⏱ Lesezeit: 10 Minuten
Uber und die Datenschutzbehörden kennen sich inzwischen besser als so manches Ehepaar. 😬 Die neueste Rekordstrafe: 824.990.000 Euro, eine Zahl, die zeigt: Hier wurde nicht grob geschätzt, sondern bis auf zehntausend Euro genau kalkuliert.
Es ist die höchste Strafe, die Uber je kassiert hat.
Uber betreibt bekanntlich eine Plattform, die Fahrgäste und Fahrer zusammenbringt, das muss niemandem mehr erklärt werden. Was viele nicht wissen: Die Vermittlung lief bei Uber jahrelang teilweise vollautomatisch, inklusive der Entscheidung, wer als Fahrer überhaupt noch mitspielen darf. Es ist bereits die vierte Strafe, die Uber von der niederländischen Behörde kassiert, und schon die dritte aus ein und derselben Beschwerde.
Man fragt sich langsam, ob im Konzern mittlerweile ein festes Jahresbudget für DSGVO-Eskapaden eingeplant wird. 😅 Und jedes Mal bricht Uber seinen eigenen Rekord aufs Neue.
Uber ist international. Wer wird hier also eigentlich bestraft?
- UBER B.V., die niederländische Landesgesellschaft mit Sitz in Amsterdam
- UBER TECHNOLOGIES INC., die US-amerikanische Muttergesellschaft mit Sitz in San Francisco
→ UBER B.V. ist eine mittelbare hundertprozentige Tochter der US-Mutter.
fast € 825 Mio.
Bußgeld gesamt
4 %
maximaler Rahmen vom weltweiten Jahresumsatz
Platz 2
weltweit unter allen DSGVO-Strafen
Nur eine einzige DSGVO-Strafe der Geschichte ist noch höher: die 1,2 Milliarden Euro, die Irlands Datenschutzbehörde 2023 gegen Meta wegen unsicherer Datentransfers in die USA verhängte.
Und diese Uber-Rekordstrafe kommt nicht aus dem Nichts, sie ist Teil einer längeren Geschichte.
Die Bußgeld-Historie von Uber
Die DSGVO wurde am 25. Mai 2018 anwendbar. Ein paar Monate später hatte Uber schon die erste Rechnung im Briefkasten:
November 2018 · 600.000 Euro
Wegen verspäteter Meldung einer Datenpanne, noch im Geburtsjahr der DSGVO.
Mit der Beschwerde, um die es in diesem Beitrag eigentlich geht, hat diese erste Strafe aber noch nichts zu tun, die beginnt erst zwei Jahre später:
2020, meldeten sich 171 französische Uber-Fahrer bei der Menschenrechtsorganisation Ligue des droits de l’Homme, zunächst waren es 21. Die LDH reichte für sie eine Sammelbeschwerde bei der französischen CNIL ein, 2021 kamen weitere Vorwürfe hinzu. Die CNIL hielt die Beschwerdeführenden dabei laufend auf dem aktuellen Stand, wie es die DSGVO vorschreibt. Aus dieser einen Beschwerde gingen seitdem drei Bußgelder hervor, jedes größer als das vorherige:
Dezember 2023 · 10 Millionen Euro
Weil Uber seine Fahrer nicht ausreichend informierte
Juli 2024 · 290 Millionen Euro
Wegen unsicherer Datentransfers in die USA
August 2026 · 824,99 Millionen Euro
Diesmal wegen automatisierter Entscheidungen
Eine Beschwerde, drei Verfahren, ein Gesamtschaden für Uber von weit über einer Milliarde Euro. Nicht schlecht für eine Beschwerdeschrift, die ursprünglich nur 21 Unterschriften trug.
Eine Behörde für die ganze EU
171 französische Fahrer, eine niederländische Behörde, ein EU-weites Verfahren: Zuständig war die niederländische Aufsichtsbehörde Autoriteit Persoonsgegevens (AP), weil Ubers europäischer Hauptsitz in Amsterdam liegt. Die französische Datenschutzbehörde CNIL war eng eingebunden, von den ersten Kontrollen bis zur finalen Prüfung des Entscheidungsentwurfs, hatte aber nicht das letzte Wort.
