Ubers 825-Millionen-Euro-Strafe und der Deal mit der Polizei, der sie untergräbt

Die niederländische Datenschutzbehörde und die französische CNIL haben Uber diese Woche wegen automatisierter Entscheidungen, die seine Fahrer betrafen, mit einer Geldstrafe von fast 825 Millionen Euro belegt. Dies ist die jüngste in einer Reihe von Strafen, denen sich die Plattform für den Umgang mit den für sie arbeitenden Menschen stellen musste. Die Strafe zielt genau auf jene Art von undurchsichtigem, algorithmusgesteuertem Management ab, vor dem Kritiker warnen, seit Gig-Plattformen die Auftragsvergabe und Kontodeaktivierung erstmals automatisiert haben. Sie bestätigt zudem, dass die Vorschriften der GDPR gegen rein automatisierte Entscheidungen durchaus Wirkung zeigen, sobald die Aufsichtsbehörden sie durchsetzen.

In derselben Woche ging eine andere Art von automatisierter Entscheidung ohne jegliche vergleichbare Prüfung in Betrieb. Laut netzpolitik.org hat Bremen damit begonnen, ein Drittel seiner Straßenbahnflotte mit einem KI-Verhaltensscanner auszustatten, der Fahrgäste markiert, die das System als aggressiv einstuft. Die Publikation beschreibt diese Einführung als einen Prozess ohne klare Planung oder Datenschutzvorkehrungen, der trotz Testergebnissen voranschreitet, die wenig Anlass zu Vertrauen gaben. Niemand droht den Bremer Verkehrsbetrieben deswegen mit einer Strafe in der Größenordnung von Uber.

Und in Brüssel selbst verhandelt die Kommission über ein Abkommen, das den Zugriff der Vereinigten Staaten auf europäische Polizeidatenbanken ausweiten würde, wie netzpolitik.org berichtet. Zu den Kritikern des Entwurfs gehört der Datenschutzaktivist Max Schrems. Es ist derselbe Schrems, der im vergangenen November zitiert wurde, als er die Gesetzgebungspraktiken hinter einem geleakten Text zur GDPR-Reform als trumpistisch bezeichnete. Die aktuelle Beschwerde unterscheidet sich inhaltlich, aber nicht im Kern: Eine europäische Institution schickt sich an, mehr Bürgerdaten über den Atlantik zu transferieren, und das mit weniger öffentlicher Debatte als bei den Regeln, die sie gegenüber privaten Unternehmen durchsetzt.

Ein Algorithmus lässt sich leicht mit einer Geldstrafe belegen. Eine Regierung, die mit Polizeidaten handelt, hingegen nicht.

Betrachtet man diese drei Fälle zusammen, zeigt sich wieder eine vertraute Asymmetrie. Die Leitartikel dieses Monats haben nachgezeichnet, wie nationale Gerichte und Aufsichtsbehörden auf dem Papier an Durchsetzungskraft gewonnen haben: Ein deutsches Gericht zwingt Amazon zum Umbau seines DSA-Reportings, und eine Landesbehörde ficht die Umsetzung des AI Act in Berlin an. Die Durchsetzung gegenüber Unternehmen wird immer schärfer. Die Kontrolle dessen, was Behörden vor dem Einsatz solcher Technologien tun, hält damit jedoch nicht Schritt. Das gilt unabhängig davon, ob ein Straßenbahnbetreiber Kameras zur Verhaltenserkennung installiert oder eine Kommission mit einer ausländischen Regierung über den Datenzugang verhandelt. Eine Strafe in der Größenordnung von Uber sendet ein echtes Signal an jede Plattform, die automatisierte Entscheidungen über Europäer trifft. Sie sendet jedoch überhaupt kein Signal an jene Entscheidungsträger, die im Namen der Europäer darüber bestimmen, was mit deren Daten geschieht, bevor überhaupt jemand dagegen klagen kann.

Verbraucher…

Für die Fahrer und Kuriere von Uber geht es bei dieser Geldstrafe weniger um das Geld, das zwischen den Aufsichtsbehörden und einer Plattform den Besitzer wechselt. Es geht vielmehr um die Entscheidung, dass das Unternehmen einen Menschen und nicht eine Blackbox über Maßnahmen entscheiden lassen muss, die die Verdienstmöglichkeiten einer Person über die App beenden. Wer in diesem Monat in Bremen mit der Straßenbahn fährt, unterliegt einer anderen Art von automatisierter Beurteilung, die weitaus unklarer ist: Die Verkehrsbehörde hat noch nicht erklärt, wer eine Meldung ihres Verhaltensscanners überprüft oder was als Nächstes geschieht.

Zwei weitere deutsche Meldungen deuten in dieselbe Richtung. HateAid hat Strafanzeige gegen Meta wegen mutmaßlich verdeckter Aufnahmen durch dessen Smart Glasses erstattet, und der Bundesdatenschutzbeauftragte hat in diesem Jahr einen starken Anstieg von Datenpannen bei Gesundheitsdaten verzeichnet. Nichts davon ist abstrakte Politik. Es ist genau das, was in der eigenen Datenspur der Verbraucher auftaucht.

