Der aktuelle Uber-Fall zeigt, warum Unternehmen bei automatisierten Entscheidungen, Scoring und KI-Systemen genauer hinschauen müssen.
Automatisierung ist aus modernen Unternehmen kaum noch wegzudenken.
Software bewertet Bewerbungen, erkennt Auffälligkeiten bei Transaktionen, priorisiert Kundenanfragen, vergibt Risikowerte oder schlägt Entscheidungen vor. Das spart Zeit und kann Prozesse erheblich effizienter machen. Doch es gibt eine Grenze, an der aus einer automatisierten Unterstützung eine datenschutzrechtlich relevante Entscheidung wird.
Wie bedeutend diese Grenze sein kann, zeigt ein aktueller Fall gegen Uber.
Die niederländische Datenschutzaufsicht verhängte in Zusammenarbeit mit der französischen CNIL ein Bußgeld von 824.990.000 Euro gegen Uber B.V. und Uber Technologies Inc. Gegenstand waren automatisierte Entscheidungen gegenüber Fahrern der Plattform.
Wenn ein Algorithmus Konsequenzen auslöst
Im Verfahren ging es unter anderem um automatisierte vorübergehende oder dauerhafte Deaktivierungen von Fahrerkonten.
Solche Entscheidungen können für Betroffene erhebliche Auswirkungen haben. Für einen Fahrer kann eine Kontosperrung schließlich bedeuten, seine berufliche Tätigkeit zumindest vorübergehend nicht mehr ausüben zu können. Genau hier wird das Thema auch für andere Unternehmen relevant.
Die entscheidende Frage lautet nicht:
„Nutzen wir Uber-ähnliche Systeme?“
Sondern:
„Treffen unsere Systeme Entscheidungen über Menschen – und welche Konsequenzen haben diese Entscheidungen?“
Automatisierte Entscheidungen gibt es an vielen Stellen
Denkbar sind beispielsweise:
- Bewerbermanagementsysteme, die Kandidaten automatisch aussortieren,
- Scoring-Systeme zur Bewertung von Kunden oder Vertragspartnern,
- automatisierte Betrugserkennung,
- Systeme zur Bewertung von Mitarbeitern,
- automatisierte Entscheidungen über Vertragsabschlüsse,
- KI-Systeme, die Personen bewerten, priorisieren oder kategorisieren.
Nicht jede Automatisierung ist verboten.
Nicht jeder Algorithmus löst automatisch besondere datenschutzrechtliche Anforderungen aus.
Kritisch wird es insbesondere dann, wenn eine Entscheidung ausschließlich automatisiert erfolgt und für den Betroffenen rechtliche Auswirkungen oder ähnlich erhebliche Folgen haben kann.
Artikel 22 der DSGVO enthält hierfür besondere Vorgaben.
„Da schaut doch noch jemand drauf“ reicht als Antwort nicht immer
In der Praxis begegnet uns schnell das Argument, dass am Ende theoretisch immer noch ein Mitarbeiter eingreifen könne. Entscheidend ist jedoch, ob tatsächlich eine relevante menschliche Beteiligung stattfindet. Wenn ein System beispielsweise eine Entscheidung vollständig vorbereitet und ein Mitarbeiter das Ergebnis praktisch nur noch bestätigt, muss genauer betrachtet werden, wie viel echte Entscheidungsmöglichkeit noch besteht. Ein Mensch im Prozess darf deshalb nicht lediglich ein formaler Zwischenschritt sein. Je größer die Auswirkungen für den Betroffenen sind, desto wichtiger wird eine klare Prüfung des gesamten Entscheidungsprozesses.
Durch KI wird das Thema noch relevanter
Die Fragestellung ist nicht neu. Artikel 22 DSGVO existiert bereits seit Jahren. Neu ist allerdings die Geschwindigkeit, mit der KI und datenbasierte Entscheidungssysteme in Unternehmen Einzug halten. Funktionen, die früher eine bewusste Softwareeinführung erfordert hätten, sind heute teilweise bereits in bestehenden Anwendungen integriert. Dadurch kann sich auch ein Prozess verändern, ohne dass dies auf Geschäftsführungsebene unmittelbar wahrgenommen wird.
Ein System, das früher Informationen lediglich angezeigt hat, kann heute möglicherweise Empfehlungen erstellen, Personen priorisieren oder Entscheidungen vorbereiten. Deshalb sollten Unternehmen nicht nur erfassen, welche KI-Systeme sie einsetzen, sondern auch wofür sie eingesetzt werden.
Drei Fragen für die Praxis
Unternehmen sollten insbesondere Prozesse identifizieren, in denen Software personenbezogene Daten bewertet.
Danach helfen drei einfache Fragen:
1. Wird ein Mensch bewertet oder kategorisiert?
2. Entsteht daraus eine Entscheidung oder eine konkrete Empfehlung für eine Entscheidung?
3. Kann diese Entscheidung für den Betroffenen spürbare Konsequenzen haben?
Werden diese Fragen mit „Ja“ beantwortet, sollte der Prozess datenschutzrechtlich genauer geprüft werden.
Automatisierung braucht Verantwortlichkeit
Der Fall Uber zeigt eindrucksvoll, dass sich Verantwortlichkeit nicht an eine Software delegieren lässt. Auch wenn ein Algorithmus entscheidet, bleibt das Unternehmen verantwortlich dafür, wie personenbezogene Daten verarbeitet werden und welche Auswirkungen daraus entstehen. Das gilt umso mehr, wenn KI-Systeme zum Einsatz kommen. Automatisierung kann hervorragende Möglichkeiten bieten. Unternehmen sollten diese Möglichkeiten nutzen – aber bewusst.
Denn die entscheidende Frage lautet nicht mehr nur:
„Was kann unsere Software?“
Sondern zunehmend auch:
„Was darf unsere Software eigenständig entscheiden?“
Quelle: CNIL zur Entscheidung der niederländischen Datenschutzaufsicht gegen Uber, veröffentlicht am 24. August 2026.