Kurz erklärt: das One-Stop-Shop-Prinzip
Hat ein Unternehmen seinen europäischen Hauptsitz in nur einem EU-Land, wie Uber in den Niederlanden, führt genau eine Behörde das komplette Verfahren für die ganze EU. Andere betroffene Länder, hier vor allem Frankreich über die CNIL, werden eng eingebunden und dürfen mitreden, treffen aber nicht die finale Entscheidung. Praktisch für Unternehmen, die dadurch nicht mit allen 27 Aufsichtsbehörden der EU gleichzeitig verhandeln müssen. Welche Behörde federführend wird, ist dabei kein Zufall, sondern ergibt sich zwingend aus dem Sitz der Hauptniederlassung. Nur die konkrete Bußgeldbemessung kann sich von Behörde zu Behörde in der Praxis leicht unterscheiden, auch wenn alle nach denselben EU-weiten Leitlinien rechnen.
Der Vorwurf: Wenn die Software allein entscheidet
Bei Uber traf am Ende nicht mehr ein Mensch die Entscheidung, sondern ein Algorithmus, ganz allein, ganz ohne Rückfrage, und das im langen Zeitraum von 2018 bis 2022. Bestand ein Betrugsverdacht, wurde das Konto automatisch vorübergehend gesperrt. Bei dauerhaft schlechten Kundenbewertungen verlor der Fahrer sein Konto ganz, ebenfalls vollautomatisch. Kein Mensch schaute sich diese Entscheidungen vorher an.
Und wer plötzlich gesperrt war, verlor von einem Tag auf den anderen sein Einkommen, ohne Vorwarnung, ohne Erklärung, ohne Widerspruchsknopf.
Artikel 22 DSGVO: das Verbot, das Uber zum Verhängnis wurde
Art. 22 DSGVO verbietet rein automatisierte Einzelentscheidungen, wenn sie eine Person erheblich beeinträchtigen. Genau das sah die AP hier: Eine Software traf folgenreiche Entscheidungen ganz allein. Zusätzlich stellte die Behörde eine Verletzung der Informationspflicht fest, konkret nach Art. 13 und 14 DSGVO, die vorschreiben, dass Betroffene über automatisierte Entscheidungsfindung informiert werden müssen. Uber hatte die Fahrer nicht ausreichend darüber aufgeklärt, dass ein Algorithmus über ihr Konto entschied.
Wichtig zu verstehen
Die AP verbietet Uber nicht, betrugsverdächtige Fahrer zu sperren. Das Problem ist nicht das Ob, sondern das Wie: komplett automatisiert, ohne menschliche Prüfung, ohne Widerspruchsmöglichkeit.
“
„Een computer mag niet zelfstandig besluiten nemen die grote gevolgen voor jou hebben. Hier had eerst een mens naar moeten kijken.“
Übersetzung: „Ein Computer darf nicht eigenständig Entscheidungen mit so großen Folgen für eine Person treffen. Hier hätte zuerst ein Mensch hinschauen müssen.“
— Monique Verdier, stellvertretende Vorsitzende der AP
Und was bedeutet das nun finanziell?
Der gesetzliche Rahmen für Verstöße wie diesen liegt bei 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt (Art. 83 Abs. 5 DSGVO).
Bei einem Konzern von Ubers Größe ist klar, welcher Wert gewinnt: 4 % von rund 44,5 Milliarden Euro Jahresumsatz (2025) ergeben einen Rahmen von etwa 1,78 Milliarden Euro. Innerhalb dieses Rahmens richtet sich die tatsächliche Höhe dann nach der Schwere des Verstoßes, etwa Dauer, Zahl der Betroffenen und Grad des Verschuldens. Die tatsächliche Strafe liegt bei knapp der Hälfte davon. Wie genau sich das hier im Detail bemisst, ist mangels eines veröffentlichten vollständigen Bescheids noch unbekannt.
Zur Fairness gehört dazu, und das bestätigt die AP selbst in ihrer Pressemitteilung: Uber habe die beanstandete Praxis „inzwischen“ eingestellt, ein genaues Datum nennt die Behörde dabei nicht. Das ändert ohnehin nichts an der Strafe für den Verstoßzeitraum von 2018 bis 2022.
