Am 21. August 2026 verhängte die niederländische Datenschutzaufsicht gegen Uber ein Bußgeld von 824.990.000 Euro. Die zweithöchste Einzelgeldbuße seit Geltung der DSGVO, rund 1,85 Prozent des Konzernumsatzes.
Bemerkenswert ist vor allem, was nicht passiert ist.
Keine Ransomware. Kein Datenleck. Keine gestohlene Kundendatenbank im Darknet. Kein Hacker musste eine Firewall überwinden.
Das Problem saß längst im Haus.
Uber hatte zwischen 2018 und 2022 Fahrerkonten automatisiert deaktivieren lassen, etwa wenn die Software einen Betrugsverdacht erkannte oder Bewertungen dauerhaft zu schlecht ausfielen. Eine vorherige menschliche Prüfung war nicht vorgesehen.
Für die Betroffenen war das keine technische Feinheit. Eine Sperrung konnte bedeuten, von einem Moment auf den anderen kein Einkommen mehr über die Plattform zu erzielen.
Uber hält die Entscheidung der Behörde für unverhältnismäßig, verweist auf Prüf- und Einspruchsmöglichkeiten und geht dagegen vor. Rechtskräftig abgeschlossen ist der Fall damit nicht. Die Richtung der Aufsicht ist dennoch klar, Automatisierung wird nicht dadurch unproblematisch, dass sie effizient funktioniert.
Dahinter steht Artikel 22 der Datenschutz-Grundverordnung. Er setzt Entscheidungen enge Grenzen, wenn sie ausschließlich automatisiert getroffen werden und Menschen rechtlich oder ähnlich erheblich treffen.
Wie weit das reichen kann, hat der Europäische Gerichtshof bereits im Dezember 2023 im Schufa-Verfahren deutlich gemacht. Selbst ein automatisiert berechneter Score kann darunterfallen, wenn ein Unternehmen seine Entscheidung maßgeblich darauf stützt.
Wer also glaubt, selbst entschieden zu haben, nur weil am Ende noch ein Mensch auf „Bestätigen“ klickt, sollte genauer hinschauen.
Denn ein Mausklick ist noch keine Abwägung.
Und genau deshalb trifft das Thema die Finanzbranche mitten im Tagesgeschäft.
Bonitätsprüfungen, Antragsannahmen, Betrugserkennung, Underwriting, Sperrlisten, Risikoklassifizierungen, automatische Ablehnungen im Onboarding, sind nur einige wenige Punkte die relevant sind.
Hinzu kommen KI-Systeme, die vermeintlich nur „Vorschläge“ liefern. Formal sitzt dahinter weiterhin ein Mensch. Praktisch übernimmt dieser den Vorschlag vielleicht in 99 von 100 Fällen.
Formal menschliche Entscheidung. Praktisch Automatisierung mit Krawatte.
Genau dort wird es kritisch. Denn Datenschutzprobleme lassen sich nicht zuverlässig erkennen, indem man nur Verträge, Rechtsgrundlagen und Verfahrensbeschreibungen prüft.
Man muss wissen, was im Prozess tatsächlich passiert.
In der Praxis zeigt sich immer wieder, dass große Datenschutzprobleme selten über Nacht entstehen. Sie wachsen.
Ein Prozess wird eingeführt. Eine Software wird erweitert. Aus einer Entscheidungshilfe wird schrittweise eine faktische Entscheidung. Und weil technisch alles funktioniert, schaut lange niemand genauer hin.
Nur die entscheidende Frage wird irgendwann nicht mehr gestellt.
Über viele Jahre und in sehr unterschiedlichen Unternehmen hat sich deshalb eine einfache Arbeitsweise bewährt, die unangenehme Frage früh zu stellen, bevor sie jemand von außen stellt.
Dass daraus bislang in fast 300 der durch meine Beratungsunternehmen betreuten Unternehmen in 10 Jahren DSGVO kein einziges Bußgeld entstanden ist, dürfte weniger mit Glück zu tun haben, als mit genau dieser Nüchternheit.
Für Unternehmen lassen sich daraus drei einfache Prüfungen ableiten.
Erstens: Wo im Unternehmen bereitet Software Entscheidungen über Kunden, Mitarbeiter oder Geschäftspartner vor oder trifft sie direkt?
Und vor allem: Wie oft korrigiert ein Mensch den Vorschlag tatsächlich?
Liegt die Quote nahe null, sollte man sehr genau prüfen, ob hier wirklich noch von menschlicher Kontrolle gesprochen werden kann.
Zweitens: Welche externen Scores, Rankings oder Risikowerte fließen maßgeblich in eigene Entscheidungen ein?
Dass der Wert von außen kommt, macht die eigene Entscheidung nicht automatisch unproblematisch.
Drittens: Gibt es echte Korrekturwege?
Wer automatisiert aussortiert wird, muss nachvollziehen können, warum, und eine reale Möglichkeit haben, die Entscheidung von einem Menschen überprüfen zu lassen.
„Der Computer sagt Nein“ ist weder eine Begründung noch ein besonders überzeugender Geschäftsprozess.
Die Höhe des Uber-Bußgeldes erklärt sich am Ende nicht durch spektakuläre Technik.
Im Gegenteil.
Das Problem war die Selbstverständlichkeit, mit der ein solcher Prozess über Jahre zum normalen Geschäftsbetrieb werden konnte.
Der teure Teil ist selten die Maschine. Der teure Teil ist die Selbstverständlichkeit, mit der irgendwann niemand mehr fragt, was sie eigentlich entscheidet.
