Uber-Sanktion: Algorithmisches Management auf dem Prüfstand.

Inwieweit kann ein Unternehmen die Befugnis zur Einstellung, Beurteilung, Bezahlung, Sanktionierung oder zum Ausschluss eines Arbeitnehmers an eine Maschine delegieren? Die jüngst von der niederländischen Datenschutzbehörde gegen den Fahrdienstvermittler Uber verhängte Sanktion liefert uns einen Ausgangspunkt für eine Antwort.

Die Behörde verhängte am 21. August eine Geldstrafe in Höhe von 824.990.000 €. an das Unternehmen in Zusammenarbeit mit der CNIL, die das Ermittlungsverfahren eingeleitet hatte. 
Uber nutzte Software, um das Verhalten der Fahrer zu überwachen und Kundenbewertungen zu analysieren, und deaktivierte zwischen 2018 und 2022 automatisch bestimmte Fahrerkonten bei Verdacht auf Betrug oder bei unzureichenden Bewertungen.

Die Behörde verurteilte das Unternehmen wegen Automatisierte Entscheidungsfindung ohne menschliche Aufsicht.

Diese Entscheidung veranschaulicht, wie die europäische Zusammenarbeit zwischen zwei Datenschutzbehörden funktioniert, und gibt uns die Möglichkeit, eine Bestandsaufnahme der Entwicklung des algorithmischen Managements im professionellen Kontext und seines rechtlichen Rahmens vorzunehmen.

In diesem speziellen Fall kooperierten die CNIL und die niederländische Behörde bereits seit 2020, dem Datum der Sammelklage, die die CNIL von der Vereinigung La Ligue des droits de l'Homme erhielt, welche mehr als 170 Fahrer der UBER-Plattform vertritt. 

Das Unternehmen hat seinen Hauptsitz in San Francisco (Uber Technologies Inc.) und seine Europazentrale in Amsterdam (Uber BV). Aus diesem Grund führte die niederländische Behörde die Untersuchungen durch und nahm Stellung, nachdem sie gemeinsam mit Frankreich die gewonnenen Erkenntnisse analysiert und den Entwurf der endgültigen Entscheidung geprüft hatte. 

Dies ist die dritte Entscheidung der Niederlande in einem Fall, in dem das Unternehmen bereits wegen unterlassener Information der Fahrer und illegaler Datenübermittlung in die Vereinigten Staaten verurteilt wurde. 

Es erinnert vor allem an die Regeln, die für das algorithmische Management gelten müssen, und betont, dass eine menschliche Überprüfung unerlässlich ist, bevor eine Entscheidung auf der Grundlage eines Algorithmus getroffen wird.

Es gibt uns auch die Gelegenheit, daran zu erinnern, dass neben diesem notwendigen menschlichen Eingriff und der Pflicht zur Information der Mitarbeiter die algorithmische Verwaltung meist Teil eines Kontextes sein wird, der sowohl die Berücksichtigung des Grundsatzes «Privacy by Design» als auch die vorherige Durchführung einer Datenschutz-Folgenabschätzung (DSFA) durch den Arbeitgeber beinhaltet. 

Bevor neue Überwachungs- oder Managementtechnologien am Arbeitsplatz eingeführt werden, sei es im Zusammenhang mit der Rekrutierung, dem Personalmanagement, der Messung der Mitarbeitereffektivität oder der Aufgabenverteilung, müssen Arbeitgeber von Anfang an technische und organisatorische Schutzmaßnahmen ergreifen. 

Diese Maßnahmen müssen auf die jeweiligen Risiken abgestimmt sein und können insbesondere Folgendes umfassen: weniger Daten verarbeiten, auf die Pseudonymisierung und zu Zugriff beschränken.

Zusammenfassend lässt sich sagen:, Der Schutz der Privatsphäre darf nicht zweitrangig sein.. Es muss von Anfang an in die Gestaltung der am Arbeitsplatz eingesetzten Technologien integriert werden.

