Automatisierte Entscheidungen im Unternehmen: was das Uber-Bußgeld für ein KMU ändert

Ein Uber-Fahrer öffnet eines Morgens seine App. Eine kurze Nachricht: Konto gesperrt, keine Fahrten mehr möglich, keine Einnahmen mehr. Am anderen Ende: niemand, mit dem man sprechen könnte, kein Name auf der Entscheidung. Ein Algorithmus hat seine letzten Kennzahlen gelesen, ein Algorithmus hat entschieden, und ein System hat den Zugang gekappt. Multiplizieren Sie das mit mehreren tausend Fällen zwischen 2018 und 2022, und Sie haben den Grundstoff des Bußgeldes, das die niederländische Datenschutzbehörde am 21. August 2026 in Zusammenarbeit mit der französischen CNIL öffentlich gemacht hat.

Der Betrag macht die Schlagzeile: 824.990.000 Euro. Interessanter als der Betrag ist der Grund. Es geht nicht um ein Sicherheitsleck, nicht um eine Datenpanne, nicht um eine unsauber geregelte Datenübermittlung. Es geht um Artikel 22 DSGVO, jene Vorschrift, die untersagt, dass eine Entscheidung, die eine Person erheblich beeinträchtigt, ausschließlich von einer Maschine getroffen wird, ohne tatsächliches menschliches Eingreifen.

Eine Geschäftsführung in einem KMU, die Automatisierung in ihren Alltag lässt, auch bei ihren E-Mails, sollte genau verstehen, was diese Entscheidung sagt, und vor allem, was sie nicht sagt.

Was die CNIL und ihre niederländische Kollegin gerade gesagt haben

Verhängt wurde die Sanktion nicht durch die CNIL. Die europäische Hauptniederlassung von Uber liegt in den Niederlanden, was die Autoriteit Persoonsgegevens (AP) zur federführenden Aufsichtsbehörde im Sinne der DSGVO macht. Im August 2026 hat die französische CNIL diese Entscheidung der niederländischen Datenschutzbehörde in einem eigenen Kommuniqué vom 24. August 2026 weitergegeben, unter anderem, weil die ursprüngliche Beschwerde aus dem Jahr 2020 von 171 französischen Fahrern stammte, vermittelt durch die Ligue des droits de l'Homme. In Deutschland würde ein vergleichbarer Fall vom Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) oder, für den Privatsektor, von der zuständigen Landesdatenschutzbehörde behandelt.

Die Entscheidung zielt auf zwei getrennte Mechanismen. Der erste sperrt vorübergehend das Konto eines Fahrers, wenn das System einen Betrugsverdacht hat. Der zweite sperrt vorübergehend oder endgültig das Konto, wenn die Kundenbewertung unter eine Schwelle fällt. In beiden Fällen stellt die Aufsichtsbehörde fest, dass das Ergebnis des Algorithmus eine unmittelbare Wirkung auf den Fahrer entfaltet, bis hin zum Verlust seines Erwerbsmittels, und dass der Weg vom Signal zur Wirkung kein tatsächliches menschliches Eingreifen enthält.

Das entscheidende Wort ist tatsächlich. Die Entscheidung präzisiert, dass das von Artikel 22 verlangte menschliche Eingreifen eine tatsächliche Befugnis voraussetzt, das Ergebnis der Maschine umzustoßen, die auch wirklich ausgeübt wird, und keinen Stempel auf einem bereits fertigen Ergebnis. Ein Mitarbeiter, der im Sekundentakt freigibt, ohne hinzusehen, erfüllt dieses Kriterium nicht. Ein Ablauf, in dem eine Ablehnung zu teuer wäre, um sie überhaupt zu tätigen, erfüllt es auch nicht.

Uber hat angekündigt, Berufung einzulegen. Die rechtliche Qualifikation ist damit nicht endgültig fixiert. Fixiert ist dagegen die Lesart der federführenden Aufsichtsbehörde: der Betrag, der Grund und die Definition des menschlichen Eingreifens bilden ein Signal, unabhängig vom Ausgang der Berufung.

Die wahre Linie liegt nicht zwischen manuell und automatisch

Die schnelle Lesart dieses Falls lautet: Automatisierung wird riskant, also sollte man darauf verzichten. Das ist eine bequeme und falsche Lesart. Artikel 22 zielt nicht auf die Automatisierung, er zielt auf eine sehr genau bestimmte Kategorie: die Entscheidung, die ausschließlich auf einer automatisierten Verarbeitung beruht und rechtliche Wirkung entfaltet oder die betroffene Person in ähnlicher Weise erheblich beeinträchtigt. Das Wort ausschließlich leistet die ganze Arbeit.

Die zu haltende Linie verläuft also woanders. Sie verläuft zwischen zwei Dingen, die in Führungsgesprächen regelmäßig verwechselt werden, seit die künstliche Intelligenz begonnen hat, operative Prozesse zu berühren.

Diese Unterscheidung ist kein anwaltlicher Kunstgriff. Sie ist auch das, was die Nutzerin oder der Nutzer spürt. Ein Werkzeug, das vorschlägt und wartet, lässt die Hand auf ihrer Seite. Ein Werkzeug, das allein handelt, nimmt sie ihr. Es ist derselbe Handgriff, der beruhigt und der schützt.

Ein Hinweis zur Redlichkeit ist trotzdem angebracht: diese Unterscheidung reicht allein nicht aus, um Artikel 22 auszuschließen. Sie ist notwendig, nicht hinreichend. Der Zweck der Verarbeitung, die Art der Wirkung, die Information der betroffenen Personen und die eröffneten Rechtsbehelfe zählen ebenfalls. Ein Blogartikel ist nicht dazu da, an der Stelle Ihrer Rechtsberatung zu entscheiden, sondern dazu, Ihnen die richtige Frage in die Hand zu geben.

