825 Millionen Euro für einen automatisierten Klick: Was Artikel 22 DSGVO bedeutet

Was tatsächlich passiert ist

Die Autoriteit Persoonsgegevens (AP) hat die Strafe gegen Uber B.V. und Uber Technologies Inc. verhängt. Zwischen 2018 und 2022 überwachte Software das Fahrverhalten der Fahrer und die Kundenbewertungen. Ergab sich ein Betrugsverdacht oder fielen Bewertungen zu niedrig aus, wurden die Konten automatisch deaktiviert — vorübergehend, bei anhaltend schlechten Bewertungen dauerhaft. Eine menschliche Prüfung fand in keinem dieser Fälle statt (AP, 21.08.2026).

Die Behörde sieht darin einen Verstoß gegen das Verbot vollautomatisierter Einzelentscheidungen nach Art. 22 DSGVO. Zusätzlich habe Uber die Fahrer nicht ausreichend über die automatische Entscheidungsfindung informiert. Die stellvertretende AP-Vorsitzende Monique Verdier sagte, Fahrer seien „ohne Vorwarnung deaktiviert" worden und hätten „von einem Moment auf den anderen kein Einkommen mehr über Uber" gehabt. Ein Computer dürfe nicht eigenständig Entscheidungen mit großen Folgen treffen — „hier hätte zuerst ein Mensch hinsehen müssen" (heise online, 22.08.2026).

Ausgelöst hat das Verfahren eine Beschwerde von 171 französischen Fahrern, die sich an die Menschenrechtsorganisation Ligue des droits de l'Homme gewandt hatten. Weil der Europasitz von Uber in den Niederlanden liegt, landete der Fall über das Ein-Konsistenz-Verfahren dort. Es ist die vierte Geldbuße der AP gegen Uber, nach 600.000 Euro 2018, 10 Millionen Euro 2023 und 290 Millionen Euro 2024. Der Rahmen reicht bis vier Prozent des weltweiten Jahresumsatzes; Uber meldete für 2025 rund 44,5 Milliarden Euro Umsatz. Uber hat nach Angaben der Behörde die beanstandeten Praktiken inzwischen beendet und Rechtsmittel gegen den Bescheid eingelegt.

Meine Einordnung

825 Millionen Euro klingen weit weg — Fahrdienst, US-Konzern, Amsterdam. Der Mechanismus dahinter ist es nicht. Art. 22 DSGVO ist keine Fußnote für Plattformkonzerne, sondern trifft jede automatisierte Entscheidung mit erheblicher Wirkung für den Betroffenen. In Mandaten finde ich das regelmäßig: die Sperre im Kundenportal, die nach zwei Mahnungen automatisch greift. Das Scoring, das Bestellungen auf Rechnung ablehnt. Der Bewerberfilter, der aussortiert, der Betrugsverdacht, der Konten stilllegt. Die Frage ist selten „nutzen wir KI?", sondern „hat hier ein Mensch entschieden?". Die Antwort ist meistens nein, und das war niemandem böswillig, es war nur nie jemandem aufgefallen.

Überrascht hat mich die zweite Feststellung der Behörde. Neben Art. 22 steht die Information — und das ist der deutlich billigere Teil des Verfahrens. Ein Absatz in der Datenschutzerklärung, ein Hinweis, wenn eine Sperre greift, ein dokumentierter Weg für den Widerspruch. Das ist keine Wochenarbeit, das ist ein Nachmittag. Meiner Erfahrung nach sind viele Mittelständler beim ersten Punkt weiter von der Konformität entfernt, als sie glauben, und beim zweiten näher, als sie denken. Wer im Onlineshop morgens nicht bestellen kann, will wissen, warum — und bei wem er sich beschwert. Diese Auskunft ist kein Zugeständnis, sie ist gutes Geschäft.

Ich rate Mandanten, mit einer Liste anzufangen statt mit einem Gutachten: Wo trifft unser System ohne Menschen eine Entscheidung, die jemanden trifft? Es sind in der Regel drei bis sieben Stellen, und sie stehen nicht alle in der IT. Der Vertrieb sperrt Lieferungen, der Einkauf bewertet Lieferanten, die Personalabteilung filtert Bewerbungen, die Buchhaltung setzt Zahlungsziele herab. Wichtig ist die Ehrlichkeit dieser Liste. Ein Hinweis gehört dazu: Das Bußgeld ist nicht rechtskräftig, Uber wehrt sich, und wie das Verfahren ausgeht, lässt sich nicht vorhersagen. Die Praxis, um die es geht, bleibt davon unberührt.

Was Sie jetzt konkret tun können

1. Entscheidungen auflisten. Sperren, Ablehnungen, Limits, Rankings, Preise — mit System, Auslöser und Konsequenz für den Betroffenen.

2. Die menschliche Prüfung belegen. Sie muss tatsächlich stattfinden und nachvollziehbar sein, nicht nur formal. „Da schaut einer drauf" ist kein Nachweis.

3. Transparenz nachziehen. Wo automatisierte Entscheidungen greifen, müssen Betroffene verständlich informiert werden — in der Datenschutzerklärung und im Ablehnungsschreiben.

4. Widerspruchsweg definieren. Wer entscheidet, innerhalb welcher Frist, mit welcher Begründung, an welcher Stelle dokumentiert?

5. Verantwortlichkeit festlegen. Eine Person, ein Register, ein Termin im Jahr. Ohne Zuständigkeit bleibt die Liste liegen.

Unterstützung ist sinnvoll, sobald Scoring, Profiling oder Beschäftigtendaten betroffen sind — und immer, wenn Sie unsicher sind, ob eine Entscheidung noch von einem Menschen kommt. Wie ich als externer Datenschutzbeauftragter Mandanten begleite und was im Datenschutz-Audit geprüft wird, steht auf den jeweiligen Seiten.

Quellen

• Autoriteit Persoonsgegevens, „Uber krijgt boete van bijna 825 miljoen euro voor geautomatiseerd blokkeren van chauffeurs", 21.08.2026 — https://autoriteitpersoonsgegevens.nl/actueel/uber-krijgt-boete-van-bijna-825-miljoen-euro-voor-geautomatiseerd-blokkeren-van-chauffeurs
• heise online, „Too fast, too bold: Warum Vollautomatisierung Uber 825 Millionen Euro kostet", 22.08.2026 — https://www.heise.de/news/Uber-825-Millionen-Euro-Strafe-fuer-zu-schnelles-Entscheiden-11422747.html