Niederländische Datenschutzbehörde verhängt gegen Uber 290 Millionen Euro Bußgeld wegen Übermittlung von Fahrerdaten in die USA

Niederländische DPA verhängt 290 Millionen Euro Bußgeld gegen Uber

• Die niederländische Datenschutzbehörde (DPA) hat gegen Uber ein Bußgeld in Höhe von 290 Millionen Euro verhängt, weil das Unternehmen personenbezogene Daten europäischer Taxifahrer in die USA übermittelt hat
• Die niederländische DPA kam zu dem Schluss, dass Uber gegen die DSGVO (Datenschutz-Grundverordnung) verstoßen hat
• Uber hat diesen Verstoß inzwischen beendet

Sensible Daten

• Uber speicherte Kontoinformationen europäischer Fahrer, Taxilizenzen, Standortdaten, Fotos, Zahlungsinformationen, Ausweisdokumente sowie Straf- und Gesundheitsdaten auf Servern in den USA
• Über mehr als zwei Jahre hinweg wurden diese Daten übermittelt, ohne geeignete Übermittlungsinstrumente zu verwenden
• Nachdem das EU-US Privacy Shield 2020 für ungültig erklärt worden war, wurde kein Standardvertragsklauselwerk eingesetzt, sodass der Datenschutz nicht ausreichend gewährleistet war
• Seit August 2021 nutzte Uber keine Standardvertragsklauseln mehr, was die niederländische DPA als unzureichenden Datenschutz bewertete
• Derzeit verwendet Uber die Nachfolgeregelung des Privacy Shield

Beschwerden der Fahrer

• Die niederländische DPA leitete die Untersuchung ein, nachdem mehr als 170 französische Fahrer über die französische Menschenrechtsorganisation LDH Beschwerde eingereicht hatten
• Laut DSGVO müssen Unternehmen, die Daten in mehreren EU-Mitgliedstaaten verarbeiten, mit der DPA des Landes zusammenarbeiten, in dem sich ihr Hauptsitz befindet
• Ubers europäischer Hauptsitz befindet sich in den Niederlanden
• Während der Untersuchung arbeitete die niederländische DPA eng mit der französischen DPA zusammen und stimmte die Entscheidung mit anderen europäischen Datenschutzbehörden ab

Bußgeld gegen Uber

• Alle europäischen Datenschutzbehörden berechnen Bußgelder gegen Unternehmen nach derselben Methode
• Das Bußgeld kann bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens betragen
• Uber erzielte 2023 einen weltweiten Umsatz von rund 34,5 Milliarden Euro
• Uber erklärte, gegen das Bußgeld Einspruch einlegen zu wollen
• Die niederländische DPA hatte gegen Uber bereits 2018 ein Bußgeld von 600.000 Euro und 2023 eines von 10 Millionen Euro verhängt

Zusammenfassung von GN⁺

• Dieser Artikel behandelt den Fall des gegen Uber verhängten Bußgelds wegen eines DSGVO-Verstoßes
• Er betont, dass bei Datenübermittlungen außerhalb Europas zusätzliche Schutzmaßnahmen erforderlich sind
• Er hilft dabei, die Bedeutung des Datenschutzes und die strengen Vorgaben der DSGVO besser zu verstehen
• Ein anderes Projekt mit ähnlicher Funktionalität ist der Datenschutzservice von Google Cloud

[GN⁺]

Hacker-News-Kommentare

• Daten in den USA werden meist von Menschen in Europa oder Indien verwaltet

  • Die Server stehen in den USA, aber auf die Daten wird von außen zugegriffen
  • Die USA brauchen strengere Gesetze

• Uber hat mit der niederländischen Datenschutzbehörde über die Unklarheit des Gesetzes gesprochen

  • Uber behauptet, keine Regeln verletzt zu haben
  • Nur weil das Gesetz nicht klar ist, hat man nicht das Recht, Regeln zu brechen
  • Geldbußen sollten kein Teil des Geschäfts sein

• Uber nutzt die Nachfolgeregelung von Privacy Shield

  • Das könnte auch in Zukunft wieder zum Problem werden
  • Die EU-Kommission geht damit nicht richtig um

• Es ist ironisch, dass Uber in den Niederlanden mit einer Geldbuße belegt wurde

  • In den Niederlanden werden herkömmliche Taxis geschützt
  • Die Geldbuße ist sehr hoch

• Die niederländische DPA untersucht Beschwerden von mehr als 170 französischen Fahrern

  • Eine französische Menschenrechtsorganisation hat die Beschwerde eingereicht

• Man fragt sich, ob Geldbußen gegen US-Unternehmen zu einem wichtigen Industriezweig Europas geworden sind

• Man fragt sich, wie das mit dem EU-US Data Privacy Framework zusammenhängt

  • Es ist fraglich, ob dieses Problem durch den Ersatz von Privacy Shield hätte gelöst werden können

• Das Berufungsverfahren wird voraussichtlich etwa 4 Jahre dauern

  • Die Geldbuße wird ausgesetzt, bis alle rechtlichen Verfahren abgeschlossen sind

• Die Geldbuße wird als Geschäftskosten in Europa betrachtet und in die Preise eingerechnet

• In den vergangenen Jahren belief sich die Gesamtsumme der von der EU gegen US-Tech-Unternehmen verhängten Geldbußen auf 14,8 Milliarden US-Dollar

  • Es ist unwahrscheinlich, dass US-Tech-Unternehmen Europa verlassen werden
  • Die Regulierungsbehörden reagieren überzogen