Automatisierte Kontosperren & Art. 22 DSGVO: Der Uber-Fall

Nach Artikel 22 DSGVO sind vollautomatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung – wie algorithmische Kontosperren oder Betrugsfilter – ohne ausdrückliche Einwilligung oder Vertragserforderlichkeit unzulässig. Das Rekordbußgeld der niederländischen Aufsichtsbehörde über 825 Millionen Euro gegen Uber belegt: Nachträgliche Scheinkontrollen genügen nicht. Jede gravierende Maßnahme erfordert eine echte, vorherige menschliche Prüfung.

Algorithmische Moderation spart Zeit. Software erkennt Anomalien, bewertet Nutzersignale und sperrt Accounts in Millisekunden. Nach europäischem Datenschutzrecht verstoßen automatisierte Sperren ohne substantielle menschliche Prüfung jedoch direkt gegen Artikel 22 Absatz 1 der Datenschutz-Grundverordnung (DSGVO).

Am 21. August 2026 verhängte die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens – AP) ein Bußgeld von 824.990.000 Euro gegen Uber. Auslöser waren Beschwerden von 171 Fahrern über die französische Menschenrechtsliga (Ligue des droits de l'Homme), koordiniert über die CNIL. Das Ergebnis der Aufsichtsbehörde war eindeutig: Uber überließ Account-Kündigungen und Deaktivierungen automatisierten Systemen, ohne dass Menschen die Fälle vorab prüften.

Für europäische SaaS-Anbieter, Marktplätze und Fintechs markiert dieser Präzedenzfall das Ende unkontrollierter algorithmischer Administration.

Wer fällt unter den Anwendungsbereich von Artikel 22 DSGVO?

Artikel 22 Absatz 1 DSGVO greift, sobald Verantwortliche automatisierte Verarbeitungen einsetzen, um Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung zu treffen.

Drei Kriterien aktivieren das gesetzliche Verbot:

1. Ausschließlich automatisierte Verarbeitung: Kein Mitarbeiter prüft den Sachverhalt inhaltlich vor der Vollstreckung.
2. Individuelle Bewertung durch Profiling: Die Entscheidung stützt sich auf Verhaltensdaten, Leistungsmetriken, Stornoraten oder Transaktionsmuster.
3. Erhebliche Beeinträchtigung: Die Maßnahme entzieht Kunden die Geschäftsgrundlage, verweigert Kredite oder beendet Kundenkonten fristlos.

Wer Kundenkonten bei auffälligen Transaktionen vollautomatisch sperrt oder SaaS-Abos algorithmisch kündigt, fällt direkt unter Artikel 22.

Nach Artikel 22 Absatz 2 DSGVO sind solche Entscheidungen nur in drei Ausnahmefällen zulässig:

• Für den Abschluss oder die Erfüllung eines Vertrags erforderlich;
• Durch Rechtsvorschriften der Union oder der Mitgliedstaaten erlaubt; oder
• Mit ausdrücklicher Einwilligung der betroffenen Person nach Artikel 9 Absatz 2 Buchstabe a.

Greift eine Ausnahme, müssen Verantwortliche nach Artikel 22 Absatz 3 DSGVO angemessene Garantien einrichten: das Recht auf menschliches Eingreifen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.

Was verlangt eine "wirksame menschliche Überprüfung"?

Viele Entwicklungsteams glauben, ein Support-Ticket nach der Sperre genüge als menschliches Eingreifen. Die niederländische Aufsichtsbehörde hat diesen Einwand verworfen.

Ein nachträglicher Beschwerde-Button heilt eine rechtswidrige automatisierte Entscheidung nicht. Eine rechtskonforme menschliche Kontrolle muss drei Bedingungen erfüllen:

• Prüfung vor der Vollstreckung: Ein Mitarbeiter muss die algorithmische Empfehlung bewerten, bevor die Sperre wirksam wird.
• Tatsächliche Entscheidungskompetenz: Der Prüfer benötigt Zugriff auf alle Rohdaten und muss die Befugnis besitzen, den Systemvorschlag zu verwerfen.
• Keine Scheinkontrolle: Winken Support-Mitarbeiter Hunderte Fälle pro Stunde ungeprüft durch, werten Aufsichtsbehörden den Prozess weiterhin als vollautomatisiert.

