Wenn die Maschine das Konto sperrt: 824,99 Millionen Euro gegen Uber und die Frage der menschlichen Überprüfung

Amsterdam/Berlin – Die niederländische Datenschutzbehörde hat gegen Uber eine Geldbuße von 824.990.000 Euro verhängt, weil das Unternehmen Fahrerkonten vollautomatisiert gesperrt haben soll. Uber hat Rechtsmittel eingelegt. Ein rechtskräftiges Urteil gibt es nicht. Gerade deshalb lohnt der genaue Blick: Der Fall fragt, was Artikel 22 DSGVO einem Menschen verspricht, dessen Einkommen an der Entscheidung einer Maschine hängt.

Die Entscheidung und ihr Status

Der Europäische Datenschutzausschuss (EDPB) hat die Entscheidung am 8. Oktober 2026 auf seiner Website dokumentiert. Nach der Darstellung des EDPB hat die Autoriteit Persoonsgegevens (AP), die niederländische Aufsichtsbehörde, Uber mit 824.990.000 Euro belegt. Alles Folgende sind daher Feststellungen der AP, wie der EDPB sie wiedergibt. Es sind keine gerichtlich bestätigten Tatsachen.

Die AP stellt fest, dass Uber Fahrerkonten vorübergehend deaktivierte, wenn ein Betrugsverdacht bestand oder die Kundenbewertungen niedrig waren. Hielten die niedrigen Bewertungen an, wurden die Konten dauerhaft gesperrt. Für die Betroffenen bedeutete das: Solange das Konto deaktiviert war, floss kein Einkommen aus der Plattform. Diese Praxis verstoße, so die Behörde, gegen das Verbot vollständig automatisierter Entscheidungen nach Artikel 22 DSGVO. Dazu komme ein Verstoß gegen die Informationspflicht nach Artikel 13: Uber habe die Fahrer nicht ausreichend darüber informiert. Die beanstandeten Vorgänge liegen zwischen 2018 und 2022.

Der Weg zu dieser Entscheidung ist selbst bemerkenswert. Am Anfang standen Beschwerden von 171 französischen Fahrern. Sie wurden über die Ligue des droits de l’Homme bei der französischen Aufsichtsbehörde CNIL eingereicht. Weil Ubers europäischer Hauptsitz in den Niederlanden liegt, griff das One-Stop-Shop-Verfahren der DSGVO. Die federführende Zuständigkeit lag damit in Amsterdam. Eine Menschenrechtsorganisation und 171 Fahrer stehen also am Anfang einer Entscheidung von dieser Größenordnung.

Was ist neu, was ist offen?

Der Betrag verdient Aufmerksamkeit, aber er ist nicht das Entscheidende. Bußgelder dieser Höhe werden angefochten, und der Ausgang eines Rechtsmittels lässt sich nicht vorhersagen. Wer heute von einem Präzedenzfall spricht, greift voraus. Was sich nüchtern sagen lässt: Eine nationale Aufsichtsbehörde behandelt die vollautomatisierte Kontosperrung nicht als bloß schlecht erklärte, sondern als verbotene Praxis. Das ist ein Maßstab, den die Gerichte nun prüfen werden.

Offen bleibt, was in der Praxis zählt. Ab wann ist eine Entscheidung „vollständig automatisiert“? Genügt es, wenn am Ende ein Mensch auf eine Schaltfläche klickt, ohne die Gründe zu prüfen? Wo liegt die Grenze zwischen menschlicher Letztentscheidung und bloßer Bestätigung? Die mir vorliegende Darstellung des EDPB beantwortet diese Fragen nicht im Einzelnen, und ich werde sie hier nicht für die Behörde beantworten. Das Rechtsmittelverfahren wird sie beantworten müssen, oder es lässt sie unentschieden.

Die Plattform als Arbeitgeber ohne Gesicht

Aus der Sicht der Plattformarbeit ist der Kern des Falls leicht zu fassen. Ein Fahrer lebt von seinem Konto. Wird es gesperrt, verliert er nicht nur Zugang zu einer App, sondern seine Einkommensquelle. Der Grund dieser Sperre ist ein Verdacht oder ein Durchschnittswert, errechnet aus den Urteilen Dritter. Eine Person, die ihn erklärt, ist nicht in Sicht. Es gibt keine Anhörung, keine Gelegenheit, den Verdacht zu entkräften, bevor die Folgen eintreten.

