Am 21. August 2026 verhängte die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens, kurz AP) eine Geldstrafe von 824.990.000 Euro gegen Uber – die zweithöchste je verhängte DSGVO-Strafe. Der Fall dreht sich um eine enge, aber folgenreiche Frage: Darf ein Unternehmen Software ohne menschliches Zutun entscheiden lassen, wann jemandem die Lebensgrundlage entzogen wird? Für Uber-Fahrer, deren Konten durch automatisierte Systeme deaktiviert wurden, lautet die Antwort der niederländischen Aufsichtsbehörde ein klares Nein. Diese DSGVO-Strafe für automatisierte Entscheidungsfindung ist ein wegweisender Test dafür, wie weit Unternehmen sich bei der Personalführung auf Algorithmen stützen dürfen.

Was die niederländische Datenschutzbehörde Uber nachweislich vorwirft

Die Untersuchung der AP kam zu dem Schluss, dass Uber Fahrer durch vollständig automatisierte Prozesse deaktivierte – Entscheidungen mit schwerwiegenden Konsequenzen (Einkommensverlust, Verlust des Plattformzugangs) wurden ohne sinnvolle menschliche Überprüfung getroffen. Gemäß der Datenschutz-Grundverordnung ist diese Art der automatisierten Entscheidungsfindung nur unter spezifischen, engen Bedingungen zulässig. Die AP stellte fest, dass Ubers Praktiken diese nicht erfüllten. Die Höhe der Strafe spiegelt sowohl das Ausmaß von Ubers europäischem Geschäft als auch die Schwere des Verstoßes wider. Zwei frühere Berichte zu dieser Geschichte behandeln die Strafe selbst und die zugrunde liegenden Praktiken ausführlicher; Leser, die eine vollständige Aufschlüsselung der Strafe und ihrer Berechnung wünschen, finden diese in der Berichterstattung über die Niederländische Behörde verhängt 966-Millionen-Dollar-DSGVO-Strafe gegen Uber sowie im Begleitbericht über die Niederländische Datenschutzbehörde verhängt 825-Millionen-Euro-Strafe gegen Uber wegen DSGVO-Verstoßes bei Fahrern. Dieser Beitrag konzentriert sich stattdessen auf das Datenschutzrecht im Zentrum des Falles: den rechtlichen Schutz davor, ausschließlich von einer Maschine beurteilt zu werden.

Wie Artikel 22 der DSGVO gegen vollständig automatisierte Entscheidungen schützt

Die rechtliche Grundlage für die Entscheidung der AP ist Artikel 22 der DSGVO, der Einzelpersonen das Recht einräumt, keiner auf ausschließlich automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, wenn diese Entscheidung rechtliche Wirkungen entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt. Der Verlust des Zugangs zu einer Plattform, die die Haupteinnahmequelle einer Person darstellt, erfüllt diese Bedingung eindeutig. Artikel 22 verbietet Automatisierung nicht grundsätzlich. Unternehmen können automatische Systeme nutzen, wenn sie eine ausdrückliche Einwilligung erhalten, wenn Automatisierung für einen Vertrag erforderlich ist oder wenn sie gesetzlich erlaubt ist – und selbst dann haben Personen das Recht auf menschliches Eingreifen, die Möglichkeit, ihren Standpunkt darzulegen und das Ergebnis anzufechten. Die Kernanforderung ist, dass eine Person mit der Befugnis, das Ergebnis zu ändern, den Fall überprüfen können muss. Eine reine Abnick-Prüfung, bei der eine Person lediglich bestätigt, was der Algorithmus entschieden hat, erfüllt diesen Standard nicht. Aufsichtsbehörden in ganz Europa konzentrieren sich zunehmend auf diese Unterscheidung zwischen echter menschlicher Aufsicht und rein kosmetischer menschlicher Beteiligung.

Warum automatisiertes Profiling über die Gig-Economy hinaus relevant ist

Ubers Fall betrifft Fahrer, aber dasselbe Rechtsprinzip berührt weit mehr Bereiche des Alltagslebens als nur Fahrdienste. Automatisierte Bewertungs- und Entscheidungssysteme beeinflussen heute Kreditgenehmigungen, Versicherungspreise, Einstellungs-Screenings, Betrugsmarkierungen auf Finanzkonten und Inhaltsmoderation auf großen Plattformen. Jedes System, das eine Person profiliert und dann ein folgenreiches Ergebnis auslöst, ohne dass ein Mensch das Ergebnis sinnvoll überprüft, riskiert, in dasselbe Artikel-22-Problem zu geraten, das die AP identifiziert hat. Die Strafe signalisiert Unternehmen, die in der EU tätig sind, dass automatisierte Pipelines, die auf Effizienz ausgelegt sind, dennoch einen echten menschlichen Kontrollpunkt benötigen, wenn die Einsätze für Einzelpersonen hoch sind. Sie gibt auch normalen Nutzern ein klareres Bild davon, worauf sie achten sollten: Undurchsichtige, unerklärte Kontosperrungen oder Ablehnungen ohne Weg zu einem menschlichen Prüfer sind unter EU-Datenschutzrecht ein Warnsignal.

Was das für Sie bedeutet

Wenn Sie Plattformen nutzen, die in der EU ansässig sind oder dort tätig sind – sei es für Arbeit, Kredite, Versicherungen oder anderes –, haben Sie im Allgemeinen das Recht zu erfragen, ob eine Sie betreffende Entscheidung von einem Menschen oder einer Maschine getroffen wurde. Sie können eine Erklärung verlangen, menschliche Überprüfung beantragen und das Ergebnis anfechten. Unternehmen sind verpflichtet, diese Optionen in ihre Prozesse einzubauen und sie nicht als optionale Extras zu behandeln. Die Uber-Strafe unterstreicht, dass Aufsichtsbehörden bereit sind, empfindliche finanzielle Sanktionen zu verhängen – nicht nur Verwarnungen –, wenn Unternehmen diesen Schritt überspringen. Das verleiht Beschwerden bei Datenschutzbehörden echtes Gewicht, wenn eine Plattform eine Anfrage nach menschlicher Überprüfung ignoriert oder blockiert.

Wichtigste Erkenntnisse

Wenn Sie von einer automatisierten Entscheidung auf einer Plattform betroffen sind, fordern Sie eine vollständige schriftliche Erklärung an und bitten Sie ausdrücklich um menschliche Überprüfung – dies ist ein Recht nach Artikel 22 der DSGVO und keine Gefälligkeit. Bewahren Sie Aufzeichnungen über alle Deaktivierungs-, Ablehnungs- oder Verweigerungsmitteilungen auf, einschließlich Zeitstempeln und der angegebenen Begründung, da diese Details wichtig sind, falls Sie später Beschwerde bei einer Datenschutzbehörde einreichen. Wenn ein Unternehmen sich weigert, eine menschliche Überprüfung oder einen klaren Rechtsmittelweg bereitzustellen, können Sie sich direkt an Ihre nationale Datenschutzbehörde wenden. Ubers Strafe von 825 Millionen Euro zeigt, dass dieser Rahmen für DSGVO-Strafen bei automatisierter Entscheidungsfindung über echte Durchsetzungskraft verfügt, und sie erinnert daran, dass Menschen – nicht nur Plattformen – über bedeutende Macht verfügen, um Widerstand zu leisten, wenn Algorithmen die endgültige Entscheidung treffen.