Andererseits algorithmisches Management wird in den meisten Fällen als Behandlung angesehen. «"Hohes Risiko"» erforderlich Wirkungsanalyse weil sie eine Reihe von Kriterien erfüllen, die in der DSGVO Solche Tools beinhalten in der Regel neue technologische Lösungen, automatisierte Entscheidungsfindung, Überwachung, die Kombination von Datensätzen, und die Arbeitnehmer geraten in eine Situation der Abhängigkeit von ihrem Arbeitgeber.

Das Ziel dieser AIPD wird sein’Risiken identifizieren, bewerten und mindern im Zusammenhang mit der Einführung dieser neuen Technologie, unter Berücksichtigung der Auswirkungen auf die Mitarbeiter und deren Sichtweise.

Diese grundlegenden Prinzipien der DSGVO werden bald durch weitere Schutzmaßnahmen ergänzt.

Wenn die KI-Regulierung ist bereits in Kraft getreten; bestimmte Bestimmungen in Bezug auf KI-Systeme mit hohem Risiko gelten ab Dezember 2027. 
L'Artikel 9 und dieAnhang III Die Vorschriften werden Arbeitgeber dazu verpflichten, Folgendes umzusetzen: Risikomanagementsystem wenn sie KI für bestimmte Aufgaben im Zusammenhang mit Beschäftigung und Personalmanagement einsetzen, zum Beispiel für die Veröffentlichung gezielter Stellenangebote, die Analyse und Filterung von Bewerbungen oder die Bewertung von Kandidaten.

In bestimmten Einzelfällen, in denen die Risiken besonders hoch sind, Bewertung der Auswirkungen auf die Grundrechte wird ebenfalls parallel zur AIPD durchgeführt werden müssen.

Darüber hinaus gibt es neue europäische Regelungen in Bezug auf Arbeiten auf Plattformen tritt in Kraft am 2. Dezember nächste.

Diese Maßnahmen zielen darauf ab, den Einsatz von Algorithmen für das Personalmanagement auf digitalen Arbeitsplattformen zu regulieren.

Arbeitgeber müssen daher Informieren Sie die Mitarbeiter über den Einsatz von KI, und diese Systeme müssen überwacht werden von qualifiziertes Personal, wodurch sie von einem besonderen Schutz vor jeglicher schädlicher Behandlung profitieren.

A menschliche Aufsicht Dies muss auch für wichtige Entscheidungen, wie beispielsweise die Sperrung von Konten, gewährleistet sein.

In diesem sich ständig weiterentwickelnden Kontext, Niederländische Sanktionen Dies ist eine sehr nützliche Erinnerung, zumal es sich anscheinend erst um den Anfang handelt.

Im September dieses Jahres haben Fahrer aus mehreren europäischen Ländern einen Sammelklage in Amsterdam gegen Uber, Diesmal wird die Verwendung des Algorithmus für die Vergütung und die Zuteilung von Fahrten angefochten.

In Frankreich

Nur wenige Wochen nachdem das Parlament die’Verbot der Nutzung sozialer Medien für Personen unter 15 Jahren, Das Gesetz war vom Verfassungsrat blockiert.

Er schätzte die 14. August schließlich, dass dieses Verbot« würde die Meinungs- und Kommunikationsfreiheit von Minderjährigen beeinträchtigen und wäre zudem durch ein Übermaß an Kompetenz beeinträchtigt.».

Der Verfassungsrat merkt ferner an, dass dieses Verbot die Folge hätte, dass … Alle Nutzer, auch Erwachsene, müssen ihr Alter nachweisen. vor dem Zugriff auf bestimmte Online-Dienste.

Das Gesetz legte jedoch weder die Verfahren noch die Grenzen dieser Überprüfung fest: Der Gesetzgeber sah daher keine Regelung dafür vor. ausreichende Garantien zum Schutz des Rechts auf Achtung des Privatlebens, das durch die’Artikel 2 der Erklärung von 1789.

