Die Niederländische AP und die Uber-Strafe
Im August 2024 verhängte die niederländische Datenschutzbehörde AP eine Strafe von 290 Millionen Euro gegen Uber. Uber hatte EU-Fahrerdaten ohne Rechtsgrundlage auf US-Server übertragen. Zu diesen Daten gehörten Taxilizenzen, Strafregisterauszüge, Krankenakten und Reiseverläufe.
Uber verschob die Daten, nachdem Schrems II den EU-US-Datenschutzschild im Juli 2020 kippte. Die Übermittlungen liefen zwei Jahre weiter. Keine Standardvertragsklauseln. Kein Instrument nach Artikel 46.
Diese Strafe ist die höchste EU-Einzelstrafe für einen Datentransferverstoß. Sie liegt auf Platz drei aller DSGVO-Bußgelder. Transferverstöße tragen jetzt hohe Kosten. Nicht nur Datenpannen.
Lesen Sie unseren DSGVO-Leitfaden für einen schnellen Überblick.
Prioritäten der AP
Die AP erhielt 2023 über 21.400 DSGVO-Beschwerden. Sie konzentriert sich auf drei Bereiche.
Priorität 1 — Mitarbeiterüberwachung (43 % der Fälle): Viele niederländische Firmen haben AP-Bußgelder für die Überwachung ihrer Mitarbeiter erhalten. Verdeckte Kameras, Massen-E-Mail-Prüfungen und GPS-Tracking ohne Hinweis lösen Maßnahmen aus. Das niederländische Arbeitsrecht ergänzt die DSGVO mit zusätzlichen Regeln.
Priorität 2 — Grenzüberschreitende Transfers (31 % der Fälle): Nach der Uber-Strafe und einer gemeinsamen Untersuchung mit Irlands DPC zu Cloudflare (2023) verstärkte die AP die Transferaufsicht. Amsterdams Tech-Sektor trägt hier ein hohes Risiko. Cloud-Firmen, Fintech und schnell wachsende Start-ups sind alle betroffen.
Priorität 3 — Marketing und Profiling (26 % der Fälle): Dies umfasst Cookie-Einwilligung, Anzeigen-Targeting und Direktmarketing. Die AP legt einen strengen Maßstab an „berechtigte Interessen" an. Sie verlangt schriftliche Tests mit klaren Belegen.
Transferregeln nach Uber
Transfer Impact Assessments (TIAs): Die EDPB verlangt ein TIA für jeden Transfer in ein Drittland. Das TIA muss zeigen, dass das Zielland den EU-Rechtsschutz gleichwertig gewährt. Die AP nennt vier Pflichtfragen:
- Welche staatlichen Zugriffsgesetze gelten im Zielland?
- Wie weit reichen die Nachrichtendienste?
- Wie ist die Geschichte staatlicher Anfragen an den Datenimporteur?
- Welche Rechtsbehelfe stehen betroffenen Personen zur Verfügung?
Standardvertragsklauseln — allein nicht ausreichend: SKK erfüllen Artikel 46 nicht, wenn das TIA staatliches Zugriffsrisiko zeigt. Dann sind zusätzliche Schutzmaßnahmen erforderlich.
Technische Zusatzmaßnahmen, die die AP akzeptiert:
- Verschlüsselung, bei der der Importeur keinen Zugang zu Entschlüsselungsschlüsseln hat
- Entfernen direkter IDs vor dem Transfer, damit der Importeur die Daten nicht mit Personen verknüpfen kann
- Datenminimierung vor dem Transfer, Entfernen nicht benötigter Felder
Die Desktop-App von anonym.legal liest Dateien auf Ihrem Gerät; die Erkennung läuft auf der EU-gehosteten API (Hetzner, Falkenstein), die Daten bleiben also in der EU. Für eine Verarbeitung ganz ohne Verbindung nach außen läuft unser Schwesterprodukt anonym.plus vollständig auf dem Gerät. Lesen Sie unsere Sicherheits- und Compliance-Übersicht.
