER TECHNOLOGIES INC. mit Sitz in San Francisco. Über die Plattform vermittelt Uber Fahrten zwischen selbstständigen Fahrern und Fahrgästen.
Ausgangspunkt des gesamten Verfahrens war eine Beschwerde, die die französische Menschenrechtsorganisation Ligue des droits de l’Homme im Jahr 2020 im Namen von mehr als 170 französischen Uber-Fahrern bei der französischen Aufsichtsbehörde CNIL einreichte und 2021 ergänzte. Die Beschwerde richtete sich gegen drei Punkte:
unzureichende Information der Fahrer,
die Übermittlung ihrer Daten außerhalb der EU sowie
automatisierte Entscheidungen über die vorübergehende oder endgültige Deaktivierung von Fahrerkonten.
Weil sich die europäische Zentrale von Uber in den Niederlanden befindet, ist nach dem sogenannten One-Stop-Shop-Verfahren der DSGVO die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens, kurz AP) für die Untersuchung zuständig – die anderen betroffenen Behörden, hier vor allem die CNIL, werden eng in das Verfahren eingebunden. Dieses Prinzip soll verhindern, dass ein Unternehmen mit Niederlassungen in mehreren EU-Ländern zum selben Sachverhalt parallel von 27 Behörden geprüft wird.
Aus derselben Beschwerde sind bereits zwei frühere Bußgelder gegen Uber hervorgegangen: 10 Millionen Euro im Dezember 2023 wegen unzureichender Information der Fahrer und 290 Millionen Euro im Juli 2024 wegen unzulässiger Datenübermittlungen in die USA. Das aktuelle Bußgeld betrifft nun den dritten und letzten Beschwerdepunkt – und ist mit Abstand der schwerwiegendste.
Die AP kam zu dem Ergebnis, dass Uber Fahrerkonten in zwei Fällen vollständig automatisiert deaktivierte: bei Verdacht auf Betrug wurden Konten vorübergehend gesperrt, bei dauerhaft schlechten Kundenbewertungen vorübergehend oder endgültig. In beiden Fällen traf ausschließlich Software die Entscheidung, ohne dass ein Mensch den Einzelfall geprüft hätte. Für die betroffenen Fahrer bedeutete das: kein Zugang zur Plattform, keine Fahrten, kein Einkommen, solange die Sperre bestand.
Warum das keine bloße Formalie ist: Art. 22 DSGVO einfach erklärt
Im Kern geht es um eine einzige Vorschrift: Art. 22 DSGVO. Er gibt jeder betroffenen Person grundsätzlich das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die ihr gegenüber eine rechtliche Wirkung entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt. Vereinfacht gesagt: Eine Maschine allein darf grundsätzlich keine Entscheidung mit spürbaren Folgen für einen Menschen treffen.
„Ähnlich erhebliche Beeinträchtigung“ ist dabei weiter gefasst, als man zunächst denkt. Es muss sich nicht um eine förmliche Ablehnung eines Vertrags oder einer Bewerbung handeln. Auch der automatische Verlust einer Einkommensquelle, wie bei den gesperrten Uber-Konten, reicht dafür aus.
Das Verbot gilt allerdings nicht ausnahmslos. Eine rein automatisierte Entscheidung ist zulässig, wenn sie für einen Vertrag mit der betroffenen Person erforderlich ist, wenn eine gesetzliche Regelung sie ausdrücklich erlaubt, oder wenn die betroffene Person ausdrücklich eingewilligt hat. Aber selbst dann ist die Sache damit nicht erledigt: Der Verantwortliche muss angemessene Maßnahmen treffen, um die Rechte der betroffenen Person zu wahren – mindestens das Recht, das Eingreifen einer Person zu verlangen, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten. Genau daran ist Uber aus Sicht der AP gescheitert: Es gab keine echte menschliche Überprüfung, und die Fahrer wurden über die Automatisierung auch nicht ausreichend informiert.
Ergänzend spielt hier der Begriff „Profiling“ eine Rolle. Damit ist die automatisierte Auswertung bestimmter persönlicher Aspekte gemeint. Im Uber-Fall etwa die Auswertung von Fahrverhalten und Kundenbewertungen, um daraus ein Betrugs- oder Qualitätsrisiko abzuleiten. Profiling ist nicht per se verboten, wird aber besonders kritisch, sobald es unmittelbar in eine automatisierte Entscheidung mit spürbaren Folgen mündet.
Zum Vergleich: Bußgelder nach der DSGVO können bis zu 20 Millionen Euro oder – wenn das mehr ist – bis zu 4 % des weltweiten Konzernjahresumsatzes betragen. Bei Uber mit einem Jahresumsatz von rund 44,5 Milliarden Euro im Jahr 2025 erklärt allein diese Rechengröße die Höhe der Summe. Kleinere Unternehmen trifft dieselbe Prozentregel – nur eben bezogen auf einen entsprechend kleineren Umsatz. Das Prinzip, dass reine Automatisierung ohne menschliche Kontrolle unzulässig sein kann, gilt aber unabhängig von der Unternehmensgröße.
Warum ist es überhaupt so weit gekommen?
Aus der Entscheidung und den begleitenden Stellungnahmen lassen sich einige Muster ablesen, die sich in ganz ähnlicher Form auch in deutlich kleineren Unternehmen finden lassen:
Automatisierung wurde als reine Effizienzfrage behandelt. Bei Millionen Nutzern erscheint eine manuelle Einzelfallprüfung unrealistisch – die Versuchung, den gesamten Prozess der Software zu überlassen, ist entsprechend groß.
