Die niederländische Datenschutzaufsichtsbehörde Autoriteit Persoonsgegevens (AP) hat gegen Uber eine Verwaltungsbuße in Höhe von 824.990.000 Euro verhängt. Nach der Entscheidung der AP soll Uber gegen Vorgaben der Datenschutz-Grundverordnung (DSGVO) zu vollautomatisierten Entscheidungen einschließlich Profiling sowie gegen Informationspflichten verstoßen haben.
Der Bescheid datiert nach den vorliegenden Angaben vom 17. August 2026 und wurde am 21. August 2026 öffentlich bekannt. Uber hat gegen die Geldbuße Rechtsmittel eingelegt beziehungsweise angekündigt; eine abschließende gerichtliche Entscheidung liegt nach dem veröffentlichten Stand nicht vor. Die behördlichen Feststellungen sind daher im Zusammenhang mit dem laufenden Verfahren und der noch nicht abschließend geklärten Rechtslage einzuordnen.
Gegenstand der Entscheidung der niederländischen Datenschutzaufsicht
Bußgeld wegen automatisierter Entscheidungen und Informationen zum Profiling
Nach der zusammenfassenden Darstellung der Entscheidung stützt die AP die Sanktion auf Art. 22 DSGVO und Art. 13 DSGVO. Art. 22 DSGVO betrifft automatisierte Entscheidungen im Einzelfall einschließlich Profiling. Art. 13 DSGVO regelt Informationen, die betroffenen Personen bei der Erhebung personenbezogener Daten mitzuteilen sind.
Die AP gelangte zu der Bewertung, dass Uber vollständig automatisierte Entscheidungen über Fahrer getroffen habe. Nach den Feststellungen der Behörde seien Fahrerkonten bei Betrugsverdacht oder bei zu niedrigen Kundenbewertungen automatisch vorübergehend deaktiviert worden. Bei anhaltend niedrigen Kundenbewertungen sollen Konten nach Darstellung der AP dauerhaft deaktiviert worden sein.
Während einer Deaktivierung konnten die betroffenen Fahrer nach der behördlichen Darstellung über Uber keine Einnahmen erzielen. Zudem stellte die AP fest, dass Uber die Fahrer nicht ausreichend über die automatische Entscheidungsfindung informiert habe. Nach Angaben aus der Entscheidung sind die beanstandeten Verstöße inzwischen beendet.
Adressaten der Sanktion
Die Sanktion richtet sich nach den ergänzend veröffentlichten Angaben gegen zwei Gesellschaften des Konzerns: die niederländische Uber B.V. mit Sitz in Amsterdam sowie die US-amerikanische Uber Technologies Inc. mit Sitz in San Francisco. Die Zuständigkeit der niederländischen AP als federführende Behörde wird damit begründet, dass sich der europäische Hauptsitz von Uber in Amsterdam befindet.
Die Geldbuße beläuft sich auf 824.990.000 Euro. Nach veröffentlichten Einordnungen entspricht dies rund 1,85 Prozent des weltweiten Uber-Umsatzes 2025 von 44,5 Milliarden Euro. Zugleich wird die Sanktion als zweithöchste DSGVO-Geldbuße nach der im Jahr 2023 gegen Meta verhängten Geldbuße von 1,2 Milliarden Euro eingeordnet.
Ausgangspunkt des Verfahrens
Beschwerden französischer Fahrer
Auslöser des Verfahrens waren Beschwerden von 171 französischen Uber-Fahrern. Diese wurden über die Ligue des droits de l’Homme (LDH) bei der französischen Datenschutzaufsichtsbehörde Commission Nationale de l’Informatique et des Libertés (CNIL) eingereicht.
Die LDH hatte nach den vorliegenden Informationen im Jahr 2020 eine Sammelbeschwerde für mehr als 170 Fahrer eingereicht und diese im Jahr 2021 ergänzt. Die Beschwerden betrafen unter anderem automatisierte Entscheidungen, die Information der Betroffenen sowie Datentransfers außerhalb der Europäischen Union. Die CNIL leitete die Beschwerden aufgrund der europäischen Hauptniederlassung von Uber in den Niederlanden an die AP weiter.
One-Stop-Shop-Verfahren unter der DSGVO
Das Verfahren wurde im Rahmen des sogenannten One-Stop-Shop-Mechanismus der DSGVO geführt. Bei grenzüberschreitenden Datenverarbeitungen ist danach grundsätzlich die Aufsichtsbehörde am Ort der Hauptniederlassung innerhalb der Europäischen Union federführend zuständig.
Die niederländische AP entschied nach den vorliegenden Angaben in Kooperation mit der französischen CNIL. Der der Entscheidung zugrunde liegende Sachverhalt betrifft Vorfälle in den Jahren 2018 bis 2022.
