Was Uber unter der GDPR falsch gemacht hat

Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) hat Uber mit einer Geldstrafe von 825 Millionen Euro, etwa 966 Millionen US-Dollar, belegt – eine der höchsten Strafen, die jemals unter der Datenschutz-Grundverordnung verhängt wurden. Die Strafe dreht sich um Ubers Einsatz automatisierter Systeme zur Sperrung oder Deaktivierung von Fahrerkonten. Unter der GDPR haben Einzelpersonen das Recht zu verstehen, wie automatisierte Entscheidungen, die sie betreffen, getroffen werden, und diese Entscheidungen von einem menschlichen Prüfer anfechten zu lassen. Die Aufsichtsbehörden stellten fest, dass Ubers Verfahren zur Sperrung von Fahrern, das manchmal erhebliche finanzielle Konsequenzen hatte, den betroffenen Fahrern keine ausreichende Transparenz oder eine sinnvolle Möglichkeit bot, das Ergebnis anzufechten.

Dies ist nicht der erste Konflikt Ubers mit den niederländischen Aufsichtsbehörden. Im Jahr 2024 verhängte dieselbe Behörde eine Geldstrafe von 290 Millionen Euro gegen Uber, weil personenbezogene Daten von in der EU ansässigen Fahrern ohne angemessene Schutzvorkehrungen an Server in den Vereinigten Staaten übertragen wurden. In diesem Fall ging es um Standardvertragsklauseln, den rechtlichen Mechanismus, den Unternehmen nutzen, um die Übermittlung europäischer Daten ins Ausland zu rechtfertigen. Berichten zufolge stellte Uber die Nutzung dieser Klauseln nach August 2021 ein, sodass Fahrerdaten bei internationalen Übermittlungen unzureichend geschützt waren. Zusammen zeichnen die beiden Strafen das Bild eines Unternehmens, das wiederholt darum gekämpft hat, seine internen Datenpraktiken mit den Kernanforderungen der GDPR in Bezug auf Transparenz, Einwilligung und grenzüberschreitende Übermittlungen in Einklang zu bringen.

Wie die GDPR-Durchsetzung tatsächlich funktioniert

Die GDPR wird von nationalen Datenschutzbehörden in jedem EU-Mitgliedstaat durchgesetzt, nicht von einer einzigen zentralisierten europäischen Regulierungsbehörde. Da Ubers europäische Geschäftstätigkeiten ihren Hauptsitz in den Niederlanden haben, übernahm die niederländische Behörde die Führung in diesem Fall – ähnlich wie die irische Datenschutzkommission 2023 eine separate Geldstrafe von 1,2 Milliarden Euro gegen Meta wegen Datenschutzverstößen im Zusammenhang mit Datenübermittlungen verhängte, eine Strafe, gegen die Meta Berufung eingelegt hat.

Diese Struktur bedeutet, dass die Behörde, die ein Unternehmen überwacht, davon abhängt, wo sich die Hauptniederlassung des Unternehmens in der EU befindet, und dass Durchsetzungsmaßnahmen Jahre dauern können, bis sie abgeschlossen sind. Aufsichtsbehörden untersuchen Beschwerden, fordern Dokumentation an und verhängen Geldstrafen, gegen die Unternehmen häufig Berufung einlegen, was das Verfahren weiter verlängert. Für Leser, die verstehen möchten, wie diese Untersuchungen ablaufen und welche Befugnisse die Aufsichtsbehörden tatsächlich haben, bietet der CNIL-Erklärer einen nützlichen Einblick, wie eine der aktivsten Datenschutzbehörden Europas arbeitet, da dieselben grundlegenden Durchsetzungsprinzipien in allen EU-Mitgliedstaaten gelten, einschließlich der Niederlande.

Was das für Ihre personenbezogenen Daten bedeutet

Die Höhe der Strafe gegen Uber, die sich nun auf über 1,1 Milliarden Euro über zwei Durchsetzungsmaßnahmen summiert, zeigt, wie ernst EU-Aufsichtsbehörden Verstöße bei automatisierten Entscheidungen und Datenübermittlungen nehmen. Aber die Höhe einer Geldstrafe macht die Auswirkungen auf die Menschen, deren Daten misshandelt wurden, nicht ungeschehen. Fahrer, deren Konten ohne klare Erklärung oder Rechtsbehelf automatisch gesperrt wurden, erlitten echten finanziellen Schaden, und keine an eine Aufsichtsbehörde gezahlte Strafe entschädigt sie direkt dafür.

Dieser Fall erinnert daran, dass die GDPR existiert, weil Unternehmen – selbst große, gut ausgestattete – Datenverarbeitung nicht immer von sich aus richtig handhaben. Automatisierte Systeme können folgenreiche Entscheidungen über den Lebensunterhalt von Menschen treffen, mit wenig Transparenz, wenn keine Aufsichtsbehörden eingreifen. Wenn ein so bekanntes Unternehmen wie Uber Hunderte Millionen an Strafen für diese Praktiken ansammeln kann, ist das ein Signal dafür, dass Nutzer nicht davon ausgehen sollten, dass jede Plattform ihre Datenrechte automatisch respektiert, nur weil sie in der EU tätig ist.

Schritte, die Nutzer unternehmen können, um Risiken zu begrenzen

Während Aufsichtsbehörden die Durchsetzung übernehmen, haben Einzelpersonen dennoch praktische Schritte, die sie unternehmen können. Überprüfen Sie die Datenschutzeinstellungen und Datenberechtigungen der Apps, die Sie regelmäßig nutzen, einschließlich Mitfahr- und Gig-Plattformen, und begrenzen Sie, welche Daten Sie teilen, wo immer möglich. Wenn Sie glauben, dass eine automatisierte Entscheidung Sie ungerecht behandelt hat, gibt Ihnen die GDPR das Recht, eine menschliche Überprüfung zu verlangen und ein Unternehmen aufzufordern, die Logik hinter dieser Entscheidung zu erläutern. Sie können auch direkt bei Ihrer nationalen Datenschutzbehörde Beschwerde einreichen, wenn ein Unternehmen nicht reagiert.

Halten Sie personenbezogene Daten überall dort minimal, wo Sie können, nutzen Sie starke Kontosicherheit und bleiben Sie darüber informiert, wie Plattformen grenzüberschreitende Datenübermittlungen handhaben – all das reduziert Ihre Exposition gegenüber den Arten von Problemen, die zu den Geldstrafen gegen Uber geführt haben.

Das große Ganze

Ubers 825-Millionen-Euro-Strafe wegen Fahrerdaten unterstreicht eine grundlegende Wahrheit über die Durchsetzung von GDPR-Geldstrafen: Datenschutz funktioniert nur, wenn Aufsichtsbehörden Unternehmen aktiv zur Verantwortung ziehen, und Nutzer profitieren davon, diese Schutzmechanismen selbst zu verstehen, anstatt anzunehmen, dass das Wohlwollen von Unternehmen die Lücke füllt. Da immer mehr automatisierte Systeme alltägliche Entscheidungen prägen, von Kontosperrungen bis zur Dienstberechtigung, ist es eines der effektivsten Werkzeuge, die Sie haben, über Ihre Rechte unter der GDPR informiert zu bleiben. Nehmen Sie sich Zeit, um zu überprüfen, wie die Plattformen, auf die Sie sich verlassen, Ihre Daten handhaben, und zögern Sie nicht, Ihr Recht auszuüben, automatisierte Entscheidungen zu hinterfragen, die Sie direkt betreffen.