Der Rat stellt das Ziel des Schutzes von Minderjährigen nicht in Frage, verlangt aber, dass Altersverifizierungssysteme dieses Ziel mit dem Schutz der Daten und der Privatsphäre aller Nutzer in Einklang bringen.

Die Regierung hat das Projekt nicht aufgegeben; der Premierminister wurde beauftragt, «so schnell wie möglich einen rechtlich einwandfreien Gesetzentwurf auszuarbeiten». Das Gesetz sollte ursprünglich am [Datum einfügen] in Kraft treten. 1. Januar 2027. Die Regierung strebt nun Folgendes an Frühjahr 2027.

Dort DGFiP bestätigt 14. August dass böswillige Akteure sich unrechtmäßigen Zugang zu seinem Informationssystem verschafft und Daten einsehen und extrahieren konnten 678.000 Einzelpersonen und Fachkräfte.

Diese Bedenken Steuerinformationen (Referenzeinkommen, Familienquotient, Quellensteuersatz, SIREN-Nummer und Firmenname) und Katasterdaten (Adressen und Flächenangaben von Immobilien).

Der Einbruch wurde zunächst erkannt und blockiert. Ende Juni, Dies wurde bekannt, nachdem die Angreifer Mitte August öffentlich die Verantwortung übernommen hatten.

Die betroffenen Personen wurden einzeln informiert und die Die Datenschutzverletzung wurde der CNIL gemeldet..

Der Einbruch wurde angeblich ermöglicht durch Gefährdung der Berechtigung eines Agenten, kombiniert mit unzureichend geschütztem externem Zugang.

L'Fehlen der Zwei-Faktor-Authentifizierung Der weitverbreitete Zugang zu Agenten stellt eine Schwäche dar, die erst im Nachhinein erkannt wurde: Bercy kündigte nach dem Angriff seinen beschleunigten Einsatz an.

Beachten Sie, dass Frankreich vor die Gerichtshof der Europäischen Union (EuGH) Für Versäumnis, die europäische Richtlinie NIS2 umzusetzen (Netzwerk- und Informationssicherheit). Die Umsetzung hätte spätestens im Jahr erfolgen müssen. Oktober 2024.

Dort CNIL veröffentlichte die 10. August eine Erinnerung an die Maßnahmen, die ergriffen werden müssen, um die’Unabhängigkeit des Datenschutzbeauftragten (DSB).

Die Veröffentlichung zielt darauf ab, Unternehmen bei der Identifizierung und dem Management der Risiken von Interessenkonflikten Es bezieht sich auf diese Funktion. Es listet die gefährdeten Funktionen auf und schlägt Wege zur Behebung von Interessenkonflikten vor.

In Europa

Europäische Institutionen und Gremien

Dort Europäische Kommission bezeichnete 31. August ChatGPT, Reddit und Roblox als jeweils ein sehr große Online-Suchmaschine und zwei sehr große Online-Plattformen.

ChatGPT ist, wie allgemein bekannt, ein System künstlicher Intelligenz (KI), das mit Nutzern interagieren und auf deren Anfragen und Fragen reagieren kann, insbesondere durch Websuchen, was es laut Kommission zu einem Hybriddienst fällt in den Geltungsbereich von Gesetz über digitale Dienste (DSA).

Reddit ist eine Plattform, die es Nutzern ermöglicht, Inhalte innerhalb themenorientierter Communities zu erstellen, zu teilen, anzusehen und mit ihnen zu interagieren.

Roblox ist eine immersive Spiele- und Kreativplattform, die es Nutzern ermöglicht, von anderen Nutzern entwickelte Spiele zu erstellen, zu veröffentlichen und zu spielen.

