Immer mehr Entscheidungen am Arbeitsplatz beginnen mit Software. Ein Tool sortiert Lebensläufe, bevor ein Recruiter sie liest. Eine App verteilt Schichten und Aufgaben. Ein Betrugsfilter oder ein Bewertungssystem entscheidet, wer auf einer Plattform aktiv bleibt. Oft erfahren die Betroffenen nie, wer das – wenn überhaupt jemand – freigegeben hat.
Europäische Aufsichtsbehörden setzen inzwischen einen Preis auf solche Fehler. Im August 2026 verhängte die niederländische Datenschutzbehörde gegen Uber ein Bußgeld von 824.990.000 €, weil Software Fahrerkonten ohne menschliche Beteiligung deaktivierte. Im September mahnte die spanische Aufsichtsbehörde ein Unternehmen wegen eines KI-Tools zur Vorauswahl von Bewerbern ab. Und bis zum 2. Dezember 2026 müssen die EU-Staaten die Plattformarbeitsrichtlinie umgesetzt haben, nach der ein Mensch und kein Algorithmus über die Sperrung oder Kündigung eines Kontos entscheiden muss.
Dieser Artikel dient nur der allgemeinen Information und ist keine Rechtsberatung. Er ist ein praktischer Leitfaden für Unternehmer, Personalverantwortliche und Produktteams. Die Uber-Entscheidung selbst haben wir in unserem früheren Artikel zur Uber-Entscheidung behandelt; hier geht es darum, was sie für alle bedeutet, die Menschen mit Software führen.
Warum algorithmisches Management jetzt im Fokus steht
- Die Uber-Entscheidung hat ganz Europa erreicht. Die Autoriteit Persoonsgegevens (AP) gab das Bußgeld am 21. August 2026 bekannt, die französische CNIL folgte am 24. August, und der Europäische Datenschutzausschuss (EDSA) veröffentlichte am 8. Oktober 2026 eine Zusammenfassung.
- Spanien hat zweimal gehandelt. Am 23. September veröffentlichte die AEPD eine förmliche Warnung zu einem KI-Recruiting-Tool. Am 7. Oktober gab sie Leitlinien zu algorithmischen Systemen am Arbeitsplatz heraus, zwei Tage nachdem ein neues spanisches Dekret zur Information der Beschäftigten über Algorithmen in Kraft getreten war.
- Eine Frist rückt näher. Die Richtlinie (EU) 2024/2831 über Plattformarbeit muss bis zum 2. Dezember 2026 umgesetzt werden.
- Weitere Schritte könnten folgen. Am 6. Oktober 2026 berichtete 2EU, die Exekutiv-Vizepräsidentin der Kommission, Roxana Mînzatu, habe dem Europäischen Parlament mitgeteilt, dass algorithmisches Management zu den Themen gehört, die für das kommende Gesetz über hochwertige Arbeitsplätze (Quality Jobs Act) geprüft werden. Ein Text liegt noch nicht vor, und ein geprüftes Thema garantiert keine konkrete Maßnahme.
Was Uber getan hat und warum die Behörde Nein sagte
Laut der AP nutzte Uber zwischen 2018 und 2022 Software, um das Verhalten der Fahrer zu überwachen und Kundenbewertungen zu erfassen. Bei Betrugsverdacht oder zu niedrigen Bewertungen wurde das Konto des Fahrers automatisch deaktiviert: vorübergehend oder bei dauerhaft niedrigen Bewertungen endgültig. Eine menschliche Prüfung fand nicht statt, und die Fahrer verloren während der Deaktivierung ihr Einkommen bei Uber.
Die AP stellte zwei DSGVO-Verstöße fest:
- Artikel 22, der Menschen das Recht gibt, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Die CNIL erklärt, die Deaktivierungen seien automatisierte Entscheidungen gewesen, „aufgrund des völligen Fehlens menschlichen Eingreifens“, mit erheblicher Wirkung auf Fahrer, die nichts mehr verdienen konnten.