Es gab keine wirksame menschliche Kontrolle. Uber verteidigt sich damit, dass Fahrer die Möglichkeit hätten, eine Sperre anzufechten. Aus Sicht der Aufsichtsbehörde reicht eine nachträgliche Beschwerdemöglichkeit aber nicht aus, wenn die eigentliche Entscheidung zuvor bereits vollautomatisch gefallen und umgesetzt worden ist.
Die Informationspflicht wurde unterschätzt. Betroffene müssen bereits im Vorfeld verständlich darüber informiert werden, dass und wie über sie automatisiert entschieden wird und nicht erst auf Nachfrage oder im Streitfall.
Datenschutz wurde als Compliance-Thema am Ende der Prozesskette behandelt, nicht als Anforderung an das Systemdesign von Anfang an.
Wie hätte sich das vermeiden lassen?
Keiner der genannten Punkte erfordert, auf Automatisierung komplett zu verzichten. Die DSGVO verbietet nicht den Einsatz von Software zur Betrugserkennung oder Qualitätssicherung, sie verlangt lediglich, dass am Ende ein Mensch die Entscheidungshoheit behält, wenn die Folgen für Betroffene erheblich sind. Konkret bedeutet das:
Menschliche Prüfung vor der Entscheidung, nicht erst danach: Eine Person mit tatsächlicher Entscheidungsbefugnis muss den Einzelfall bewerten können, bevor eine Sperre, Kündigung oder Ablehnung wirksam wird. Nicht nur im Rahmen einer nachträglichen Beschwerde.
Verständliche Information von Anfang an: Betroffene müssen wissen, dass ein automatisiertes System über sie entscheidet, nach welcher grundlegenden Logik es das tut und welche Folgen das haben kann.
Ein echter Weg zur Anfechtung: Ein Kontaktformular, das ins Leere läuft, genügt nicht. Es braucht einen dokumentierten Prozess, über den Betroffene eine menschliche Überprüfung tatsächlich erwirken können.
Eine Datenschutz-Folgenabschätzung (DSFA) vor dem Einsatz: Wenn ein System in großem Umfang automatisierte Entscheidungen mit erheblicher Wirkung trifft, verlangt Art. 35 DSGVO regelmäßig eine vorherige Risikoprüfung – also eine strukturierte Bewertung, welche Risiken für Betroffene entstehen und wie sie reduziert werden.
Einbindung von Datenschutz und Recht in die Entwicklung, nicht erst kurz vor dem Livegang: Wird ein Bewertungs- oder Sperrmechanismus rein als technisches oder betriebswirtschaftliches Thema behandelt, fällt die datenschutzrechtliche Einordnung erfahrungsgemäß zu spät oder gar nicht auf.
Was Sie für Ihr eigenes Unternehmen mitnehmen sollten
Der Fall betrifft eine Plattform mit Millionen Nutzern – die zugrunde liegende Problematik aber betrifft weit mehr Unternehmen, als der Name Uber vermuten lässt. Automatisierte Entscheidungen mit spürbaren Folgen stecken heute in vielen alltäglichen Prozessen, ohne dass sie als solche erkannt werden:
Automatisches Sperren von Kunden- oder Nutzerkonten in Online-Shops bei einem Fraud-Score der Zahlungs- oder Betrugsprävention-Software.
Bewerbermanagement-Software, die Kandidaten anhand von Schlagworten oder Testergebnissen automatisch aussortiert, ohne dass ein Mensch die abgelehnten Bewerbungen sieht.
Automatisierte Bonitätsprüfungen bei Vertragsabschluss oder Ratenzahlung, die bei einem bestimmten Score automatisch zur Ablehnung führen.
Chatbots oder KI-gestützte Systeme im Kundenservice, die verbindlich über Rückerstattungen, Reklamationen oder Vertragskündigungen entscheiden.
Automatisierte Leistungsbewertungen oder Schichtplanungs-Tools, deren Ergebnis unmittelbar über Bonuszahlungen, Abmahnungen oder Vertragsverlängerungen mitentscheidet.
Stellen Sie sich für Ihr Unternehmen drei Fragen:
Gibt es bei Ihnen Systeme, die ohne Zutun eines Menschen eine Entscheidung mit spürbaren Folgen treffen, etwa eine Sperre, eine Ablehnung oder eine Kündigung?
Wissen die Betroffenen, dass diese Entscheidung automatisiert getroffen wurde?
Und gibt es einen tatsächlich funktionierenden Weg, eine menschliche Überprüfung zu verlangen, bevor die Entscheidung wirksam wird?
Lässt sich mindestens eine dieser Fragen nicht sicher beantworten, lohnt sich ein genauerer Blick auf den betroffenen Prozess, bevor eine Aufsichtsbehörde diesen Blick für Sie übernimmt. Das gilt unabhängig davon, ob Ihr Unternehmen zehn oder zehntausend Mitarbeiter hat: Die Rechtsgrundlage ist dieselbe, nur die Größenordnung des Bußgelds unterscheidet sich.
Zusammenfassung
Das Bußgeld gegen Uber ist in seiner Höhe ein Ausnahmefall. Der Grund dafür ist es nicht: Wenn Software allein über Menschen entscheidet – über ihren Zugang, ihr Einkommen oder ihre Verträge – verlangt die DSGVO eine echte menschliche Kontrolle und transparente Information. Wer diesen Grundsatz beim Einsatz automatisierter Systeme von Anfang an mitdenkt, schützt nicht nur die Betroffenen, sondern auch das eigene Unternehmen vor einem Verfahren, das – wie der Fall Uber zeigt – Jahre dauern und am Ende empfindlich teuer werden kann.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
