Uber kassiert DSGVO-Busse wegen automatisierter Kontosperren

(Source: Viktor Avdeev / Unsplash.com)

(Source: Viktor Avdeev / Unsplash.com)

Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens (AP) verhängt gegen Uber eine Busse von knapp 825 Millionen Euro. Nach Auffassung der Behörde entschied ein automatisiertes System von Uber darüber, ob das Unternehmen Konten wegen Betrugsverdachts oder schlechter Kundenbewertungen sperrte oder deaktivierte. Bei den beanstandeten Entscheidungen habe eine menschliche Prüfung gefehlt. Die AP sieht darin einen Verstoss gegen die europäische Datenschutz-Grundverordnung (DSGVO), wie "Reuters" berichtet.

Die Fälle ereigneten sich zwischen 2018 und 2022. Ausgangspunkt der Untersuchung waren Beschwerden von Fahrerinnen und Fahrern in Frankreich. Weil Uber seinen europäischen Hauptsitz in den Niederlanden hat, übernahm die dortige Datenschutzbehörde den Fall.

Bei Betrugsverdacht konnte das System Konten vorübergehend deaktivieren. Einen solchen Verdacht lösten laut der Behörde etwa vermeintlich unnötige Umwege zur Erhöhung des Fahrpreises aus oder Fahrten, die jemand annahm, ohne sie nach Einschätzung des Systems ausführen zu wollen. Bei anhaltend schlechten Kundenbewertungen konnte das System Konten nach Darstellung der AP auch dauerhaft deaktivieren.

Die Datenschutzbehörde wirft Uber vor, die beanstandeten Entscheidungen vollständig automatisiert und ohne menschliche Prüfung getroffen zu haben. Zudem habe das Unternehmen die betroffenen Fahrerinnen und Fahrer nicht ausreichend über die automatisierten Verfahren informiert. Die DSGVO setzt Entscheidungen, die ausschliesslich auf einer automatisierten Verarbeitung beruhen und erhebliche Auswirkungen auf Betroffene haben, enge Grenzen.

"Von einem Moment auf den anderen hatten sie über Uber kein Einkommen mehr", erklärt Monique Verdier, Vizepräsidentin der niederländischen Datenschutzbehörde. Entscheidungen mit derart weitreichenden Folgen dürfe ein Computersystem nicht allein treffen.

Uber bestreitet Vorwürfe

Uber widerspricht insbesondere dem Vorwurf, dauerhafte Deaktivierungen seien vollständig automatisiert erfolgt. Das Unternehmen erklärt, seine heutigen Verfahren sähen menschliche Überprüfungen vor und ermöglichten es Fahrerinnen und Fahrern, Sperren anzufechten. Vorübergehende Sperren wegen Betrugsverdachts hätten zudem meist nur kurze Zeit gedauert. Uber hat den Entscheid angefochten. 

Auch die Höhe der Busse hält Uber für unverhältnismässig. Das Unternehmen verweist darauf, dass 2021 europaweit 126 Konten wegen schlechter Kundenbewertungen deaktiviert worden seien. Die niederländische Datenschutzbehörde berechnete die Busse als Anteil am weltweiten Jahresumsatz von Uber im Jahr 2025.

Eine Rolle in dem Verfahren spielte auch die Schweizer Datenschutzorganisation Personaldata.io. Sie unterstützte französische Uber-Fahrer dabei, Auskunft über automatisierte Entscheidungen einzufordern, die ihre Tätigkeit auf der Plattform betrafen. Diese Bemühungen trugen laut "Reuters" zur Untersuchung der niederländischen Datenschutzbehörde bei. Personaldata.io-Gründer Paul-Olivier Dehaye sagte gegenüber der Nachrichtenagentur, die Organisation bereite nun eine Sammelklage gegen Uber vor, um Entschädigungen für betroffene Fahrerinnen und Fahrer zu erwirken.

Mit 825 Millionen Euro ist die Sanktion gegen Uber laut Reuters die bislang zweithöchste verhängte DSGVO-Busse. Den Höchstwert hält Meta mit einer 2023 verhängten Busse von 1,2 Milliarden Euro - mehr dazu lesen Sie hier. 

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.