- Artikel 13, weil die Fahrer nicht ordnungsgemäß informiert wurden. Artikel 13 Absatz 2 Buchstabe f verlangt „aussagekräftige Informationen über die involvierte Logik“ sowie die Folgen für die betroffene Person.
Drei weitere Details sind wichtig:
- Es begann mit einer Beschwerde. 171 französische Fahrer wandten sich an die Ligue des droits de l'Homme, die sich bei der CNIL beschwerte. Da Ubers europäischer Sitz in den Niederlanden liegt, führte die AP das Verfahren im Rahmen des One-Stop-Shop-Mechanismus der DSGVO.
- Das Bußgeld ist hoch, aber nicht das Maximum. DSGVO-Bußgelder können bis zu 4 % des weltweiten Umsatzes erreichen. Die AP bezifferte Ubers Umsatz 2025 auf rund 44,5 Milliarden €, das Bußgeld entspricht also etwa 1,9 %.
- Es ist nicht rechtskräftig. Uber hat die Praxis beendet, ficht das Bußgeld aber an. Es ist das vierte Bußgeld der AP gegen Uber, nach 600.000 € im Jahr 2018, 10 Millionen € im Jahr 2023 und 290 Millionen € im Jahr 2024; die letzten beiden werden ebenfalls angefochten.
Der „Mensch in der Schleife“ muss echt sein
Nur wenige Unternehmen bauen vollautomatische Kündigungsmaschinen. Das häufigere Risiko ist leiser: Ein Tool bewertet oder rankt Menschen, und ein Mensch zeichnet nur pro forma ab. Genau damit hat sich die spanische AEPD jetzt befasst.
Ihre Warnung (AI-00009-2026) betraf ein noch nicht eingesetztes Tool, das Lebensläufe analysieren, Bewerber bewerten und sie für Einstellungen und interne Versetzungen priorisieren sollte. Das Unternehmen erklärte, eine Person treffe immer die endgültige Entscheidung, das Tool ignoriere sensible Merkmale und werde regelmäßig geprüft. Die Warnung der AEPD und ihr Leitfaden vom 7. Oktober stellen dennoch einen anspruchsvollen Katalog auf:
- Die menschliche Prüfung muss substanziell sein. Die entscheidende Person muss den Score kritisch beurteilen und von ihm abweichen können. Ist der Mensch nur auf dem Papier beteiligt, kann Artikel 22 trotzdem greifen.
- Abweichungen festhalten. Dokumentieren Sie, wann Prüfer von der automatisierten Empfehlung abweichen. Das systematische Ausbleiben von Abweichungen kann darauf hindeuten, dass sich die Menschen schlicht auf den Score verlassen.
- Auf Stellvertretermerkmale prüfen. Die Aussage, ein Tool nutze keine sensiblen Daten, genügt nicht; Sie müssen prüfen, ob andere Variablen als Stellvertreter (Proxys) dafür dienen.
- Konzernweite Tools verlagern die Verantwortung nicht. Wird ein Tool zentral von einer Unternehmensgruppe entwickelt, bleibt die lokale Gesellschaft, die es einsetzt, für ihre eigene Bewertung verantwortlich.
- Audits müssen nachprüfbar sein. Dokumentieren Sie Umfang, getestete Systemversion, Fehlerquoten, unterschiedliche Auswirkungen, die Wirksamkeit der menschlichen Aufsicht und die ergriffenen Abhilfemaßnahmen. Die Aussage, Systeme würden „regelmäßig überprüft“, reicht nicht aus.
- Erst bewerten. Bewerten Sie die Risiken vor dem Einsatz und führen Sie bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung (DSFA) durch. Artikel 35 Absatz 3 Buchstabe a DSGVO verlangt sie für die systematische und umfassende automatisierte Bewertung von Personen, auf der wesentliche Entscheidungen beruhen. Unser Artikel dazu, warum KI-Chatbots ein DSFA-Problem sind, zeigt, was eine DSFA abdecken muss.