Reine Formalprüfungen schützen nicht vor Sanktionen. Wenn Sie der Behörde nicht nachweisen können, wie Prüfer Einzelfälle analysiert haben, gilt das Verfahren als automatisierte Entscheidung.

Welche Informationspflichten gelten bei Profiling?

Setzen Unternehmen automatisierte Scorings ein, fordern die Artikel 13 Absatz 2 Buchstabe f und 14 Absatz 2 Buchstabe g DSGVO transparente Datenschutzerklärungen.

Ihre Pflichtangaben umfassen:

• Das Bestehen automatisierter Entscheidungen: Weisen Sie transparent auf das eingesetzte Profiling hin.
• Aussagekräftige Informationen über die involvierte Logik: Erklären Sie Bewertungsfaktoren, Schwellenwerte und Gewichtungen in verständlicher Sprache. Allgemeine Floskeln genügen den behördlichen Anforderungen nicht.
• Tragweite und Auswirkungen: Informieren Sie Betroffene darüber, wie sich Algorithmen auf Tarife, Sperren oder Berechtigungen auswirken.

Verantwortliche müssen diese Verfahren im Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO dokumentieren und vorab eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchführen.

Wie greift Artikel 22 mit der EU-KI-Verordnung ineinander?

Das Uber-Verfahren stärkt die Kontrollmechanismen der Verordnung (EU) 2024/1689. Nach unserem Leitfaden zur KI-Verordnung gelten KI-Systeme im Personalmanagement und bei grundlegenden privaten Dienstleistungen als Hochrisiko-KI-Systeme nach Anhang III.

Artikel 14 der KI-Verordnung verlangt technische Vorkehrungen für die menschliche Aufsicht:

• KI-Systeme müssen so gestaltet sein, dass Aufsichtspersonen Modellentscheidungen verstehen, Automatisierungsverzerrungen erkennen und Ausgaben jederzeit stoppen können.
• Betreiber dürfen Kündigungen und Sanktionen nicht an Algorithmen delegieren, ohne revisionssichere Nachweise der Aufsicht zu führen.
• Bei Verstößen drohen doppelte Sanktionen: Bis zu 20.000.000 Euro oder 4 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 5 DSGVO und bis zu 35.000.000 Euro oder 7 % nach Art. 99 der KI-Verordnung.

Prüfen Sie Ihre Einstufung im KI-Risiko-Klassifikator.

Was sollten europäische Tech-Teams jetzt tun?

Gründer und IT-Leiter sollten ihre automatisierten Kontrollprozesse sofort überprüfen:

1. Automatisierte Arbeitsabläufe inventarisieren: Erfassen Sie alle Skripte und Modelle, die Nutzerkonten sperren, drosseln oder sanktionieren können.
2. Prüfstufen vor Vollzug einbauen: Leiten Sie kritische Signale an geschulte Mitarbeiter weiter, bevor Sperren wirksam werden.
3. Erklärungen zur Systemlogik formulieren: Überarbeiten Sie Datenschutzhinweise mit konkreten Angaben zu Betrugs- und Risikoscores.
4. Prüfprotokolle revisionssicher archivieren: Halten Sie fest, wann und wie Mitarbeiter algorithmische Vorschläge überprüft oder korrigiert haben.
5. Datenschutz-Folgenabschätzung abschließen: Führen Sie eine DSFA nach Art. 35 DSGVO für Profiling- und Sperrsysteme durch.

Automatisierung skaliert Plattformen. Das Ersetzen menschlicher Urteilskraft bei existentiellen Entscheidungen führt zu gravierenden Haftungsrisiken.

Haftungsausschluss: EuroComply bietet Tools und Nachweisentwürfe zur Vorbereitung auf die EU-Compliance. Dieser Leitfaden dient ausschließlich Informationszwecken und stellt keine rechtliche, regulatorische oder steuerliche Beratung dar. Technische Dokumentationen und Bewertungen sollten von qualifizierten Rechtsanwälten geprüft werden.