Dass die Datenübertragung nach den USA trotz des EU U.S. Data Privacy Framework immer noch spezieller Aufmerksamkeit bedarf, beweist folgender Fall.
Die niederländische Datenschutzbehörde (DPA) hat Uber mit einer Strafe von 290 Millionen Euro belegt. Hintergrund ist die Übermittlung personenbezogener Daten europäischer Taxifahrer in die USA, ohne dabei angemessene Schutzmaßnahmen zu ergreifen. Die Behörde sieht darin einen gravierenden Verstoß gegen die Datenschutz-Grundverordnung (DSGVO). Uber hat diesen Verstoß mittlerweile beendet.
Laut dem Vorsitzenden der niederländischen Datenschutzbehörde, müssen Unternehmen weiterhin zusätzliche Schutzmaßnahmen ergreifen, wenn sie Daten von EU-Bürgern außerhalb der EU speichern.
Umgang mit sensiblen Fahrerdaten
Die niederländische Datenschutzbehörde stellte fest, dass Uber sensible Informationen von Fahrern aus Europa, darunter Kontodaten, Taxilizenzen, Standortdaten, Fotos, Zahlungsinformationen, Ausweisdokumente sowie in einigen Fällen strafrechtliche und medizinische Daten, auf Servern in den USA gespeichert hat. Über einen Zeitraum von mehr als zwei Jahren wurden diese Daten an die US-Zentrale von Uber weitergeleitet, ohne das angemessene Übertragungsmechanismen eingesetzt wurden, was den Schutz der Daten erheblich gefährdete.
Im Jahr 2020 erklärte der Europäische Gerichtshof das EU-US-Datenschutzschild für ungültig. Zwar können Standardvertragsklauseln weiterhin eine rechtliche Basis für die Datenübermittlung in Drittländer sein, jedoch nur, wenn ein gleichwertiges Schutzniveau in der Praxis gewährleistet ist. Ab August 2021 verzichtete Uber jedoch auf die Anwendung dieser Klauseln, was aus Sicht der niederländischen Datenschutzbehörde zu einem unzureichenden Schutz der Daten europäischer Fahrer führte. Seit Ende 2023 nutzt Uber den Nachfolger des Privacy Shields, eben das EU U.S. Data Privacy Framework.
Hintergrund der Untersuchung
Die Ermittlungen gegen Uber wurden eingeleitet, nachdem mehr als 170 französische Fahrer Beschwerden bei der Ligue des droits de l'Homme (LDH) eingereicht hatten, die diese an die französische Datenschutzbehörde weiterleitete. Da Uber in mehreren EU-Ländern tätig ist, war die niederländische Datenschutzbehörde zuständig, da der europäische Hauptsitz von Uber eben in den Niederlanden liegt. Während der Untersuchung arbeitete die niederländische Behörde eng mit ihrer französischen Entsprechung zusammen und stimmte ihre Entscheidung mit anderen europäischen Datenschutzbehörden ab.
Strafmaß und Konsequenzen
Die Geldstrafe von 290 Millionen Euro wurde gemäß den europaweit einheitlichen Berechnungsmethoden verhängt, die eine maximale Strafe von bis zu 4 % des globalen Jahresumsatzes eines Unternehmens vorsehen. Angesichts des Umsatzes von Uber in Höhe von rund 34,5 Milliarden Euro im Jahr 2023 ist die Strafe beträchtlich. Uber hat bereits angekündigt, gegen die Geldbuße Einspruch einzulegen.
Anzumerken ist das dies ist nicht die erste Geldstrafe ist, die Uber von der niederländischen Datenschutzbehörde auferlegt wurde: 2018 musste das Unternehmen bereits 600.000 Euro und 2023 weitere 10 Millionen Euro zahlen. Auch gegen diese letzte Strafe hatte Uber Einspruch eingelegt.