Eine Warnung ist kein Bußgeld. Die AEPD betonte jedoch, dass sie dem Unternehmen die Last auferlegt, sich anzupassen und die Einhaltung nachzuweisen.
Spanien hat auch eine arbeitsrechtliche Ebene hinzugefügt. Das Königliche Dekret 723/2026, seit dem 5. Oktober 2026 in Kraft, verpflichtet Arbeitgeber, jeden Beschäftigten schriftlich über algorithmische oder automatisierte Entscheidungssysteme zu informieren und, wenn diese die Arbeitsbedingungen bestimmen, über deren Kriterien und Funktionsregeln. Neue Beschäftigte müssen vor Arbeitsbeginn informiert werden; bestehende Beschäftigte können nachfragen, und der Arbeitgeber muss innerhalb von 30 Arbeitstagen antworten. Die AEPD weist darauf hin, dass dies die Transparenz nach der DSGVO nicht ersetzt; die Pflichten überschneiden sich.
Beantworten Sie ein paar Fragen in unserem DSGVO-Entscheidungsbaum, um zu sehen, welche Pflichten für eine bestimmte Verwendung personenbezogener Daten oder von KI gelten.
Plattformarbeit: ab 2. Dezember muss ein Mensch entscheiden
Die Plattformarbeitsrichtlinie ist das erste EU-Gesetz, das eigens für algorithmisches Management geschrieben wurde. Sie gilt für digitale Arbeitsplattformen, die in der EU erbrachte Arbeit organisieren, unabhängig von ihrem Sitz, und ihre Regeln zum algorithmischen Management schützen alle, die Plattformarbeit leisten, auch Personen ohne Arbeitsvertrag. Zu den wichtigsten Regeln gehören:
- Verbotene Daten (Artikel 7). Automatisierte Systeme dürfen keine Daten über den emotionalen oder psychischen Zustand oder über private Gespräche verarbeiten, keine Daten erheben, während die Person nicht arbeitet, die Ausübung von Rechten wie gewerkschaftlicher Betätigung nicht vorhersagen und keine Merkmale wie ethnische Herkunft, Gesundheit oder sexuelle Orientierung ableiten. Diese Grenzen gelten bereits ab der Einstellung.
- DSFA als Regelfall (Artikel 8). Die Verarbeitung durch diese Systeme gilt als voraussichtlich mit hohem Risiko verbunden, und die Plattformen müssen die Ansichten der Beschäftigten und ihrer Vertreter einholen.
- Transparenz (Artikel 9). Beschäftigte müssen spätestens an ihrem ersten Arbeitstag über die sie betreffenden Systeme informiert werden, einschließlich deren Hauptparameter und der Gründe für die Sperrung oder Kündigung eines Kontos.
- Menschliche Aufsicht (Artikel 10). Plattformen müssen die Auswirkungen automatisierter Entscheidungen mindestens alle zwei Jahre bewerten, mit Mitarbeitenden, die befugt sind, sie zu überstimmen. Artikel 10 Absatz 5: Jede Entscheidung, ein Konto einzuschränken, zu sperren oder zu kündigen, „wird von einem Menschen getroffen“.
- Erklärung und Überprüfung (Artikel 11). Betroffene erhalten eine schriftliche Begründung für Entscheidungen wie eine Sperrung und können eine Überprüfung verlangen, die innerhalb von zwei Wochen beantwortet werden muss.
Die Datenschutzbehörden werden die Artikel 7 bis 11 mit dem höchsten Bußgeldrahmen der DSGVO durchsetzen. Fragen bleiben offen: Der Compliance-Dienst LexLint fragt, ob eine sofortige automatisierte Sperrung bei Betrugsverdacht, die anschließend von einem Menschen überprüft wird, Artikel 10 Absatz 5 genügt. Darauf könnten die nationalen Gesetze Antworten geben.
