ANSPDCP Rumänien: DSGVO-Risiken im BPO
Rumäniens Datenschutzbehörde verschärft die Durchsetzung. Die Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) überwacht einen der am schnellsten wachsenden Outsourcing-Sektoren der EU.
Bukarest, Cluj-Napoca und Iași verarbeiten EU-Bürger-Daten aus Deutschland, Frankreich, dem Vereinigten Königreich und den Niederlanden. Die ANSPDCP verhängte von 2022 bis 2024 DSGVO-Bußgelder in Höhe von 1,8 Millionen Euro. BPO- und Outsourcing-Unternehmen standen in den meisten Fällen im Mittelpunkt.
BPO-Risiken: Vier Kernbereiche
Große Mengen personenbezogener Daten. Callcenter bearbeiten Abrechnungsstreitigkeiten. Sie verarbeiten Namen, Adressen, Kontonummern und Zahlungshistorien. IT-Support-Teams greifen auf Kundensysteme zu. Diese Systeme enthalten persönliche Daten.
EU-Bürgerdaten im Ausland verarbeitet. Betroffene Personen sind oft Deutsche, Franzosen, Niederländer oder Briten. Bei einem Vorfall wenden sie sich an ihre Heimatbehörde. Das fügt BfDI, CNIL, ICO oder AP NL als Zuständigkeit hinzu — zusätzlich zur eigenen Zuständigkeit der ANSPDCP. Weitere Informationen zu grenzüberschreitenden Fällen finden Sie in unserem BfDI Deutschland DSGVO-Leitfaden.
Schwache Unterauftragnehmer-Ketten. Die ANSPDCP stellte fest, dass 45 % der lokalen Unternehmen keine gültigen Auftragsverarbeitungsverträge mit ihren Unterauftragnehmern haben. Jeder AV-Vertrag muss die technischen Maßnahmen des Unterauftragnehmers benennen.
Lücken bei der Zugangsentzug. BPO hat eine hohe Mitarbeiterfluktuation. Die ANSPDCP findet wiederholt ehemalige Mitarbeiter mit aktivem Systemzugang Wochen nach dem Ausscheiden. Dieses Muster taucht in Fallbeispielen immer wieder auf.
Der CNP: Rumäniens wichtigste Kennung
Der Cod Numeric Personal (CNP) ist eine 13-stellige nationale Identifikationsnummer. Er enthält wichtige persönliche Informationen:
- Stelle 1: Geschlecht und Geburtsjahrgang (1=männlich 1900–1999, 2=weiblich 1900–1999, 5=männlich ab 2000, 6=weiblich ab 2000, 7=ausländischer männlicher Einwohner, 8=ausländische weibliche Einwohnerin)
- Stellen 2–7: Geburtsdatum (JJMMTT)
- Stellen 8–9: Geburtskreis-Code
- Stellen 10–12: Laufende Nummer
- Stelle 13: Prüfziffer (gewichteter Modulus 11)
Der CNP speichert Geschlecht, Geburtsdatum, Geburtsregion und Aufenthaltsstatus. Damit ist er viel informativer als die meisten EU-Ausweise. Die ANSPDCP hat den CNP nahe dem Status besonderer Datenkategorien eingestuft.
Die Erkennungslücke. Die ANSPDCP-Überprüfung 2024 ergab, dass 78 % der PII-Tools in Outsourcing-Unternehmen CNP nicht erkennen. Den meisten fehlen Prüfsummenprüfungen. CNP-Nummern in Kundendaten und Mitarbeiterdateien bleiben unentdeckt. Weitergeleitete Daten können echte Bürgerdaten enthalten. Nachträgliche Analyse nach einem Vorfall zeigt CNP in Dateien, die als „anonymisiert" gekennzeichnet waren.
Durchsetzungsschwerpunkte 2024–2025
Tonaufnahmen in Callcentern. Die ANSPDCP hat Aufnahmepraktiken ohne Aufbewahrungsplan oder Zugriffskontrollen ins Visier genommen. Das Aufbewahren von Aufnahmen „auf unbestimmte Zeit für Compliance" ohne Löschplan verstößt gegen die DSGVO.
Healthcare-Outsourcing. Unternehmen, die Krankenakten, Ansprüche oder Verschreibungen verarbeiten, tragen das höchste Bußgeldrisiko. Gesundheitsdaten sind eine besondere Kategorie nach Artikel 9. Sie erfordern eine explizite Rechtsgrundlage, eine DSFA und strenge technische Kontrollen.
Zugriffsprotokolle. ANSPDCP-Prüfungen stellen immer wieder unzureichende Protokolle fest. Unternehmen können nicht nachweisen, auf welche Daten wann und von wem zugegriffen wurde. Protokolle müssen vollständig genug sein, um den Umfang eines Vorfalls zu bestimmen.
Sprache: Eine versteckte Erkennungslücke
Lokale Dokumente enthalten Kennungen, die generische Tools übersehen.
Cartea de identitate (CI). Dies ist der nationale Personalausweis. Er hat ein eigenes Nummernformat. Gescannte Kopien in Onboarding-Dateien erfordern spezifische Erkennungslogik.
Sprachspezifische NER. Support-Tickets und Kundennachrichten benötigen NLP für diese Sprache. Auf Englisch trainierte Tools leisten hier schlechte Arbeit.
Adressformate. Begriffe wie Strada, Bulevardul und Numărul sind einzigartig für diesen Markt. Modelle, die auf Englisch oder Deutsch trainiert wurden, übersehen sie oft.
Technische Schritte zur Erfüllung des ANSPDCP-Standards finden Sie in unserem Leitfaden zu Anonymisierungs-Konsistenz für DSGVO-Audits.
Was BPO-Unternehmen brauchen
Vier Fähigkeiten decken den technischen Standard der ANSPDCP ab:
- CNP-Erkennung mit Prüfsummenvalidierung
- Erkennung von Cartea de identitate und Reisepass
- Sprachspezifische NER
- Unterauftragnehmerverträge mit benannten technischen Maßnahmen