Unternehmen…

Für jedes Unternehmen, das automatisierte Entscheidungen über Kunden oder Gig-Worker in Europa trifft, ist die Strafe gegen Uber das deutlichste Compliance-Signal des Jahres. Aufsichtsbehörden in mehr als einem Mitgliedstaat können und werden aktiv, und die damit verbundene Summe ist keineswegs symbolisch. Das Risiko automatisierter Entscheidungen ist damit zu einer Kennzahl für die Vorstandsebene geworden.

Ein leiseres, aber verwandtes Risiko kam in einem Bericht über KI-generierte Gesichter zutage, die Systeme zur Identitätsprüfung überlisten. Unternehmen, die sich beim Onboarding oder bei der Betrugsprävention auf Gesichtserkennung oder einfache Liveness-Checks verlassen, hinken der Technologie, die sie täuschen soll, bereits hinterher. Der Bericht bringt das Problem mit dem Ansatz des EU AI Act in Bezug auf synthetische Inhalte in Verbindung und drängt eher auf einen echten Herkunftsnachweis als auf reine Mustererkennung.

Behörden…

Die Verhandlungen der Kommission mit Washington über den Zugriff auf Polizeidatenbanken verdienen die gleiche kritische Prüfung, die Brüssel bei allen anderen anlegt. Die Kritik von Schrems spiegelt eine Warnung wider, die er im vergangenen November zu einem geleakten Entwurf der GDPR-Reform geäußert hat. Dies zeigt ein Muster der Besorgnis darüber auf, wie die eigenen Institutionen der EU Regeln für Daten ausarbeiten, die den Staatenbund verlassen.

Die Einführung in den Bremer Straßenbahnen ist eine Fallstudie für jede Behörde, die KI beschafft: Ein Testlauf mit schwachen Ergebnissen reichte nicht aus, um einen flottenweiten Einsatz zu stoppen. Genau diese Lücke vor der Bereitstellung sollen die Auseinandersetzungen um die Umsetzung des AI Act in diesem Monat in Deutschland und anderswo schließen.

Außerdem heute

• Das norwegische Unternehmen RunwayVC erreichte ein erstes Closing von 40 Millionen Euro für seinen zweiten Industrial-Tech-Fonds · EU-Startups
• Europa verzeichnete letzte Woche mehr als 45 Tech-Finanzierungsdeals im Wert von über 684 Millionen Euro · Tech.eu
• Das deutsche Robotikunternehmen NEURA hat Adlatus Robotics übernommen, um KI in Reinigungsroboter zu bringen · EU-Startups
• Die Europäische Kommission veranstaltet einen Pitching-Tag für die Finalisten ihres Apply AI Startup Award · European Commission Digital Strategy
• Das Londoner Unternehmen Embedd hat 2,3 Millionen Euro gesammelt, um eine Software-Infrastruktur für physische KI aufzubauen · EU-Startups
• Das Londoner Start-up Boldr hat 4,2 Millionen Euro gesammelt, um seine smarte Plattform für Heiz- und Kühlsysteme zu erweitern · EU-Startups
• Die niederländische Behörde UWV skizzierte einen risikobasierten Cybersecurity-Ansatz in Verbindung mit dem Cyber Security Act · Digitale Overheid
• Die CNIL hat Best Practices zum Schutz personenbezogener Daten in Collaboration-Tools für die Hochschulbildung veröffentlicht · CNIL
• Boldr hat 5 Millionen US-Dollar eingesammelt, um britische Heimenergiesysteme in Netzkapazitäten umzuwandeln · Tech.eu
• Das Berliner Start-up Kazimi hat 2,2 Millionen Euro in einer Pre-Seed-Finanzierung erhalten, um Bot-Aktivitäten im Mobile Marketing zu bekämpfen · Tech.eu
• Bosch wird ab 2027 humanoide Roboter für das britische Start-up Humanoid produzieren · Presse-Citron
• Eine Umfrage in sieben Ländern ergab, dass 41 Prozent der Führungskräfte davon ausgehen, dass KI ihre Belegschaft reduzieren wird · Presse-Citron
• Das ungarische Edtech BOOKR hat 6,1 Millionen Euro eingesammelt, um seine Lese- und Sprachtools weltweit zu expandieren · The Recursive
• Auch das Berliner Unternehmen Kazimi sicherte sich 2,2 Millionen Euro, um Apps bei der Verifizierung von Daten gegen Bots zu unterstützen · EU-Startups

Quellen

• Bestätigte eine Geldstrafe in Höhe von fast 825 Millionen Euro gegen Uber wegen automatisierter Entscheidungen, die Fahrer betreffen · CNIL
• Berichtete über die Einführung eines KI-Verhaltensscanners in einem Drittel der Bremer Straßenbahnflotte · netzpolitik.org
• Detaillierte Informationen zu den Verhandlungen über den polizeilichen Datenzugriff zwischen der EU und den USA, die von Max Schrems kritisiert wurden · netzpolitik.org
• Behandelte die Strafanzeige von HateAid gegen Meta wegen dessen Smart Glasses in Deutschland · Heise Online
• Berichtete über einen starken Anstieg von Datenpannen bei Gesundheitsdaten in Deutschland, 428 Fälle wurden bis Juli registriert · Heise Online
• Untersuchte, wie KI-generierte Gesichter Online-Identitätsprüfsysteme überlisten · Agenda Digitale