DSGVO Bußgeld gegen Uber

825 Millionen Euro gegen Uber: Wenn der Algorithmus allein entscheidet

Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens (AP) hat gegen Uber ein Bußgeld von 824.990.000 Euro verhängt. Der Grund: Uber hat zwischen 2020 und 2022 Fahrerkonten vollautomatisiert gesperrt, bei Betrugsverdacht vorübergehend, bei dauerhaft schlechten Kundenbewertungen endgültig. Eine echte menschliche Prüfung gab es nicht, eine ausreichende Information der Fahrer ebenfalls nicht.

Rechtsgrundlage ist Art. 22 DSGVO, das Verbot vollautomatisierter Einzelentscheidungen mit erheblicher Wirkung. Hinzu kommt eine Verletzung der Informations- und Auskunftsrechte. Es ist die zweithöchste DSGVO-Buße aller Zeiten und die vierte gegen Uber allein in den Niederlanden. Der Bescheid ist nicht rechtskräftig, Uber geht dagegen vor.

Für Unternehmen in Deutschland ist der Fall aus einem Grund relevant: Art. 22 DSGVO gilt für jede Organisation, die Software über Menschen entscheiden lässt. Nicht nur für Plattformen.

Was die AP konkret beanstandet

Uber setzte Software ein, die das Fahrverhalten und die Kundenbewertungen der Fahrer laufend auswertete. Erkannte das System einen Betrugsverdacht, etwa unnötige Umwege zur Erhöhung des Fahrpreises oder angenommene Fahrten ohne Ausführungsabsicht, wurde das Konto automatisch deaktiviert. Bei anhaltend niedrigen Bewertungen erfolgte die Sperrung dauerhaft.

Für die betroffenen Fahrer bedeutete das den sofortigen Wegfall ihrer Einnahmen über die Plattform. Genau darauf stützt die Behörde die Schwere des Verstoßes. Die stellvertretende Behördenleiterin Monique Verdier verweist darauf, dass Fahrer ohne Vorwarnung deaktiviert wurden und von einem Moment auf den anderen ohne Einkommen dastanden.

Der zweite Vorwurf wiegt kaum leichter. Uber informierte die Fahrer nicht ausreichend darüber, dass und wie automatisiert über sie entschieden wurde. Damit fehlte die Grundlage, um sich überhaupt gegen die Entscheidung zu wehren. Uber bestreitet den Punkt der endgültigen Sperrungen und erklärt, diese seien nicht vollständig automatisiert erfolgt.

Warum das Bußgeld so hoch ausfällt

Die Höhe ergibt sich aus dem europäisch harmonisierten Berechnungsmodell. Der Bußgeldrahmen liegt bei bis zu vier Prozent des weltweiten Jahresumsatzes. Uber setzte 2025 rund 44,5 Milliarden Euro um, der theoretische Rahmen lag damit bei etwa 1,78 Milliarden Euro. Die AP hat also knapp die Hälfte des möglichen Maximums ausgeschöpft, rund 1,85 Prozent des Konzernumsatzes.

Drei Faktoren treiben die Summe:

Die Eingriffstiefe: Es ging nicht um eine unsauber formulierte Datenschutzerklärung, sondern um den Entzug der Existenzgrundlage per Software.

Die Dauer: Über drei Jahre hinweg, mit einer Vielzahl betroffener Personen in mehreren Mitgliedstaaten.

Die Vorgeschichte: Es ist die vierte Buße der AP gegen Uber. 2018 waren es 600.000 Euro, 2023 dann 10 Millionen wegen verletzter Auskunftsrechte, 2024 folgten 290 Millionen wegen unzulässiger Datenübermittlung in die USA. Wiederholung ist nach Art. 83 Abs. 2 lit. e DSGVO ein erschwerender Umstand, und die Behörden nutzen ihn.

Zum Vergleich: Die bislang höchste DSGVO-Buße traf Meta 2023 mit 1,2 Milliarden Euro, verhängt von der irischen Aufsichtsbehörde wegen Datentransfers in die USA.