Diese Bezeichnungen verleihen der Kommission spezifische Ermittlungsbefugnisse und diese Dienstleistungen benötigen, von hier aus Ende Dezember 2026, um die im DSA festgelegten zusätzlichen Verpflichtungen, insbesondere in Bezug auf die’Systemische Risikobewertung und Risikominderung die auf ihren algorithmischen Systemen beruhen.

In einer Meinung von 11. August zuletzt Europäischer Datenschutzbeauftragter (EDSB) ist besorgt über eine Reform, die Folgendes ermöglichen würde Europol um Daten umfassender zu verarbeiten und zu speichern Personen, die nachweislich nicht mit einer strafrechtlichen Ermittlung in Verbindung stehen..

Seine besondere Sorge gilt der Tatsache, dass der Ausbau der analytischen Fähigkeiten von Europol dazu führen könnte, dass Verbindungen oder Profile zwischen Einzelpersonen und kriminellen Aktivitäten ohne ausreichende Grundlage hergestellt werden.

Der EDPS weist darauf hin, dass mit zunehmender Automatisierung der Analysemöglichkeiten bei Europol auch das Risiko steigt, von einer einzigen Methode zu einer anderen überzugehen. Sammlung aufgrund von Verdacht zu einem Logik der präventiven Massensammlung.

Er fordert strengere Garantien bezüglich Notwendigkeit, Verhältnismäßigkeit, Haltbarkeit und Kontrolle, damit die Effektivität der Verbrechensbekämpfung nicht auf Kosten des Rechts auf Privatsphäre und Datenschutz geht.

Neuigkeiten aus den Mitgliedstaaten der Europäischen Union.

Werbung hält nun auch Einzug in Autos. Der deutsche Hersteller BMW startete diesen Sommer eine Werbekampagne auf der’Hauptbildschirm seiner neuesten Automodelle.

Als die Fahrer ihre Autos starteten, erschien auf dem Bildschirm eine Werbeanimation für den kommenden Spider-Man-Film. Die Werbung nahm den größten Teil des Bildschirms ein. fast 20 Sekunden Und Bestimmte Funktionen wurden vorübergehend deaktiviert. wie Navigation, Multimedia und Klimaanlage. 
Diese Testreihe umfasst mehrere aktuelle Modelle und wurde eingesetzt in mehr als 70 Länder.

A Österreichisches Gericht erwog, dass die nationale Datenschutzbehörde (DSB) sich weigern, auf eine Beschwerde zu reagieren betreffend einen von einem Verband im Namen einer Einzelperson gestellten Zugangsantrag.

Das Gericht verweist auf die das Wirtschaftsmodell des Verbandes, und die Tatsache, dass sie finanzielle Vorteile aus günstigen Gerichtsentscheidungen zieht, obwohl die betroffene Person kein ausdrückliches Interesse an der Einreichung des betreffenden Antrags bekundet: «Eine Generalvollmacht, die darauf abzielt, automatisch nach Datenschutzverletzungen zu suchen und finanzielle Vorteile zu erlangen, rechtfertigt die Ablehnung der Bearbeitung einer Beschwerde gemäß dem’Artikel 57 Absatz 4 der DSGVO und die einschlägige Rechtsprechung des EuGH, des Obersten Verwaltungsgerichts (VwGH) und des Bundesverwaltungsgerichts (BVwG).»  

DER 26. August, Die Regierung der Vereinigten Staaten hat registriert Autistici/Inventati (A/I), eine italienische Wohngemeinschaft, auf der Liste der als terroristisch eingestuften Organisationen und ihrer Mitglieder.

Die Trump-Regierung wirft der Gruppe vor, ein « materielle Unterstützung »über seine Unterkunftsdienste an antifaschistische und linke Gruppen.“.

Amerikanische Organisationen mit Verbindungen zu KI/I müssen alle Beziehungen vor dem 25. September, der Domänenname autistici.org wurde vom US-Administrator der .org-Domains gesperrt., Unterbrechung des Zugangs zu den E-Mails und Diensten des Kollektivs für seine Nutzer. 