Die KI-Verordnung: was schon gilt und was kommt
Die KI-Verordnung (Verordnung (EU) 2024/1689) fügt eine weitere Ebene hinzu:
- Bereits verboten. Seit dem 2. Februar 2025 verbietet Artikel 5 Absatz 1 Buchstabe f KI, die Emotionen von Menschen am Arbeitsplatz oder in Bildungseinrichtungen ableitet, außer aus medizinischen oder Sicherheitsgründen.
- Hochrisiko ab 2. Dezember 2027. Anhang III nennt KI, die zur Einstellung und Auswahl von Personen eingesetzt wird, sowie KI für Entscheidungen über Beförderung, Kündigung, Aufgabenzuweisung und Leistungsüberwachung. Nach dem Digitalen Omnibus zur KI (Verordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft) gelten diese Hochrisiko-Regeln ab dem 2. Dezember 2027. Den vollständigen Zeitplan finden Sie in unserem Compliance-Kalender zur KI-Verordnung.
- Informieren Sie Ihre Belegschaft. Nach Artikel 26 Absatz 7 müssen Arbeitgeber, die ein Hochrisiko-KI-System am Arbeitsplatz einsetzen, vor der Inbetriebnahme die Arbeitnehmervertreter und die betroffenen Beschäftigten informieren. Artikel 26 Absatz 11 ergänzt, dass Personen, die Entscheidungen unterliegen, die von solchen Systemen getroffen oder unterstützt werden, informiert werden müssen.
Nach dem Datenschutzrecht wartet nichts davon auf 2027. Die DSGVO, einschließlich Artikel 22, gilt für diese Tools heute, und Artikel 88 erlaubt es den EU-Staaten, spezifischere Regeln für Beschäftigtendaten zu erlassen.
Praktische Checkliste für Unternehmen, die KI zur Führung von Menschen einsetzen
- ☐ Erfassen Sie Ihre Entscheidungssysteme: Betrugsfilter, Bewertungsschwellen, CV-Scoring, Schichtzuteilung und Leistungs-Dashboards, auch Tools von Drittanbietern.
- ☐ Finden Sie die „ausschließlich automatisierten“ Entscheidungen, die Menschen mit erheblicher Wirkung blockieren, ablehnen, deaktivieren oder ranken.
- ☐ Machen Sie die menschliche Prüfung echt: geben Sie Prüfern Zeit, die zugrunde liegenden Daten, Schulung und die Befugnis, das System zu überstimmen.
- ☐ Protokollieren Sie Überstimmungen. Wenn Prüfer dem Tool nie widersprechen, finden Sie heraus, warum.
- ☐ Führen Sie vor dem Start eine DSFA durch und aktualisieren Sie sie, wenn sich Modell, Daten oder Zweck ändern.
- ☐ Erklären Sie in einfacher Sprache, was eine Maßnahme auslöst und wie Betroffene ihren Fall von einem Menschen prüfen lassen können.
- ☐ Testen Sie auf Verzerrungen und Proxys und führen Sie Prüfunterlagen, die jemand anderes nachvollziehen könnte.
- ☐ Stellen Sie sicher, dass kein Tool am Arbeitsplatz Emotionen ableitet.
- ☐ Beziehen Sie Arbeitnehmervertreter früh ein.
- ☐ Plattformen: beachten Sie Ihre nationale Umsetzung der Plattformarbeitsrichtlinie und stellen Sie sicher, dass Sperrungen und Kündigungen von einer Person entschieden werden.
- ☐ Planen Sie für den 2. Dezember 2027, wenn die Hochrisiko-Regeln der KI-Verordnung für Beschäftigungssysteme gelten.