Feststellungen der AP zur Deaktivierung von Fahrerkonten
Vorübergehende und dauerhafte Sperren nach behördlicher Darstellung
Nach der AP soll Uber Fahrerkonten unter bestimmten Voraussetzungen automatisch deaktiviert haben. Genannt werden insbesondere Verdachtsmomente im Zusammenhang mit Betrug sowie Kundenbewertungen, die als zu niedrig eingestuft worden seien.
Zu den automatisiert berücksichtigten Sperrgründen sollen nach veröffentlichten Angaben auch algorithmisch erkannte unnötige Umwege sowie angenommene, aber nicht ausgeführte Fahrten gezählt haben. Nach der Darstellung der AP führten entsprechende Bewertungen des Systems jedenfalls teilweise zu Deaktivierungen. Bei fortbestehend niedrigen Kundenbewertungen sollen Fahrer nach Auffassung der Behörde teilweise endgültig durch das System deaktiviert worden sein.
Unterschiedliche Darstellungen von Behörde und Unternehmen
Uber hält die Entscheidung und die Höhe der Geldbuße nach veröffentlichten Stellungnahmen für unverhältnismäßig. Das Unternehmen erklärt zudem, inzwischen seien Menschen in entsprechende Entscheidungen eingebunden.
Uber bestreitet nach den vorliegenden Angaben, dass dauerhafte Deaktivierungen vollautomatisiert erfolgt seien. Außerdem gibt das Unternehmen an, Sperren seien meist nur kurz gewesen. Dem hält die AP entgegen, dass Fahrer mit niedrigen Bewertungen nach ihren Feststellungen teilweise endgültig durch das System deaktiviert worden seien.
Rechtlicher Rahmen nach Art. 22 und Art. 13 DSGVO
Automatisierte Entscheidungen im Einzelfall
Art. 22 DSGVO enthält Regelungen zu Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und gegenüber einer betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Profiling kann Teil einer solchen Verarbeitung sein, wenn personenbezogene Daten eingesetzt werden, um persönliche Aspekte einer natürlichen Person zu bewerten.
Die AP sieht in den festgestellten Deaktivierungen eine unzulässige vollautomatisierte Entscheidungsfindung. Die Behörde begründet dies insbesondere mit den erheblichen Folgen für die betroffenen Fahrer, die während einer Deaktivierung über die Plattform keine Einnahmen erzielen konnten.
Informationspflichten gegenüber betroffenen Personen
Art. 13 DSGVO verpflichtet Verantwortliche, betroffene Personen bei der Erhebung personenbezogener Daten über bestimmte Umstände der Datenverarbeitung zu informieren. Hierzu können bei automatisierten Entscheidungsprozessen auch Angaben über die Logik, die Tragweite und die angestrebten Auswirkungen gehören, soweit die Voraussetzungen der DSGVO erfüllt sind.
Nach der Entscheidung der AP hat Uber die Fahrer nicht hinreichend über die automatische Entscheidungsfindung informiert. Dieser Vorwurf bildet neben der angenommenen unzulässigen automatisierten Entscheidungsfindung einen eigenständigen Bestandteil der behördlichen Begründung.
Einordnung der Geldbuße und bisherige Verfahren
Höhe der Sanktion
Die Geldbuße von 824.990.000 Euro zählt zu den höchsten bislang bekannten Sanktionen nach der DSGVO. Nach veröffentlichten Angaben ist sie die zweithöchste DSGVO-Geldbuße nach der im Jahr 2023 gegen Meta verhängten Geldbuße von 1,2 Milliarden Euro.
Die AP-Vizevorsitzende Monique Verdier begründete die Entscheidung sinngemäß damit, dass ein Computer nicht allein Entscheidungen mit weitreichenden Folgen für Betroffene treffen dürfe. Diese Aussage bezieht sich auf die behördliche Bewertung der automatisierten Deaktivierungen im konkreten Verfahren.
Weitere AP-Sanktionen gegen Uber
Bei der aktuellen Geldbuße handelt es sich nach den vorliegenden Informationen um die vierte Sanktion der AP gegen Uber. Zuvor wurden Sanktionen in Höhe von 600.000 Euro im Jahr 2018, 10 Millionen Euro im Jahr 2023 und 290 Millionen Euro im Jahr 2024 genannt.
- 2018: Geldbuße von 600.000 Euro
- 2023: Geldbuße von 10 Millionen Euro
- 2024: Geldbuße von 290 Millionen Euro
- 2026: Geldbuße von 824.990.000 Euro
Im Verfahren zur Geldbuße von 10 Millionen Euro hat die AP am 8. Mai 2026 den Widerspruch Ubers als unbegründet zurückgewiesen. Nach den vorliegenden Angaben zieht Uber insoweit vor Gericht. Dies verdeutlicht den möglichen weiteren Verfahrensweg auch im neuen Fall, ohne dass damit das Ergebnis des aktuellen Verfahrens vorweggenommen wird.