Das ist die Konstellation, die Artikel 22 DSGVO im Blick hat: eine Entscheidung mit erheblicher Wirkung auf einen Menschen, getroffen ohne menschliche Beteiligung. Die Vorschrift entspringt dem Gedanken, dass der Mensch nicht zum bloßen Objekt eines Verfahrens werden soll. In der deutschen Verfassungstradition heißt das Objektformel: Die Würde ist berührt, wo ein Mensch zum bloßen Objekt staatlichen Handelns gemacht wird. Gegenüber privaten Plattformen gilt Artikel 1 des Grundgesetzes nicht unmittelbar. Aber das Datenschutzrecht übersetzt den Gedanken in eine Pflicht, die auch Unternehmen trifft. Wer über die Lebensgrundlage anderer entscheidet, muss erklären können, warum, und muss sich korrigieren lassen.

Die Informationspflicht nach Artikel 13 ist dabei mehr als eine Formalie. Wer nicht weiß, dass und wie über ihn automatisiert entschieden wird, kann die Entscheidung nicht anfechten. Ohne Wissen läuft das Recht auf Überprüfung ins Leere. Die AP rügt nach der Darstellung des EDPB genau diese Lücke.

Einordnung für die DACH-Region

Die Entscheidung stammt aus den Niederlanden, nicht aus Deutschland, Österreich oder der Schweiz. Dennoch betrifft sie unsere Leserschaft aus drei Gründen.

Erstens gilt die DSGVO einheitlich. Eine Auslegung von Artikel 22, die sich durchsetzt, wirkt über die niederländische Grenze hinaus. Das gilt für Plattformen genauso wie für Arbeitgeber, Banken und Behörden, die Entscheidungen weitgehend automatisieren. Die Frage des Münchner Compliance-Beauftragten ist längst nicht mehr, ob seine Firma Algorithmen einsetzt. Sie lautet, an welcher Stelle seiner Prozesse ein Mensch tatsächlich entscheidet.

Zweitens zeigt das Verfahren, wie der One-Stop-Shop funktioniert, wenn er funktioniert. Beschwerden aus Frankreich führten zu einer Entscheidung in den Niederlanden. Für Betroffene in Deutschland oder Österreich heißt das: Ihre Beschwerde bei der heimischen Behörde kann dort enden, wo das Unternehmen seinen europäischen Sitz hat. Das ist eine Stärke des Systems, denn es bündelt Verfahren. Es macht aber auch die Ausstattung der federführenden Behörde zur Frage für alle.

Drittens fällt der Fall in eine Woche, in der der Blick auf die Durchsetzung ohnehin kritisch ist. Das Beispiel PimEyes, das netzpolitik.org am 13. Oktober beschrieben hat, zeigt die andere Seite: ein seit Februar 2025 anwendbares Verbot der KI-Verordnung, eine Bundesnetzagentur, die erst im Sommer 2026 benannt wurde, und eine bislang einzige bekannt gewordene Beschwerde. Auf der einen Seite steht eine Datenschutzbehörde mit eingespielten Verfahren, die eine Entscheidung vorlegt. Auf der anderen Seite steht eine neue Zuständigkeit, die ihre Arbeit gerade erst beginnt. Beide Beispiele sind verschieden und dürfen nicht gleichgesetzt werden. Die AP-Entscheidung betrifft die DSGVO, das PimEyes-Beispiel die KI-Verordnung. Doch gemeinsam markieren sie die Spanne zwischen Text und Praxis.

Zeit als Faktor des Rechts

Auffällig ist die Zeitleiste. Das beanstandete Verhalten reicht von 2018 bis 2022, die Entscheidung wurde 2026 bekannt, ein Gerichtsverfahren steht noch aus. Für einen Fahrer, dessen Konto 2019 gesperrt wurde, ist das Recht ein langsamer Prozess. Ein Bußgeld an den Staat stellt ihn nicht wieder ein und ersetzt kein verlorenes Einkommen. Die mir vorliegende Quelle sagt nichts darüber, ob und wie betroffene Fahrer entschädigt werden. Ich möchte diese Lücke benennen, statt sie zu füllen.

