DSGVO-Bußgeld in Rumänien: Fristen und Anfechtung

Stand der Gesetzgebung: 24. Oktober 2026

Wer einen Sanktionsbescheid der rumänischen Datenschutzbehörde erhält, hat wenig Zeit. Die Anfechtungsfrist beträgt 15 Tage, und sie läuft ab Aushändigung oder Zustellung des Bescheids. Ebenso lang ist die Zahlungsfrist für das Bußgeld. Dieser Beitrag erklärt, nach welchen Regeln die Behörde sanktioniert, auf welchem Weg Sie sich wehren können und welche Schritte in den ersten Tagen sinnvoll sind.

Wer sanktioniert und auf welcher Grundlage

Zuständige Aufsichtsbehörde ist die Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP). Sie wendet drei Ebenen von Vorschriften an:

• die Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 58 (Befugnisse) und Art. 83 (Geldbußen);
• das Gesetz Nr. 102/2005 über die Errichtung, Organisation und Arbeitsweise der ANSPDCP, in das das Gesetz Nr. 129/2018 eigene Kapitel über Kontrollen, Sanktionen und Beschwerden eingefügt hat;
• das Gesetz Nr. 190/2018 mit Durchführungsbestimmungen zur DSGVO, das unter anderem Sonderregeln für Behörden und öffentliche Stellen enthält.

Das allgemeine rumänische Ordnungswidrigkeitenrecht, die Regierungsverordnung (OG) Nr. 2/2001, gilt nur nachrangig: Das Gesetz Nr. 102/2005 bestimmt ausdrücklich, dass Feststellung und Sanktionierung nach OG Nr. 2/2001 erfolgen, soweit das Gesetz Nr. 102/2005 selbst nichts anderes regelt. Für den Rechtsweg regelt es etwas anderes. Darauf kommen wir unten zurück, denn hier liegt der häufigste Fehler.

Die Höhe der Bußgelder nach Art. 83 DSGVO

Die DSGVO kennt zwei Obergrenzen:

• Art. 83 Abs. 4 DSGVO: bis zu 10.000.000 € oder, bei Unternehmen, bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Erfasst sind etwa Pflichten aus Art. 8, 11, 25 bis 39, 42 und 43, also Datenschutz durch Technikgestaltung, Verarbeitungsverzeichnis, Datensicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung und Datenschutzbeauftragter.
• Art. 83 Abs. 5 und 6 DSGVO: bis zu 20.000.000 € oder bis zu 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Erfasst sind Verstöße gegen die Grundsätze und die Rechtmäßigkeit der Verarbeitung (Art. 5, 6, 7 und 9), gegen die Betroffenenrechte (Art. 12 bis 22), gegen die Regeln über Drittlandübermittlungen (Art. 44 bis 49) sowie die Missachtung einer Anordnung der Behörde.

Das sind Höchstbeträge. Die konkrete Höhe bemisst die Behörde nach den Kriterien des Art. 83 Abs. 2 DSGVO: Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensminderung, frühere Verstöße, Zusammenarbeit mit der Behörde und weitere Umstände. Nach dem Gesetz Nr. 102/2005 werden die in Euro festgelegten Beträge in Lei verhängt und gezahlt, und zwar zum amtlichen Kurs der Rumänischen Nationalbank am Tag der Verhängung.

Neben der Geldbuße kann die Behörde eine Verwarnung (mustrare) aussprechen und Abhilfemaßnahmen nach Art. 58 Abs. 2 DSGVO anordnen, etwa die Anpassung von Verarbeitungsvorgängen, die Erfüllung von Auskunftsersuchen oder die Benachrichtigung Betroffener über eine Datenpanne.

Bescheid oder Protokoll: welche Form die Sanktion hat

Bei rein innerstaatlichen Verarbeitungen stellt das Kontrollpersonal den Verstoß in einem Feststellungs- und Sanktionsprotokoll (proces-verbal de constatare/sancționare) fest und verhängt darin auch die Sanktion. Übersteigt das Bußgeld den Gegenwert von 300.000 €, wird es durch Entscheidung (decizie) des Präsidenten der ANSPDCP verhängt, gestützt auf das Protokoll und den Bericht des Kontrollpersonals. Dasselbe gilt bei grenzüberschreitenden Verarbeitungen, bei denen die ANSPDCP als federführende Behörde handelt.