Dort Norwegen beabsichtigt, die intelligente Brillen.

DER 25. August, Die für die Digitalisierung zuständige Ministerin erklärte, sie wolle, dass diese Brillen strengeren Vorschriften unterliegen., insbesondere die Gesichtserkennung an öffentlichen Orten zu verbieten..

Der Minister beabsichtigt, einen Expertengruppe beauftragt mit der Formulierung von Empfehlungen zur Regulierung von Kameras und Mikrofonen, die in Brillen, Kopfhörer und ähnliche Alltagsgeräte integriert sind.

International

Bei Vereinigtes Königreich, eine kleine britische Stromerzeugungseinheit war Seit vier Tagen außer Betrieb im Juli nach einem Cyberangriff wird Hackern mit Verbindungen zum Iran zugeschrieben.

Der Vorfall, der als erster bekannter Erfolg einer iranischen Gruppe gegen eine britische Energieinfrastruktur, verursachte keine Störungen oder Bedrohungen für das nationale Netzwerk, da es sich bei dem Standort nicht um kritische Infrastruktur handelte.

Die britische Regierung hat dennoch verstärkte Cybersicherheitsmaßnahmen im Energiesektor, Der Anschlag wird als Warnung vor der zunehmenden Verwundbarkeit der nationalen Infrastruktur gesehen.

Auch auf der anderen Seite des Ärmelkanals, Britische Transportpolizei (BTP) erweitert in August 2026 seine Experimente mit Echtzeit-Gesichtserkennung (LFR) an bestimmten Stationen der Londoner U-Bahn, nach einer ersten Inbetriebnahme im Februar.

Die Technologie vergleicht die Gesichter von Reisenden mit einem Liste der gesuchten Personen, insbesondere bei schweren Straftaten, um ein schnelles Eingreifen der Polizei zu ermöglichen.

Die Behörden behaupten, das Programm sei gezielt, nachrichtendienstlich fundiert und dass die Bilder von Personen, die nicht mit der Liste übereinstimmen, werden gelöscht..

Der Test muss fortgesetzt werden bis November 2026. Die Tatsache, dass Tausende von Reisenden auf diese Weise durchsucht wurden, ohne eines Fehlverhaltens verdächtigt zu werden, entfacht die Debatte über die Verhältnismäßigkeit und der rechtliche Rahmen für die biometrische Überwachung im Vereinigten Königreich.

Bei Brasilien, die APD hat die 25. August hat ByteDance eine Geldstrafe 153,7 Millionen Reais (25,4 Millionen Euro) zur Behandlung von Daten über Kinder und Jugendliche auf TikTok, begleitet von einem Entfernungsverfügung Die Daten wurden unregelmäßig erhoben.

Die Entscheidung betrifft zwei Zugriffsarten, nämlich den Newsfeed, der ohne Internetverbindung für alle zugänglich ist, und den Zugriff über ein registriertes Konto, dessen Verarbeitung gegen mehrere Grundsätze des Datenschutzrechts verstößt.

In beiden Fällen stellte die Behörde fest, dass Fehlen einer gültigen Rechtsgrundlage und wirksame Schutzmaßnahmen.

Dort Südkorea Speer« KI für alle »ein Programm, das darauf abzielt, anzubieten kostenloser, unbegrenzter Zugang zu generativen KI-Diensten für alle Bürger.

Ziel ist es, den Einsatz von KI zu demokratisieren und gleichzeitig die technologische Souveränität des Landes im Vergleich zu den Modellen der Vereinigten Staaten und Chinas.

Künstliche Intelligenz wird in öffentliche Dienstleistungen integriert, um medizinische, steuerliche, immobilienbezogene oder bildungsbezogene Verfahren zu erleichtern und auch kleinen Unternehmen zu helfen.

