Ubers Algorithmus löst €825 million-Strafe aus

Wer morgens die Uber-App öffnet und statt neuer Fahrten nur eine Kontosperre sieht, verliert nicht bloß Zugang zu einer Plattform. Für viele Fahrer fällt an diesem Tag das Einkommen weg. Genau an dieser Stelle setzt die Geldbuße der niederländischen Datenschutzbehörde Autoriteit Persoonsgegevens an: Sie wirft Uber vor, Fahrer in Europa durch Software gesperrt oder dauerhaft von der Plattform ausgeschlossen zu haben, ohne ausreichende Begründung und ohne wirksame menschliche Prüfung.

Die Behörde verhängte in dieser Woche eine Strafe von 825 Mio. EUR. Nach der Sanktion gegen Meta über 1,2 Mrd. EUR im Jahr 2023 wäre es die zweithöchste Geldbuße, die bisher auf Grundlage des europäischen Datenschutzrechts ausgesprochen wurde (Reuters via Yahoo Finance, DutchNews). Nach Darstellung der Behörde habe Uber Software eingesetzt, die Konten wegen mutmaßlichen Betrugs oder niedriger Bewertungen deaktiviert habe, ohne den Betroffenen hinreichend zu erklären, was genau ihnen vorgeworfen werde und wie sie sich dagegen wehren könnten (NOS, Euractiv).

Das Recht, das alleinige Computerentscheidungen begrenzt

Rechtsgrundlage ist Artikel 22 der Datenschutz-Grundverordnung. Er gibt Menschen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, wenn diese sie erheblich betrifft (GDPR official text). Eine personalisierte Werbeanzeige fällt normalerweise nicht darunter. Der Entzug einer Erwerbsmöglichkeit schon.

Die Linie ist damit recht klar: Software darf Fahrten sortieren, Muster erkennen oder Risiken markieren. Sobald aber Einkommen, Vertragszugang oder rechtliche Stellung betroffen sind, verlangt die DSGVO mehr. Ein Mensch muss den Fall tatsächlich prüfen, der Betroffene muss erfahren, welche Daten und welche Logik zur Entscheidung geführt haben, und es muss einen brauchbaren Weg geben, die Entscheidung anzufechten (GDPR official text, EDPB-endorsed guidance).

„Menschliche Prüfung“ meint dabei nicht, dass ein Mitarbeiter am Ende nur auf „bestätigen“ klickt. Die von den europäischen Datenschutzbehörden gebilligte Leitlinie verlangt, dass der Prüfer die Softwareausgabe versteht, die zugrunde liegenden Daten sehen kann und die Befugnis hat, die Entscheidung zu ändern (EDPB-endorsed guidance). Die stellvertretende AP-Vorsitzende Monique Verdier formulierte es entsprechend direkt: Fahrer seien ohne Vorwarnung inaktiv gesetzt worden; ein Computer solle Entscheidungen mit großen Folgen nicht eigenständig treffen, bevor ein Mensch sie geprüft habe (Xinhua).

Französische Fahrer, niederländische Strafe

Das Verfahren geht auf Beschwerden französischer Uber-Fahrer zurück. Berichtet wird von 171 Beschwerdeführern, auch wenn die ursprüngliche Beschwerdeschrift öffentlich bislang nicht auffindbar ist (Boursorama/AFP, Le Figaro/AFP). Zuständig wurde dennoch die niederländische Behörde, weil grenzüberschreitende DSGVO-Verfahren in der Regel von der Aufsicht des Landes geführt werden, in dem ein Unternehmen seinen EU-Hauptsitz hat. Uber sitzt in Amsterdam; deshalb wurde aus französischen Beschwerden ein europäisches Aufsichtsverfahren (NRC).

Nach Einschätzung der AP markierten Ubers Systeme Fahrer wegen Betrugsverdachts oder niedriger Bewertungen und sperrten Konten, ohne eine ausreichende Erklärung oder ein wirksames Widerspruchsverfahren bereitzustellen. Uber bestreitet zentrale Teile dieser Darstellung. Dauerhafte Deaktivierungen seien nicht vollständig automatisiert erfolgt; wegen niedriger Kundenbewertungen seien im Jahr 2021 nur 126 europäische Fahrer deaktiviert worden (Reuters via Yahoo Finance, Quartz). Das Unternehmen nennt die Strafe „unverhältnismäßig“, verweist darauf, dass die beanstandeten Praktiken schon vor Jahren eingestellt worden seien, und kündigt Berufung an (Bloomberg via Yahoo Finance).

Die Summe kann sich ändern, der Grundsatz wohl nicht

Die 825 Mio. EUR sind deshalb noch kein endgültiger Betrag. Gerichte können die Geldbuße bestätigen, senken oder vollständig aufheben. Da der vollständige Beschluss der AP zum Zeitpunkt der ersten Berichte noch nicht veröffentlicht war, bleibt auch die genaue Berechnung der Strafe vorerst schwer nachzuvollziehen (Boursorama/AFP). Eine frühere niederländische Geldbuße gegen Uber über 290 Mio. EUR wegen der Übermittlung von Fahrerdaten in die Vereinigten Staaten soll während des Berufungsverfahrens ausgesetzt worden sein; das könnte auch hier geschehen (DutchNews).

Wichtiger als die Endsumme ist das Signal an die Plattformökonomie. Für Millionen Menschen entscheidet inzwischen keine klassische Führungskraft, sondern Software darüber, ob sie an einem bestimmten Tag arbeiten und verdienen können. Die DSGVO wird damit schon jetzt zu einem arbeitsmarktpolitischen Instrument gegen algorithmisches Plattformmanagement, noch bevor neuere Regeln wie das europäische KI-Gesetz oder die Plattformarbeitsrichtlinie ihre volle Wirkung entfalten (Deutschlandfunk, AI Act, Regulation 2024/1689). Das KI-Gesetz stuft KI-Systeme am Arbeitsplatz als Hochrisikoanwendungen ein und verlangt zusätzliche Aufsicht; die Plattformarbeitsrichtlinie soll Gig-Workern stärkere Rechte gegen automatisierte Entscheidungen geben.

Für Plattformarbeiter ist die praktische Folgerung schon jetzt klar: Wer durch einen Algorithmus gesperrt wird, hat Anspruch darauf zu erfahren, welche Daten und welche Entscheidungslogik verwendet wurden. Er hat außerdem Anspruch auf eine echte menschliche Überprüfung und auf die Möglichkeit, die Entscheidung anzufechten. Ob Uber am Ende 825 Mio. EUR oder deutlich weniger zahlen muss, ändert an diesem Rechtsanspruch wenig.