Eine Entscheidung des Präsidenten muss unter anderem die Beschreibung der Tat, die Rechtsgrundlage, die angeordneten Maßnahmen, Frist und Art der Zahlung sowie die Frist für den Rechtsbehelf und das zuständige Gericht enthalten. Fehlen diese Angaben, ist das bereits ein erster Ansatzpunkt für die Prüfung.

Verjährung

Sanktionen können innerhalb von drei Jahren ab Begehung der Tat verhängt werden. Bei Dauerverstößen und fortgesetzten Handlungen beginnt die Frist mit der Feststellung oder mit der Beendigung der letzten Handlung, wenn diese früher liegt. Jede Verfahrenshandlung unterbricht die Verjährung, insgesamt darf sie aber vier Jahre ab Begehung nicht überschreiten. Bei älteren Sachverhalten lohnt sich daher ein genauer Blick auf die Daten.

Der Rechtsweg: Klage beim Verwaltungsgericht, nicht beim Amtsgericht

Gegen das Protokoll und gegen die Entscheidung über Abhilfemaßnahmen kann der Verantwortliche oder der Auftragsverarbeiter eine Klage (contestație) bei der Abteilung für Verwaltungsstreitigkeiten (secția de contencios administrativ) des zuständigen Tribunals erheben. Die wichtigsten Punkte:

• Frist: 15 Tage ab Aushändigung beziehungsweise Zustellung.
• Gericht: das zuständige Tribunal, Abteilung für Verwaltungsstreitigkeiten. Es entscheidet also nicht das Amtsgericht (judecătorie), das bei gewöhnlichen Ordnungswidrigkeiten nach OG Nr. 2/2001 zuständig wäre. Zuständig sind in jedem Fall rumänische Gerichte.
• Rechtsmittel: Gegen das Urteil des Tribunals ist nur die Berufung (apel) zulässig, über die das zuständige Berufungsgericht (curtea de apel) entscheidet.
• Wirkung der Klage: Die Klage setzt nur die Zahlung des Bußgelds aus, und zwar bis zur rechtskräftigen Entscheidung. Angeordnete Abhilfemaßnahmen bleiben vollziehbar.
• Ohne Klage: Ein nicht innerhalb von 15 Tagen angefochtenes Protokoll oder eine solche Entscheidung wird ohne weitere Formalität zum Vollstreckungstitel.

Wer den Bescheid also nach dem Muster einer gewöhnlichen Ordnungswidrigkeit beim Amtsgericht angreift, riskiert, dass die Klage am falschen Gericht landet und Zeit verloren geht. Welches Tribunal örtlich zuständig ist, sollte vor Einreichung anhand des Sitzes des Unternehmens und der Angaben im Bescheid geprüft werden.

Bei Behinderung von Kontrollen oder Nichtbefolgung angeordneter Maßnahmen kann die ANSPDCP zusätzlich ein Zwangsgeld von bis zu 3.000 Lei pro Tag des Verzugs festsetzen. Auch diese Entscheidung ist Vollstreckungstitel und kann auf demselben Weg angefochten werden.

Gibt es einen Zahlungsrabatt?

Das Gesetz Nr. 102/2005 sieht für DSGVO-Bußgelder keinen eigenen Zahlungsrabatt vor. Es legt lediglich die Zahlungsfrist von 15 Tagen fest. Ob die Ermäßigungsregel der OG Nr. 2/2001 im Einzelfall überhaupt greifen kann, ist bei Bußgeldern, für die die DSGVO nur Höchstbeträge vorsieht, zweifelhaft. Planen Sie daher nicht mit einem Rabatt, sondern prüfen Sie den konkreten Bescheid.