Die Regierung plant ein KI-Budget von 7,2 Milliarden US-Dollar im Jahr 2026, mit einer landesweiten Einführung bis Ende des Jahres.

A Hongkong, Das Nationale Zentrum für Cybersicherheit hat veröffentlicht Leitlinien für agentenbasierte KI.

Das Dokument definiert fünf Risikokategorien (erweiterter Zugriff, Systemschwachstellen, anfällige Plugins oder Fähigkeiten, Funktionsdrift und Risiken im Zusammenhang mit mehreren Agenten), Formel neun Empfehlungen im Einklang mit den Datenschutzgrundsätzen und schlägt einen Anhang vor, der Folgendes enthält: Sicherheitscheckliste die Bewertung, Vorbereitung, den Einsatz, die Nutzung und die Deinstallation von KI-Agenten umfassen.

Er erinnert sich ferner daran, dass letzteres sind keine juristischen Personen, und dass Die Organisation bleibt für die Daten verantwortlich..

Zu VEREINIGTE STAATEN, die Überwachungskameras des Unternehmens Herdensicherheit Diese Kameras verbreiten sich rasant, was heftige Reaktionen hervorruft. automatisch gelesene Kennzeichen mit dem angeblichen Ziel der Verbrechensbekämpfung.

Mehrere Städte und Einwohner äußern jedoch Bedenken hinsichtlich der Risiken für die Privatsphäre, insbesondere der Möglichkeit, dass die Daten von anderen Polizeidienststellen abgerufen werden könnten. verwendet im Kontext von Migrationskontrollen.

Cybersicherheitsforscher haben außerdem enthüllt Sicherheitslücken, die möglicherweise den Zugriff auf bestimmte Bilder ermöglichen, Dies hat die Bedenken hinsichtlich der Datensicherheit verstärkt. Angesichts dieser Kontroversen haben einige Kommunen ihre Verträge gekündigt oder die Kameras deaktiviert.

Auch in den Vereinigten Staaten, Meta abgeschlossen Vereinbarung mit dem Justizsystem über die Sicherheit von Jugendlichen.

Diese Vereinbarung wurde mit 51 Generalstaatsanwälte beendet einen Rechtsstreit, in dem ihm vorgeworfen wird, Instagram und Facebook für zwanghaften Konsum unter Jugendlichen fördern und die damit verbundenen Risiken minimiert zu haben.

Die Vereinbarung sieht bis zu 17,1 Milliarden US-Dollar über zehn Jahre an die Staaten gezahlt, sowie neue Regeln für die unter 18 Jahren.

Zu den Maßnahmen gehört ein tägliches Nutzungslimit, A nächtliche Blockade, Deaktivierung von Benachrichtigungen während bestimmter Zeiträume, die Entfernung der Anzeige von "Gefällt mir"«, das Verbot von Filtern für kosmetische Chirurgie und die Möglichkeit der Verwendung eines nicht personalisierter Newsfeed.

A Altersverifizierung muss auch die unter 13 Jahren.

Die Vereinbarung sieht schließlich Folgendes vor: unabhängiger Wirtschaftsprüfer verantwortlich für die Überwachung seiner Anwendung.

Die Beschränkungen könnten verschärft werden, wenn andere große Plattformen ähnliche Regeln einführen, wodurch dieses Abkommen zu einem mögliches Modell für den gesamten Sektor.

Zum selben Thema, und immer noch in den Vereinigten Staaten, TikTok und deren Muttergesellschaft ByteDance vereinbarte zu zahlen 400 Millionen Dollar um den Gerichtsverfahren bezüglich der Erhebung und des Schutzes von personenbezogene Daten von Kindern.

Das US-Justizministerium warf ihnen insbesondere vor, dies nicht ausreichend verhindert zu haben. unter 13 Jahren um die Plattform zu nutzen und ihre Daten erfassen zu lassen ohne elterliche Zustimmung.