Wenn Daten einfach so in die USA wandern, wird’s teuer – auch für Tech-Giganten. Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) hat Uber eine Strafe von 290 Millionen Euro aufgebrummt. Grund: Der Fahrdienst übermittelte personenbezogene Daten europäischer Fahrer in die USA, ohne dafür geeignete Garantien nach der DSGVO nachweisen zu können.
1. Datenübermittlung braucht Substanz – nicht nur Hoffnung
- Standardvertragsklauseln allein reichen nicht: Wer Daten in Drittländer (z. B. USA) übermittelt, muss zeigen, dass dort ein gleichwertiges Datenschutzniveau herrscht – technisch, organisatorisch und rechtlich.
- Uber konnte das nicht belegen: Laut Behörde fehlten zusätzliche Schutzmaßnahmen, etwa effektive Verschlüsselung, rechtlicher Schutz gegen Zugriffe von Behörden oder transparente Kontrollmechanismen.
2. Es ging nicht um Bagatellen
- Betroffen waren sensible Fahrer-Daten: Standortdaten, Fotos, Zahlungsinformationen, Ausweisdaten, sogar medizinische und strafrechtliche Informationen – alles ohne ausreichende Absicherung übermittelt.
- Lange Zeitspanne: Die Übermittlung dauerte über zwei Jahre – ein erheblicher Zeitraum für eine datenschutzwidrige Praxis.
3. International abgestimmte Aufsicht
- Beschwerden kamen aus Frankreich: 170 Uber-Fahrer hatten sich bei der französischen Datenschutzaufsicht beschwert.
- Niederlande zuständig als Hauptsitzstaat: Die federführende Behörde war die niederländische AP – ein Beispiel für die grenzüberschreitende Durchsetzung innerhalb der EU.
Fazit
Internationale Unternehmen müssen verstehen: DSGVO ist kein EU-Kosmetiklabel, sondern ein verbindlicher Rechtsrahmen – auch für Datenübermittlungen über den Atlantik. Wer personenbezogene Informationen transferiert, ohne sich ernsthaft um Schutz und Rechenschaftspflichten zu kümmern, muss mit saftigen Konsequenzen rechnen. Uber trifft es hier nicht zum ersten Mal – aber diesmal richtig teuer.
Links zum Artikel
Pressemitteilung der niederländischen Datenschutzbehörde zur Uber-Strafe – autoriteitpersoonsgegevens.nl
Uber-Verfahren bei NOYB – Datenschutzaktivismus in Aktion – noyb.eu
Artikel 44 DSGVO – Datenübermittlung in Drittländer – gdpr.eu