Ein Hinweis für Leser in Brasilien
Brasiliens Gerichte haben das Datenschutzrecht bereits auf App-Fahrer angewendet. In REsp 2.135.783-DF, entschieden am 18. Juni 2024, urteilte der Oberste Gerichtshof (STJ), dass ein von einer Plattform entfernter Fahrer nach Artikel 20 der LGPD (Gesetz 13.709/2018) Anspruch auf Überprüfung automatisierter Entscheidungen hat, die sein berufliches Profil festlegen. Zusammenfassungen des Urteils ergänzen, dass die Plattform ein Konto bei schwerem Fehlverhalten sofort sperren darf, aber ihre Gründe nennen und dem Fahrer anschließend Gelegenheit zur Stellungnahme geben muss. Ein Unterschied: Die LGPD garantiert eine Überprüfung, verlangt aber anders als die DSGVO nicht ausdrücklich ein menschliches Eingreifen. Brasilianische Plattformen, die in der EU erbrachte Arbeit organisieren, fallen zudem unter die Plattformarbeitsrichtlinie.
Fazit
Der Fall Uber betrifft Fahrer, doch seine Lehre gilt für jede Organisation, die Software über Menschen entscheiden lässt. Automatisierung ist nicht rechtswidrig. Unerklärte, nicht überprüfbare Entscheidungen, die jemandem Einkommen oder Karriere nehmen, sind es. Die Botschaft der Aufsichtsbehörden ist einheitlich: Sagen Sie den Menschen, wann Algorithmen beteiligt sind, erklären Sie, wie sie funktionieren, und stellen Sie hinter wichtige Entscheidungen eine echte Person mit echter Befugnis. Unternehmen, die das jetzt tun, sind gerüstet für die Plattformregeln im Dezember, die KI-Frist 2027 und das, was der Quality Jobs Act bringt.
Buchen Sie eine kostenlose Beratung bei GDPRGard → und wir helfen Ihnen, die automatisierten Entscheidungen in Ihren HR- und Betriebstools zu überprüfen.
Quellen
- Autoriteit Persoonsgegevens: Uber krijgt boete van bijna 825 miljoen euro (21. Aug. 2026)
- EDSA: Dutch DPA fines Uber EUR 824 990 000 (8. Okt. 2026)
- CNIL: Automated decisions, Uber fined nearly EUR 825 million (24. Aug. 2026)
- Reuters: Dutch regulator fines Uber $966 million for automating driver suspensions (21. Aug. 2026)
- AEPD: La Agencia recuerda las garantías para utilizar IA en el análisis de currículums (23. Sep. 2026)
- AEPD: Sistemas algorítmicos en el ámbito laboral (7. Okt. 2026)
- A&O Shearman: Spain, AEPD warns on use of AI in recruitment (13. Okt. 2026)
- EUR-Lex: Richtlinie (EU) 2024/2831 zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit
- EU-OSHA: Richtlinie 2024/2831/EU, Plattformarbeit
- LexLint: Plattformarbeitsrichtlinie, Artikel 9 bis 11
- LawPlayer: Richtlinie (EU) 2024/2831, Artikel 10 (menschliche Aufsicht)
- AI Act Service Desk: Artikel 26, Pflichten der Betreiber von Hochrisiko-KI-Systemen
- AI Act Service Desk: Anhang III, Hochrisiko-KI-Systeme
- White & Case: EU AI Omnibus enters into force, amending the AI Act
- 2EU: Commission brings algorithmic management into Quality Jobs Act work (6. Okt. 2026)
- DSGVO Artikel 13, 22, 35 und 88 (gdpr-info.eu)
- Dizer o Direito: STJ, REsp 2.135.783-DF (Aug. 2024)
- Brasilien: LGPD, Gesetz Nr. 13.709/2018
Auch lesenswert:
- Ubers 825-Mio.-€-Bußgeld: Wenn „der Algorithmus hat entschieden“ zur Haftung wird
- Die KI-Verordnung wurde verschoben, nicht abgesagt: Ihr Compliance-Kalender 2026 bis 2028
- Ihr KI-Chatbot anonymisiert gar nichts