Der rechtliche Kern: Art. 22 DSGVO

Art. 22 Abs. 1 DSGVO gibt jeder betroffenen Person das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Formal ist das ein Recht, in der Praxis wirkt es wie ein Verbot mit Erlaubnisvorbehalt.

Zulässig ist eine solche Entscheidung nur in drei Fällen: wenn sie für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist, wenn eine Rechtsvorschrift sie erlaubt, oder wenn eine ausdrückliche Einwilligung vorliegt. Und selbst dann verlangt Art. 22 Abs. 3 DSGVO angemessene Schutzmaßnahmen, mindestens das Recht auf Erwirkung des Eingreifens einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.

Der entscheidende Punkt in der Praxis ist die Frage, wann eine Entscheidung „ausschließlich“ automatisiert ist. Ein Mensch, der eine Systemempfehlung nur abnickt, genügt nicht. Nach der Auslegung der europäischen Aufsichtsbehörden muss die eingeschaltete Person die Befugnis und die fachliche Kompetenz haben, die Entscheidung tatsächlich zu ändern, und sie muss alle relevanten Daten bewerten. Ein Freigabeklick in einem Ticketsystem ist keine menschliche Aufsicht.

Der EuGH hat diese Linie mit dem SCHUFA-Urteil vom 7. Dezember 2023 (C-634/21) deutlich ausgeweitet. Schon die automatisierte Erstellung eines Scores kann eine Entscheidung im Sinne von Art. 22 DSGVO sein, wenn ein Dritter seine Entscheidung maßgeblich darauf stützt. Damit fällt eine ganze Klasse von Vorstufen und Empfehlungssystemen in den Anwendungsbereich, die viele Unternehmen bisher als unkritisch eingeordnet haben.

Fazit für die Praxis

1. Erstens ist die Information keine Nebenpflicht: Uber wurde nicht nur für die Automatisierung sanktioniert, sondern auch dafür, die Fahrer im Unklaren gelassen zu haben. Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g DSGVO verlangen aussagekräftige Informationen über die involvierte Logik sowie über Tragweite und angestrebte Auswirkungen. Wer das in der Datenschutzerklärung mit einem Satz abhandelt, hat die Pflicht nicht erfüllt. Der EuGH hat im Verfahren Dun & Bradstreet Austria (C-203/22, Urteil vom 27. Februar 2025) klargestellt, dass ein pauschaler Verweis auf Geschäftsgeheimnisse nicht ausreicht, um die Erläuterung zu verweigern.
2. Zweitens ist das Nachrüsten teurer als das Mitdenken: Uber hat die Praxis inzwischen umgestellt, es gibt heute menschliche Prüfungen und ein Widerspruchsverfahren. Das hat das Bußgeld nicht verhindert, weil es zu spät kam. Der Aufwand, denselben Prüfschritt drei Jahre früher einzubauen, wäre überschaubar gewesen.
3. Der One-Stop-Shop funktioniert: Der Fall begann mit einer Beschwerde in Frankreich und wurde in den Niederlanden entschieden, weil Ubers europäische Hauptniederlassung in Amsterdam liegt. Die AP hat den Bescheid mit den anderen europäischen Aufsichtsbehörden abgestimmt. Für Unternehmen mit mehreren europäischen Standorten heißt das: Eine Beschwerde in einem Mitgliedstaat kann ein Verfahren in einem anderen auslösen, und die Bemessung folgt einheitlichen Regeln.

Und ein Punkt zur Einordnung: Die Buße ist nicht rechtskräftig. Uber bezeichnet sie als unverhältnismäßig und geht dagegen vor. Auch die Bescheide von 2023 und 2024 sind noch nicht abschließend geklärt. Die Summe kann sich im weiteren Verfahren ändern. An der rechtlichen Bewertung von Art. 22 DSGVO ändert das nichts.