Mitarbeiterdaten und Niederländisches Arbeitsrecht
Der 43-%-Fokus der AP auf Mitarbeiterüberwachung zeigt, wie sich DSGVO und niederländisches Arbeitsrecht überschneiden.
Drei Regeln gelten für in den Niederlanden ansässige Unternehmen:
Zustimmung des Betriebsrats: Ein Unternehmen mit Betriebsrat muss dessen Zustimmung einholen, bevor es ein Überwachungstool einführt. Das gilt für KI-Tools, E-Mail-Prüfungen und Anwesenheitssysteme.
Verhältnismäßigkeit: Die Überwachung muss dem angegebenen Zweck entsprechen. Verdeckte Überwachung ist nicht erlaubt. Offene Überwachung muss die am wenigsten einschneidende Option sein.
Zweckbindung: HR-Daten, die für einen Zweck erhoben wurden, dürfen nicht für einen anderen Zweck verwendet werden. Eine neue Rechtsgrundlage ist erforderlich.
Diese Regeln erfordern drei Dokumente: die Betriebsratszustimmung, die Verhältnismäßigkeitsprüfung und die Zweckkontrollen. Unsere Compliance-Checkliste deckt alle drei ab.
PII-Erkennung in den Niederlanden
PII-Tools in den Niederlanden müssen lokale ID-Formate verarbeiten. Globale Standard-Tools erkennen sie oft nicht:
- BSN (Burger Service Nummer): 9-stellige niederländische Personalausweisnummer — erfordert Prüfsummenvalidierung
- IBAN (NL-Präfix): Niederländische IBAN mit eigener Validierungslogik
- Postleitzahl (Postcode): Format: 4 Ziffern + Leerzeichen + 2 Buchstaben
- DigiD: Digitaler Identitätscode der Regierung
- Gesundheitsnummern: BGZ- und EP-Formate für Patientenakten
Ein generisches Tool erkennt möglicherweise IBAN, aber nicht die BSN-Prüfsumme oder das Postcode-Format. Testen Sie die BSN-Erkennung, bevor Sie nationale Identitätsdaten verarbeiten. Setzen Sie keine Abdeckung voraus.
Schritte für niederländische Unternehmen
1. Transfer-Audit: Alle Datenflüsse in Drittländer auflisten. Vorhandene SKK prüfen. TIAs für wichtige Flüsse durchführen. Technische Zusatzmaßnahmen dokumentieren, wo ein TIA Risiken aufzeigt.
2. Mitarbeiterüberwachungs-Prüfung: Alle Überwachungstools einschließlich KI auflisten. Betriebsratszustimmungen prüfen. Verhältnismäßigkeitsprüfungen schriftlich bestätigen.
3. PII-Abdeckungsprüfung: BSN-, Postcode- und IBAN-Erkennung in PII-Tools testen. Genauigkeit bei niederländischsprachigen Dokumenten testen.
4. Tech-Sektor-Risiko: Start-ups sollten Architekturentscheidungen dokumentieren, die das Transferrisiko senken — EU-Cloud-Dienste und lokale Verarbeitungsoptionen. Anbieter mit EU-US-Setups sollten Transfer-Tools und TIA-Ansatz dokumentieren.
anonym.legal verarbeitet Text in EU-basierten Hetzner-Rechenzentren (Falkenstein); Zero-Knowledge gilt für die Anmeldung, Ihr Passwort verlässt also nie Ihr Gerät. Lokale Verarbeitung? Unser Schwesterprodukt anonym.plus läuft vollständig auf Ihrem Gerät; die Desktop-App von anonym.legal liest Dateien auf Ihrem Gerät; die Erkennung läuft auf der EU-gehosteten API.
Quellen
- Niederländische AP: Autoriteit Persoonsgegevens — VERIFIED-EXTERNAL
- Niederländische AP: Uber-Durchsetzungsentscheidung (August 2024) — VERIFIED-EXTERNAL
- EDPB: Empfehlungen 01/2020 zu ergänzenden Maßnahmen — VERIFIED-EXTERNAL