Besonderheit für Behörden und öffentliche Stellen

Für Behörden und öffentliche Stellen gilt das Gesetz Nr. 190/2018. Stellt die ANSPDCP dort einen Verstoß fest, ordnet sie zunächst einen Abhilfeplan an. Erst wenn eine Folgekontrolle zeigt, dass die Maßnahmen nicht vollständig umgesetzt wurden, kann sie ein Bußgeld verhängen (Art. 14 Abs. 1 Gesetz Nr. 190/2018). Die Beträge liegen zwischen 10.000 und 100.000 Lei (Art. 14 Abs. 4) beziehungsweise, für die schwereren Verstöße, zwischen 10.000 und 200.000 Lei (Art. 14 Abs. 6 und 8).

Die ersten Schritte nach Erhalt des Bescheids

Tag 1: Fristen festhalten. Notieren Sie das Datum der Aushändigung oder Zustellung. Daraus ergeben sich die 15-Tage-Frist für die Klage und die 15-Tage-Frist für die Zahlung.

Tage 1 bis 5: Bescheid prüfen. Prüfen Sie, ob die Behörde zuständig war, ob die richtige Form gewählt wurde (Protokoll oder Entscheidung des Präsidenten), ob die Pflichtangaben vorhanden sind, ob die Verjährung gewahrt ist und ob der Sachverhalt zutreffend festgestellt wurde. Prüfen Sie zudem, ob die Behörde die Kriterien des Art. 83 Abs. 2 DSGVO erkennbar abgewogen hat und ob das Bußgeld in einem nachvollziehbaren Verhältnis zum Verstoß steht.

Tage 5 bis 10: Entscheidung treffen. Klage, Zahlung oder beides: Die Klage hindert nicht daran, angeordnete Abhilfemaßnahmen sofort umzusetzen, und das ist meist ratsam. Wer Abhilfe schafft, verbessert seine Lage im Verfahren und vermeidet ein Zwangsgeld.

Bis Tag 15: Klage einreichen. Die Klageschrift sollte die Gründe vollständig darlegen und die Beweismittel benennen: interne Dokumentation, Verarbeitungsverzeichnis, Folgenabschätzungen, Korrespondenz mit der Behörde, technische Nachweise.

Parallel: Compliance nachziehen. Unabhängig vom Ausgang des Verfahrens lohnt eine Bestandsaufnahme: Rechtsgrundlagen der Verarbeitungen, Informationspflichten, Einwilligungen, Videoüberwachung, Mitarbeiterkontrolle, Auftragsverarbeitungsverträge und der Prozess für Datenpannen.

Typische Angriffspunkte in der Klage

Ohne Gewähr für das Ergebnis im Einzelfall prüfen wir regelmäßig:

• Formfehler: fehlende Pflichtangaben, falsche Form der Sanktion, fehlende Unterschrift oder Befugnis des Kontrollpersonals.
• Verjährung: Verhängung nach Ablauf der drei Jahre oder der absoluten Grenze von vier Jahren.
• Sachverhalt: unzutreffende oder unvollständige Feststellungen, etwa zur Rolle des Unternehmens als Verantwortlicher oder Auftragsverarbeiter.
• Rechtliche Würdigung: Liegt der behauptete Verstoß überhaupt vor, etwa weil eine andere Rechtsgrundlage nach Art. 6 DSGVO trägt?
• Verhältnismäßigkeit: Hat die Behörde mildernde Umstände berücksichtigt, etwa sofortige Abhilfe, fehlende Vorverstöße oder eine geringe Zahl Betroffener? Wäre eine Verwarnung ausreichend gewesen?

Wann Sie rechtlichen Rat einholen sollten

Spätestens mit Eingang eines Protokolls oder einer Entscheidung der ANSPDCP, besser schon bei Beginn einer Kontrolle oder bei einer Anfrage der Behörde. Die kurzen Fristen lassen wenig Raum, und eine Klage beim unzuständigen Gericht kostet Zeit, weil sie erst an das zuständige Gericht verwiesen werden muss (Art. 132 Abs. 3 ZPO). Unsere Kanzlei begleitet Unternehmen bei Kontrollen der ANSPDCP, bei der Prüfung von Sanktionsbescheiden und im Verfahren vor den Verwaltungsgerichten.

Dieser Beitrag enthält allgemeine Informationen zur Rechtslage am angegebenen Stichtag und ersetzt keine Beratung im Einzelfall. Wenn Sie einen Bescheid erhalten haben, schreiben Sie uns an