Reaktionen auf die Entscheidung
Stellungnahmen von Uber und Interessenvertretungen
Uber hat nach veröffentlichten Berichten Widerspruch beziehungsweise ein Rechtsmittel gegen den neuen Bescheid angekündigt. Das Unternehmen wendet sich sowohl gegen die Entscheidung als auch gegen die Höhe der Geldbuße.
Die Ligue des droits de l’Homme begrüßte die Entscheidung am 1. September 2026 als Erfolg für die Fahrer. Sie ordnete die Entscheidung nach eigenen Angaben als dritte Verurteilung Ubers wegen Verstößen gegen die DSGVO ein. Diese Bewertung stammt von der LDH und ersetzt nicht die noch ausstehende abschließende gerichtliche Klärung im aktuellen Verfahren.
Rolle unterstützender Organisationen
Die Organisation PersonalData.io unterstützte die Fahrer nach den vorliegenden Informationen dabei, Daten über das Zustandekommen der Deaktivierungsentscheidungen zusammenzutragen. Ihr Gründer Paul-Olivier Dehaye kritisierte, eine einzelne schlechte Bewertung könne tausende zufriedenstellende Fahrten entwerten.
Diese Einordnung betrifft die Kritik an der Funktionsweise bewertungsbasierter Systeme. Für die rechtliche Beurteilung des konkreten Sachverhalts bleiben die Feststellungen der zuständigen Aufsichtsbehörde sowie der weitere Gang des Verfahrens maßgeblich.
Bedeutung für datengetriebene Geschäftsmodelle
Automatisierung, Profiling und Transparenz
Die Entscheidung zeigt, dass Aufsichtsbehörden automatisierte Entscheidungsprozesse mit erheblichen Auswirkungen auf Erwerbsmöglichkeiten von Betroffenen besonders genau prüfen. Dies gilt insbesondere dann, wenn algorithmische Bewertungen, Kundenfeedback oder Verhaltensdaten für Sperren, Deaktivierungen oder vergleichbare Maßnahmen genutzt werden.
Von Bedeutung ist dabei nicht nur die Frage, ob eine Entscheidung ausschließlich automatisiert getroffen wird. Ebenso wesentlich ist, welche Informationen betroffene Personen über die Datenverarbeitung, die Entscheidungslogik und die möglichen Folgen erhalten.
Verfahrensstand und keine abschließende Rechtskraft
Da Uber gegen die Geldbuße vorgeht, ist die Entscheidung nach dem veröffentlichten Stand nicht abschließend gerichtlich bestätigt. Die behördlichen Feststellungen sind daher als Grundlage des Bußgeldbescheids der AP zu verstehen.
Eine abschließende Bewertung einzelner Streitpunkte, insbesondere zur Reichweite der Automatisierung und zur Verhältnismäßigkeit der Sanktion, bleibt dem weiteren Verfahren vorbehalten. Bis zu einer endgültigen Klärung sind die Positionen der Behörde und des Unternehmens voneinander zu unterscheiden.
Häufige Fragen
Warum hat die niederländische AP Uber wegen automatisierter Fahrer-Deaktivierungen mit 824.990.000 Euro belegt?
Die AP wirft Uber vor, Fahrerkonten bei Betrugsverdacht oder niedrigen Kundenbewertungen vollständig automatisiert vorübergehend und bei anhaltend niedrigen Bewertungen teilweise dauerhaft deaktiviert zu haben. Zudem sollen die Fahrer nicht ausreichend über die automatische Entscheidungsfindung informiert worden sein.
Welche Rolle spielen Art. 22 DSGVO und Art. 13 DSGVO im Uber-Bußgeldverfahren der AP?
Art. 22 DSGVO betrifft automatisierte Entscheidungen im Einzelfall einschließlich Profiling, während Art. 13 DSGVO Informationspflichten bei der Erhebung personenbezogener Daten regelt. Die AP stützt die Geldbuße auf Verstöße gegen beide Regelungsbereiche.
Welche praktischen Folgen können automatisierte Sperrentscheidungen nach dem Uber-Verfahren für Unternehmen und Betroffene haben?
Das Verfahren verdeutlicht, dass automatisierte Entscheidungen mit erheblichen Folgen, etwa für Erwerbsmöglichkeiten, datenschutzrechtlich besonders sensibel sind. Für Betroffene können solche Maßnahmen unmittelbar den Zugang zu Einnahmen oder Leistungen beeinträchtigen.
Datenschutzrechtliche Einordnung durch MTR Legal Rechtsanwälte
Automatisierte Entscheidungsprozesse, Profiling und transparente Betroffeneninformationen gehören zu den anspruchsvollen Bereichen des Datenschutzrechts. Unternehmen, Investoren und vermögende Privatpersonen, die hierzu rechtliche Fragen haben, finden bei MTR Legal eine international ausgerichtete Beratung im Datenschutzrecht. Weitere Informationen stehen unter Rechtsberatung im Datenschutzrecht zur Verfügung.
