Automatisierte Entscheidung: Fast 825 Millionen Euro Bußgeld gegen Uber

Der Bescheid: EUR 824 990 000 wegen der Artikel 22 und 13 DSGVO

Eine Geldbuße von EUR 824 990 000 trifft Uber B.V.^[1] wegen unzulässiger automatisierter Entscheidungsfindung und unzureichender Information über das Profiling. Verhängt hat sie die Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzbehörde, so die vom EDSA am 8. Oktober 2026 veröffentlichte Zusammenfassung.

Die Eckdaten im Überblick:

• Verantwortlicher: Uber B.V.
• Behörde: AP (Niederlande), zuständig im One-Stop-Shop-Verfahren der DSGVO, weil Uber seinen europäischen Sitz in den Niederlanden hat.
• Normen: Artikel 22 (automatisierte Entscheidung im Einzelfall einschließlich Profiling) und Artikel 13 (Informationspflicht gegenüber der betroffenen Person) der Verordnung (EU) 2016/679, anwendbar seit dem 25. Mai 2018 in der gesamten Union.
• Sachverhalt: Vorgänge aus den Jahren 2018 bis 2022.
• Ursprung: Beschwerden von 171 französischen Fahrern, eingereicht bei der CNIL über die Ligue des droits de l'Homme.
• Stand: Uber hat die Geldbuße angefochten; eine rechtskräftige gerichtliche Entscheidung steht aus.

Was die niederländische Behörde festgestellt hat

Der festgestellte Sachverhalt ist eng umrissen. Bei einem Betrugsverdacht oder bei zu schlechten Kundenbewertungen wurde das Konto des Fahrers automatisch für einen bestimmten Zeitraum deaktiviert. Bei anhaltend schlechten Bewertungen wurde die Deaktivierung dauerhaft.

Für die gesamte Dauer der Sperre verlor der Fahrer das über Uber erzielte Einkommen.

Die AP stuft diese Maßnahmen als ausschließlich automatisierte Entscheidungen ein und ordnet sie dem Verbot des Artikels 22 DSGVO zu. Sie stellt zudem einen zweiten Verstoß fest: Uber hat die Fahrer nur unzureichend über das automatisierte Verfahren informiert.

Die EDSA-Zusammenfassung hält fest, dass Uber die Verstöße inzwischen beendet hat.

Vom abstrakten Grundsatz zum Fall mit Betrag

Artikel 22 verbietet es grundsätzlich, eine Person einer Entscheidung zu unterwerfen, die ausschließlich auf einer automatisierten Verarbeitung beruht, wenn diese ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Der Wortlaut lässt offen, wo die Schwelle der erheblichen Beeinträchtigung verläuft.

Dieser Bescheid setzt einen genauen Punkt auf die Landkarte. Für die AP überschreitet bereits die vorübergehende Sperre eines Arbeitskontos mit Einkommensverlust diese Schwelle. Die dauerhafte Schließung überschreitet sie aus demselben Grund.

Zwei Elemente des Anwendungsbereichs wiegen schwerer als die übrigen:

• Die auslösenden Signale. Ein Betrugsverdacht und ein Bewertungsdurchschnitt genügen nach Auffassung der Behörde, um eine verbotene Entscheidung zu begründen, wenn die Folge automatisch eintritt.
• Die Dauer. Eine befristete Maßnahme zählt so viel wie eine endgültige: Der Einkommensverlust während der Sperre ist die maßgebliche Wirkung.

Es bleibt die Lesart einer federführenden Aufsichtsbehörde. Sie ist angefochten. Das Rechtsmittelgericht kann sie bestätigen oder abändern.

Wer haftet, wenn das System entscheidet

Die Geldbuße hat einen Adressaten: den Verantwortlichen, Uber B.V. Der Algorithmus führt aus; das Unternehmen haftet.

Der Fall zeigt auch die Reichweite des One-Stop-Shop-Verfahrens. Beschwerden, die in Frankreich entstanden, von einer Vereinigung gesammelt und bei der CNIL eingereicht wurden, sind in den Niederlanden entschieden worden, wo die Europazentrale des Konzerns sitzt. Eine Organisation mit Hauptniederlassung in einem Mitgliedstaat verantwortet sich dort für Verarbeitungen, die Personen in anderen Staaten betreffen.

Schließlich der zeitliche Befund: Vorgänge aus dem Zeitraum 2018-2022, Bescheid bekannt gemacht im Oktober 2026. Die Beendigung des Verhaltens, die dieselbe Zusammenfassung vermerkt, steht neben der Geldbuße in voller Höhe.

Drei Entscheidungen, die der Bescheid auf die Tagesordnung der Geschäftsleitung setzt

1. Bestandsaufnahme. Welche Prozesse setzen eine Beziehung zu einer Person über ein automatisches Ergebnis aus, sperren oder beenden sie? Die Liste umfasst auch befristete Maßnahmen, die die AP als vollwertige Entscheidungen behandelt.
2. Menschliches Eingreifen. An welcher Stelle des Ablaufs prüft eine Person mit tatsächlicher Entscheidungsbefugnis den Fall, bevor die Wirkung eintritt? Der General Counsel prüft, welche Grundlage des Artikels 22 Absatz 2 den jeweiligen Prozess trägt und welche Schutzmaßnahmen des Absatzes 3 greifen.
3. Datenschutzhinweise. Beschreibt der Text, den die betroffenen Personen nach Artikel 13 erhalten, das Bestehen des automatisierten Verfahrens, die involvierte Logik und die angestrebten Auswirkungen? Der zweite Uber vorgeworfene Verstoß betrifft genau dieses Dokument.

Für jeden Punkt gilt dieselbe Frage: Welche Funktion steht dafür ein, namentlich und schriftlich, bevor das System in den Produktivbetrieb geht?

Stand des Verfahrens und bekannte Daten

• DSGVO, Artikel 22 und 13: in Kraft, anwendbar seit dem 25. Mai 2018, Geltungsbereich Europäische Union.
• Geldbuße der AP gegen Uber B.V.: verhängt und angefochten; eine rechtskräftige Entscheidung fehlt.
• Zeitplan des Rechtsmittelverfahrens: Die EDSA-Zusammenfassung nennt keine Termine.

Bis zur Entscheidung des Gerichts ist die Lesart der AP die Position der federführenden Aufsichtsbehörde zur automatischen Sperre eines Arbeitskontos.