Was ein KMU mit 5 bis 50 Mitarbeitern daraus mitnehmen sollte

Am schlechtesten kalibriert wäre die Lesart, dass der Fall die Plattformen betrifft und nicht Ihren Mittelständler mit achtzehn Beschäftigten. Die DSGVO sieht keine Größenschwelle für Artikel 22 vor: die Regel zielt auf die Verarbeitung, nicht auf die Organisation, die sie betreibt. Was in der Praxis anders ist, ist die Zahl der Situationen, in denen ein KMU rein automatisierte Entscheidungen produziert, die eine Person erheblich beeinträchtigen.

Solche Situationen existieren. Ein Werkzeug zur Sichtung von Bewerbungen, das Lebensläufe aussortiert, ohne dass ein Mensch einen einzigen gelesen hätte. Ein Kunden-Scoring, das einen Vorgang ablehnt, ohne dass eine Vertriebsmitarbeiterin die Akte geöffnet hätte. Eine Standardantwort, die automatisch auf eine Reklamation versendet wird, ohne dass eine Führungskraft gesehen hätte, was die Kundin verlangt. Keiner dieser Fälle hat die Wucht der Uber-Sache. Der juristische Mechanismus dahinter gehört jedoch zur selben Familie.

Die erste Aufgabe einer Geschäftsführung besteht also darin, diese Liste aufzuschreiben: was produziert heute in meinem Unternehmen eine Wirkung auf eine Person, ohne dass ein Mensch hingesehen hat? Meist sind es sieben oder acht Zeilen. Sobald die Liste steht, wird jede Zeile in Ruhe abgewogen, bei feinen Fragen mit Ihrer Rechtsberatung. Das ist das Gegenteil der abwartenden Haltung, die hofft, dass sich die Frage schon nicht stellen wird.

Was ein E-Mail-Assistent ist und was er nicht ist

Die E-Mail ist einer der Orte, an denen sich diese Unterscheidung konkret abspielt, weil sie einer der Orte ist, an denen die Automatisierung schnell voranschreitet. Ein E-Mail-Assistent kann eingehende Nachrichten lesen, ihren Kontext verstehen, klassieren, priorisieren, zusammenfassen, einen Antwortentwurf vorbereiten. Er kann in bestimmten Konfigurationen auch direkt versenden. Beide Welten existieren, und sie gehören nicht in dieselbe Kategorie.

Neston ordnet sich ausdrücklich in die erste ein. Der Assistent verfasst eine Antwort in etwa vier Sekunden, im Stil seiner Nutzerin oder seines Nutzers und unter Berücksichtigung des Korrespondenten, und übergibt sie anschließend dem Menschen, der gegenliest, bei Bedarf korrigiert und versendet. Nichts geht ohne diesen Handgriff hinaus. Diese Architekturentscheidung ist zugleich eine Antwort auf das, was Artikel 22 sagt: was die Wirkung auf die empfangende Person erzeugt, ist der freigegebene Versand, nicht das Ergebnis des Modells.

Der zweite Punkt, der zu diesem Thema zählt, ist der Ort, an dem die Daten verarbeitet werden. Neston arbeitet mit europäischem Hosting, und eine Mistral-Option ermöglicht eine vollständig in der EU angesiedelte Verarbeitungskette für Organisationen, die diesen Rahmen fordern. Das ist keine Zusicherung der Konformität und kein Sicherheitsprodukt: es ist eine beschriebene und nachprüfbare Architekturentscheidung, die der Verantwortliche in seine eigene Prüfung einträgt. Der vollständige Rahmen zum Thema wird in unserem Leitfaden KI-E-Mail und DSGVO 2026 behandelt.

Was dieses Bußgeld NICHT ändert

Es macht die Automatisierung nicht rechtswidrig, es macht nicht jede Software zu einem risikobehafteten Objekt und es entbindet nicht davon, aufzuschreiben, was Ihr Werkzeug tut, für wen, mit welchen Daten und unter welchem menschlichen Blick. Es ersetzt nicht Ihre Hosting-Analyse, es ersetzt nicht Ihr Verzeichnis von Verarbeitungstätigkeiten und es ersetzt nicht Ihre anwaltliche Beratung. Was es liefert, ist nützlicher als eine neue Regel: es liest eine bestehende Regel mit einer Zahl, die sie hörbar macht. Bei 824,99 Millionen Euro hört Artikel 22 auf, eine Abstraktion zu sein. Er wird zu einem Punkt im Vertrag, der geschrieben werden will, und zu einer Linie im Betrieb, die gehalten werden will.

FAQ: automatisierte Einzelfallentscheidung, Artikel 22 und KMU

Weiterlesen

• KI-E-Mail und DSGVO: der Konformitäts-Leitfaden 2026, der allgemeine Rahmen der Datenverarbeitung, wenn ein Werkzeug Ihre E-Mails liest
• Mistral und Outlook: die europäische Verarbeitungskette für einen E-Mail-Assistenten, was die Option eines in Europa gehosteten Modells ändert
• In Frankreich gehosteter KI-E-Mail-Assistent, was die Wahl des Hosting-Landes praktisch bedeutet
• E-Mail-Produktivität in Outlook und Gmail: die Methode, der operative Hintergrund des Themas im Alltag
• KI-Textdetektoren und berufliche E-Mails, was der Empfänger sieht, wenn ein Assistent die Antwort vorbereitet hat

Artikel veröffentlicht am 4. September 2026 · Lesezeit: 6 Minuten · ≈ 1.310 Wörter