DSGVO-Briefing

Niederländische Datenschutzbehörde verhängt 824,99 Mio. EUR-Bußgeld gegen Uber wegen automatisierter Entscheidungsfindung, die Berliner Senatsverwaltung musste nach einer Attacke ihre Systeme an mehreren Standorten abschalten, das iranische Militär nutzt Strava-Daten von US-Basen zur Zielerfassung.

Unzulässige vollautomatische Entscheidungsfindung: Bußgeld in Höhe von fast 825 Mio. EUR für Uber.

Nach einer Sammelbeschwerde, die von einer Menschrenrechtsorganisation im Namen von 171 Uber-Fahrern bei der französischen Datenschutzbehörde CNIL eingereicht wurde, untersuchte die niederländische Datenschutzbehörde AP Uber/Uber Technologies Inc. Die AP verhängte ein Bußgeld von 824.990.000.

Uber nutzte von 2018 bis 2022 unzulässige, vollständig automatisierte getroffene Einzelentscheidungen zur Deaktivierung von Fahrerkonten, bei denen es Betrugsverdacht oder schlechten Bewertungen gegeben hatte. Diese Entscheidungen wurden ohne jegliches menschliche Eingreifen ausgelöst. Betroffene Fahrer waren erheblich beeinträchtigt.

Beide Behörden betonten, dass die Entscheidungsgewalt in Situationen, die wie hier die Arbeitsmöglichkeiten anderer betreffen können, auf keinen Fall rein maschinell getroffen werden dürfen. Es ist unabdingbar, dass ein Mensch die Verantwortung für solche Schritte übernimmt.

Berliner Senatsverwaltung muss ihre Systeme nach Angriff tagelang abschalten.

Nach einem Hackerangriff auf Teile der Berliner Senatsverwaltung mussten am 14. August mehrere Systeme aus Sicherheitsgründen vom Landesnetz getrennt werden. Betroffen waren von der Attacke, die am 17. August 2026 bekannt wurde, insbesondere die Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz, die daraufhin nicht mehr arbeitsfähig waren.

Der Vorfall führte zu erheblichen Störungen bei den digitalen Diensten der Verwaltung, darunter die Online-Beantragung von Briefwahlunterlagen und die Auszahlung von Wohngeld an über 50.000 Haushalte. Während die Senatskanzlei angab, dass keine sensiblen Daten abgeflossen seien, widersprachen andere Quellen aus der Verwaltung dieser Darstellung. Die Staatsanwaltschaft leitete ein Ermittlungsverfahren ein.

Erst am Morgen des 24. August bestätigte die Senatsverwaltung, dass alle Systeme wieder normal funktionsfähig seien.

Strava als Zielerfassungs-Werkzeug: Iranisches Militär nutzt Trainingsdaten von US-Soldaten.

Mehr als 1.300 Strava-Nutzer haben Trainingsaktivitäten von US-Militärbasen im Nahen Osten öffentlich geteilt, darunter genaue Routen, Zeitpläne und Bewegungsmuster zwischen verschiedenen Stützpunkten. Sicherheitsexperten gehen nun davon aus, dass der Iran diese Daten zur Aufklärung und Zielerfassung genutzt hat.

So konnte Sky News das Strava-Profil eines US-Navy-Auftragnehmers auf dem Marineflottenstützpunkt Manama in Bahrain identifizieren, der kurz vor Kriegsbeginn am 28. Februar 2025 seine Routineläufe auf der Basis einstellte und danach im Innenhof des Crowne Plaza Hotels aufzeichnete – ein Hotel, das der Iran sechs Tage später bei Angriffen auf die Basis bombardierte und dabei zwei Mitarbeiter des Pentagons verletzte.

Am jordanischen Luftwaffenstützpunkt Muwaffaq Al Salti wurden Monate zuvor Laufmuster erfasst. Am 17. Juli griff der Iran die Kaserne dann gezielt an, die im Strava-Datenmuster besonders hervortrat. Drei Soldaten kamen ums Leben. Trotz einer Pentagon-Warnung aus dem Jahr 2018 wurden die Maßnahmen zur Durchsetzung des Verbots der Standortfreigabe offenbar nur unzureichend umgesetzt.

Quellen