Die Niederländische AP und die Uber-Strafe
Im August 2024 verhängte die niederländische Datenschutzbehörde AP eine Strafe von 290 Millionen Euro gegen Uber. Uber hatte EU-Fahrerdaten ohne Rechtsgrundlage auf US-Server übertragen. Zu diesen Daten gehörten Taxilizenzen, Strafregisterauszüge, Krankenakten und Reiseverläufe.
Uber verschob die Daten, nachdem Schrems II den EU-US-Datenschutzschild im Juli 2020 kippte. Die Übermittlungen liefen zwei Jahre weiter. Keine Standardvertragsklauseln. Kein Instrument nach Artikel 46.
Diese Strafe ist die höchste EU-Einzelstrafe für einen Datentransferverstoß. Sie liegt auf Platz drei aller DSGVO-Bußgelder. Transferverstöße tragen jetzt hohe Kosten. Nicht nur Datenpannen.
Lesen Sie unseren DSGVO-Leitfaden für einen schnellen Überblick.
Prioritäten der AP
Die AP erhielt 2023 über 21.400 DSGVO-Beschwerden. Sie konzentriert sich auf drei Bereiche.
Priorität 1 — Mitarbeiterüberwachung (43 % der Fälle): Viele niederländische Firmen haben AP-Bußgelder für die Überwachung ihrer Mitarbeiter erhalten. Verdeckte Kameras, Massen-E-Mail-Prüfungen und GPS-Tracking ohne Hinweis lösen Maßnahmen aus. Das niederländische Arbeitsrecht ergänzt die DSGVO mit zusätzlichen Regeln.
Priorität 2 — Grenzüberschreitende Transfers (31 % der Fälle): Nach der Uber-Strafe und einer gemeinsamen Untersuchung mit Irlands DPC zu Cloudflare (2023) verstärkte die AP die Transferaufsicht. Amsterdams Tech-Sektor trägt hier ein hohes Risiko. Cloud-Firmen, Fintech und schnell wachsende Start-ups sind alle betroffen.
Priorität 3 — Marketing und Profiling (26 % der Fälle): Dies umfasst Cookie-Einwilligung, Anzeigen-Targeting und Direktmarketing. Die AP legt einen strengen Maßstab an „berechtigte Interessen" an. Sie verlangt schriftliche Tests mit klaren Belegen.
Transferregeln nach Uber
Transfer Impact Assessments (TIAs): Die EDPB verlangt ein TIA für jeden Transfer in ein Drittland. Das TIA muss zeigen, dass das Zielland den EU-Rechtsschutz gleichwertig gewährt. Die AP nennt vier Pflichtfragen:
- Welche staatlichen Zugriffsgesetze gelten im Zielland?
- Wie weit reichen die Nachrichtendienste?
- Wie ist die Geschichte staatlicher Anfragen an den Datenimporteur?
- Welche Rechtsbehelfe stehen betroffenen Personen zur Verfügung?
Standardvertragsklauseln — allein nicht ausreichend: SKK erfüllen Artikel 46 nicht, wenn das TIA staatliches Zugriffsrisiko zeigt. Dann sind zusätzliche Schutzmaßnahmen erforderlich.
Technische Zusatzmaßnahmen, die die AP akzeptiert:
- Verschlüsselung, bei der der Importeur keinen Zugang zu Entschlüsselungsschlüsseln hat
- Entfernen direkter IDs vor dem Transfer, damit der Importeur die Daten nicht mit Personen verknüpfen kann
- Datenminimierung vor dem Transfer, Entfernen nicht benötigter Felder
Die Offline-Desktop-App läuft vollständig auf Ihrem Gerät. Sie sendet keine Daten nach außen. Das beseitigt das Transferproblem für diese Verarbeitung. Lesen Sie unsere Sicherheits- und Compliance-Übersicht.