Hier liegt eine strukturelle Frage der Rechtsstaatlichkeit: Ein Recht, das nach Jahren und über Instanzen hinweg durchgesetzt wird, schützt anders als ein Recht, das im Moment der Entscheidung greift. Der Gedanke hinter dem Verbot automatisierter Entscheidungen ist ein präventiver. Er will verhindern, dass die Entscheidung überhaupt ohne menschliche Prüfung fällt, und sich nicht darauf verlassen, dass sie später korrigiert wird.

House Reflection: Wer antwortet für eine Zahl?

Hans Jonas hat in seinem „Prinzip Verantwortung“ gefordert, dass Handeln so gestaltet wird, dass seine Folgen die Möglichkeit künftigen menschlichen Lebens nicht zerstören. Man muss die große Linie nicht bemühen, um den Kern auf den Alltag zu übertragen: Verantwortung setzt voraus, dass jemand benennbar ist, der antwortet. In einem System, in dem ein Bewertungsdurchschnitt über eine Existenz entscheidet, verteilt sich die Verantwortung auf Kunden, die einen Stern vergeben haben, auf Ingenieure, die eine Schwelle festlegten, und auf ein Unternehmen, das beides einsetzt. Niemand hat entschieden, und doch ist entschieden.

Das Recht auf menschliche Überprüfung ist der Versuch, in diese Struktur wieder ein Gegenüber einzuziehen. Es soll sicherstellen, dass am Ende ein Mensch sagen muss: Ich habe das geprüft, und ich stehe dafür ein. Dass ein Mensch dazu überhaupt in der Lage ist, setzt voraus, dass er Zeit, Information und Befugnis hat, anders zu entscheiden. Ein Mensch, der nur abzeichnen darf, ist kein Gegenüber.

Ich bin kein Technikpessimist. Bewertungssysteme und Betrugserkennung haben ihren Sinn, auch Fahrgäste haben Schutzinteressen, und Plattformen müssen Missbrauch begegnen können. Die Frage ist nicht, ob Automatisierung eingesetzt werden darf, sondern ob sie dort Halt macht, wo sie über die Lebensgrundlage eines Menschen entscheidet, ohne dass dieser gehört wird. Im Zweifel für die Würde.

Was jetzt zu beobachten ist

• Das Rechtsmittelverfahren: Ob und wie die Gerichte das Verbot des Artikels 22 für die Plattformarbeit bestätigen, ist die eigentliche Nachricht der kommenden Monate.
• Die Begründung im Detail: Die Frage, was „vollständig automatisiert“ in der Praxis heißt, entscheidet über die Reichweite des Falls weit über Uber hinaus.
• Die Ausstattung der Behörden: Verfahren dieser Art setzen Aufsichtsbehörden voraus, die sie führen können. Nach heise-Berichten vom 13. Oktober sieht ein Haushaltsentwurf in Baden-Württemberg vor, beim Landesdatenschutzbeauftragten 40 Prozent der Stellen zu streichen. Das ist ein Entwurf, beschlossen ist nichts. Der Landesbeauftragte nennt ihn unverhältnismäßig, das Finanzministerium verweist auf das Koalitionsziel einer Bundesaufsicht. Ob und wie das ausgeht, wird zeigen, wie ernst es Deutschland mit der Durchsetzung meint.

Schlussfrage

Wenn ein Fahrer morgen von einem Algorithmus gesperrt wird: Weiß er, dass eine Maschine entschieden hat, kann er jemanden fragen, und antwortet ihm ein Mensch, der auch anders hätte entscheiden dürfen? Solange die Antwort auf eine dieser drei Fragen „Nein“ lautet, ist das Recht noch nicht dort angekommen, wo es gebraucht wird.

Bis zum nächsten Mal!
Wolfgang, Berlin

Quellen: EDPB, „Dutch DPA fines Uber EUR 824,990,000 for unlawful automated decision-making and insufficient information“, 8. Oktober 2026 (Darstellung der Entscheidung der Autoriteit Persoonsgegevens; die Feststellungen sind die der AP, das Rechtsmittel ist anhängig). netzpolitik.org, Chris Köver, 13. Oktober 2026. heise online, Volker Briegleb und Falk Steiner, 13. Oktober 2026.