Zwei Darstellungen, ein Widerspruch
Uber widerspricht der Entscheidung deutlich und hat bereits Berufung eingelegt. Nebeneinandergelegt wird der Kern des Streits schnell sichtbar:
Wer hier recht behält, entscheidet am Ende ein niederländisches Gericht. Auch die beiden vorherigen Bußgelder ficht Uber weiterhin an.
😅 Drei Verfahren gleichzeitig dürften in der Rechtsabteilung für einiges an Beschäftigung sorgen.
Bei einem Konzern mit einem Anwaltsteam, das an manchen Stellen die Größe ganzer Unternehmen erreicht, dürfte sich der Mehraufwand vermutlich kaum spürbar anfühlen. Für kleinere Unternehmen sieht das in einer ähnlichen Situation häufig ganz anders aus.
Fazit
Was bleibt am Ende hängen?
Zwei Erkenntnisse, die über den Uber-Fall hinaus relevant sind:
Erkenntnis 1
Eine einzelne, gut dokumentierte Sammelbeschwerde kann sich über Jahre ziehen und dabei immer wieder neue Verstöße freilegen, mit stetig steigenden Summen.
Erkenntnis 2
Artikel 22 DSGVO ist keine graue Theorie für den Elfenbeinturm. Er hat sehr reale, sehr teure Folgen für echte Unternehmen, gerade bei datengetriebenen Plattformen wie Uber gilt: Wer diese Regel übergeht, riskiert eine der teuersten Einzelstrafen, die die DSGVO überhaupt kennt.
Wer Software über Existenzen entscheiden lässt, ohne dass irgendwo ein Mensch mitschaut, spielt am Ende ein sehr teures Spiel.
Unsere MeineBerater-Tipps für Unternehmen
💡 Damit der nächste Algorithmus bei Ihnen kein Bußgeld auslöst.
Menschliche Prüfung fest einbauen, nicht nur auf dem Papier. Ein Mensch muss die Entscheidung tatsächlich nachvollziehen und ändern können, eine reine Bestätigungs-Klickfläche reicht nicht.
Informationspflicht ernst nehmen. Betroffene müssen wissen, dass und wie ein automatisiertes System über sie entscheidet, nicht erst auf Nachfrage.
Widerspruchsmöglichkeit aktiv anbieten. Ein verstecktes Kontaktformular reicht nicht, der Weg zur Anfechtung muss klar erkennbar sein.
Automatisierte Prozesse dokumentieren. Wer im Streitfall zeigen will, dass doch ein Mensch geprüft hat, braucht dafür saubere Nachweise, nicht nur eine Behauptung.
Sammelbeschwerden ernst nehmen, so früh wie möglich. Eine einzelne gut organisierte Beschwerde kann über Jahre immer neue Baustellen im eigenen Unternehmen aufdecken, wie dieser Fall eindrucksvoll zeigt.
Noch nicht genug über automatisierte Entscheidungen gehört?
Wer sich vertieft mit automatisierten Entscheidungen und Scoring beschäftigen will, wird bei uns im Podcast DSGVOMG fündig, zwei Folgen, die genau hier ansetzen:
Folge 32: Zahlung verweigert, war’s der Algorithmus?
Ein abgelehnter Kauf auf Rechnung, ein Auskunftsersuchen und die Frage, wann eine Entscheidung wirklich automatisiert im Sinne von Art. 22 DSGVO ist. Ein schöner Kontrastfall zu Uber: Hier verneinte die Behörde am Ende einen Verstoß.
Folge 26: Kreditauskunfteien, alles Datenschutz oder was?
Bonitätsscores von Wirtschaftsauskunfteien und die EuGH-Schufa-Rechtsprechung: Wann eine Entscheidung, die sich maßgeblich auf einen Score stützt, bereits als automatisierte Einzelentscheidung gilt.
Überall verfügbar, wo gute Podcasts zuhause sind. Produziert von DAS POD.
Ihre Prozesse verdienen ein Update!
Bevor ein Algorithmus für Sie entscheidet, sollte ein Mensch mitreden. Kostet deutlich weniger als rund 825 Millionen Euro, versprochen, ganz im Sinne von #wirverhindernstrafen. 😉
Quellen: Pressemitteilungen der CNIL (24. August 2026) und der Autoriteit Persoonsgegevens (21. August 2026).
MeineBerater – die Beratungsboutique für Datenschutz, Compliance & Informationssicherheit