DSGVO-Verstoß: Uber soll 290 Millionen Euro Geldstrafe zahlen

Die niederländische Datenschutzbehörde (DPA) hat eine Geldstrafe in Höhe von 290 Millionen Euro gegen Uber verhängt. Als Grund für die Strafe nennt die Behörde in einer Mitteilung den Umstand, dass der weltweit bekannte Fahrdienst unrechtmäßig und unter unzureichenden Schutzvorkehrungen personenbezogene Daten von europäischen Fahrern in die Vereinigten Staaten übermittelt und damit gegen die DSGVO verstoßen hat.

So habe Uber etwa Kontodaten, Taxilizenzen, Standortdaten, Fotos, Zahlungsinformationen, Ausweisdokumente und in einigen Fällen sogar strafrechtliche und medizinische Daten der Fahrer an Server in den USA übertragen und dort gespeichert, heißt es. Die Datenübermittlung sei in dieser Form über einen Zeitraum von mehr als zwei Jahren unrechtmäßig und unter unzureichendem Schutz erfolgt.

Anlass für die Untersuchungen, die zu der genannten Geldstrafe führten, war laut der DPA eine Beschwerde von mehr als 170 französischen Uber-Fahrern. Eingereicht wurde diese bei der französischen Liga für Menschenrechte (LDH – Ligue des droits de l'Homme). Die Entscheidung über die Strafe sei eng mit der französischen CNIL (Commission Nationale de l'Informatique et des Libertés) sowie anderen europäischen Datenschutzbehörden abgestimmt worden, betont die DPA.

Unzureichender Datenschutz

Die niederländische Datenschutzbehörde verweist hinsichtlich der verhängten Strafe auf eine im Juli 2020 gefällte Entscheidung des EuGH, womit das damalige Datenschutzabkommen Privacy Shield für den Datenaustausch zwischen den USA und der EU für unzureichend erklärt wurde.

Zwar sei es danach durch Standardvertragsklauseln noch immer möglich gewesen, eine gültige Grundlage für die Datenübertragung in Länder außerhalb der EU zu schaffen, jedoch nur unter Einhaltung eines zumindest gleichwertigen Schutzniveaus, erklärt die DPA. Uber habe solche Klauseln allerdings ab August 2021 gar nicht mehr genutzt. Dadurch waren die Daten der Fahrer nach Ansicht der Behörde nicht ausreichend geschützt.

Die DPA erklärt in diesem Zusammenhang aber auch, dass Uber seit Ende 2023 auf den umstrittenen Nachfolger des Privacy Shield setzt und den DSGVO-Verstoß damit beendete. Nach Angaben der CNIL lag der Verstoß nur in der Zeit zwischen dem 6. August 2021 und dem 21. November 2023 vor. Uber erklärte gegenüber den Datenschützern, Rechtsmittel gegen die verhängte Geldstrafe einlegen zu wollen.