Mitarbeiterdaten und Niederländisches Arbeitsrecht
Der 43-%-Fokus der AP auf Mitarbeiterüberwachung zeigt, wie sich DSGVO und niederländisches Arbeitsrecht überschneiden.
Drei Regeln gelten für in den Niederlanden ansässige Unternehmen:
Zustimmung des Betriebsrats: Ein Unternehmen mit Betriebsrat muss dessen Zustimmung einholen, bevor es ein Überwachungstool einführt. Das gilt für KI-Tools, E-Mail-Prüfungen und Anwesenheitssysteme.
Verhältnismäßigkeit: Die Überwachung muss dem angegebenen Zweck entsprechen. Verdeckte Überwachung ist nicht erlaubt. Offene Überwachung muss die am wenigsten einschneidende Option sein.
Zweckbindung: HR-Daten, die für einen Zweck erhoben wurden, dürfen nicht für einen anderen Zweck verwendet werden. Eine neue Rechtsgrundlage ist erforderlich.
Diese Regeln erfordern drei Dokumente: die Betriebsratszustimmung, die Verhältnismäßigkeitsprüfung und die Zweckkontrollen. Unsere Compliance-Checkliste deckt alle drei ab.
PII-Erkennung in den Niederlanden
PII-Tools in den Niederlanden müssen lokale ID-Formate verarbeiten. Globale Standard-Tools erkennen sie oft nicht:
- BSN (Burger Service Nummer): 9-stellige niederländische Personalausweisnummer — erfordert Prüfsummenvalidierung
- IBAN (NL-Präfix): Niederländische IBAN mit eigener Validierungslogik
- Postleitzahl (Postcode): Format: 4 Ziffern + Leerzeichen + 2 Buchstaben
- DigiD: Digitaler Identitätscode der Regierung
- Gesundheitsnummern: BGZ- und EP-Formate für Patientenakten
Ein generisches Tool erkennt möglicherweise IBAN, aber nicht die BSN-Prüfsumme oder das Postcode-Format. Testen Sie die BSN-Erkennung, bevor Sie nationale Identitätsdaten verarbeiten. Setzen Sie keine Abdeckung voraus.
Schritte für niederländische Unternehmen
1. Transfer-Audit: Alle Datenflüsse in Drittländer auflisten. Vorhandene SKK prüfen. TIAs für wichtige Flüsse durchführen. Technische Zusatzmaßnahmen dokumentieren, wo ein TIA Risiken aufzeigt.
2. Mitarbeiterüberwachungs-Prüfung: Alle Überwachungstools einschließlich KI auflisten. Betriebsratszustimmungen prüfen. Verhältnismäßigkeitsprüfungen schriftlich bestätigen.
3. PII-Abdeckungsprüfung: BSN-, Postcode- und IBAN-Erkennung in PII-Tools testen. Genauigkeit bei niederländischsprachigen Dokumenten testen.
4. Tech-Sektor-Risiko: Start-ups sollten Architekturentscheidungen dokumentieren, die das Transferrisiko senken — EU-Cloud-Dienste und lokale Verarbeitungsoptionen. Anbieter mit EU-US-Setups sollten Transfer-Tools und TIA-Ansatz dokumentieren.
anonym.legal verwendet EU-basierte Hetzner-Rechenzentren mit Zero-Knowledge-Design. Der Server sieht Ihren Klartext nie. Ein vollständiger Server-Einbruch liefert nur AES-256-GCM-Chiffretext. Lokale Verarbeitung? Die Desktop-App läuft vollständig auf Ihrem Gerät ohne externe Verbindungen.
Quellen
- Niederländische AP: Autoriteit Persoonsgegevens — VERIFIED-EXTERNAL
- Niederländische AP: Uber-Durchsetzungsentscheidung (August 2024) — VERIFIED-EXTERNAL
- EDPB: Empfehlungen 01/2020 zu ergänzenden Maßnahmen — VERIFIED-EXTERNAL