APDP-Mahnung: Was Firmen lernen

Am 10. September 2026 hat der Präsident der monegassischen Datenschutzbehörde APDP eine öffentliche Mahnung (mise en demeure publique) gegen die International School of Monaco veröffentlicht. Die Einrichtung hat ab Zugang 15 Tage Zeit, die personenbezogenen Daten herauszugeben, die sie bislang nicht bereitgestellt hat. Auch der Abschluss des Verfahrens wird veröffentlicht; die Entscheidung wird sechs Monate nach Veröffentlichung anonymisiert.

Die Einzelheiten des Falls sind weniger wichtig als das Signal. Das Gesetz Nr. 1.565 vom 3. Dezember 2024 hat der APDP die Befugnis gegeben, säumige Organisationen namentlich zu nennen – und sie hat davon nun Gebrauch gemacht. Auslöser war weder ein Datenleck noch ein gehackter Server oder eine fragwürdige Marketingkampagne, sondern etwas viel Alltäglicheres: ein Auskunftsersuchen einer betroffenen Person, das verspätet, unvollständig und ohne die Pflichtangaben beantwortet wurde. Wenn Ihr Unternehmen ein solches Ersuchen nicht innerhalb eines Monats vollständig beantworten könnte, ist diese Entscheidung für Sie geschrieben.

Was passiert ist – kurz gefasst

Laut der veröffentlichten Entscheidung schrieb ein Elternteil am 14. April 2026 per E-Mail an den Datenschutzbeauftragten der Schule und verlangte die Verwaltungsakte des Kindes, Gesundheitsdaten sowie E-Mails, in denen Kind und Familie erwähnt werden – dazu die üblichen Angaben zu Zwecken, Speicherfristen und Empfängern. Die Schule antwortete am 13. Mai mit einigen Unterlagen und Informationen, teilte aber mit, dass nur selbst gesendete E-Mails ohne Nennung Dritter herausgegeben werden könnten. Ein Hinweis auf das Beschwerderecht bei der APDP fehlte.

Am 22. Mai reichte der Elternteil Beschwerde bei der APDP ein. Die Behörde schrieb die Schule im Juli und im August an und legte die Regeln dar. Anfang September hieß es von der Schule noch immer, die Prüfungen liefen „weiter“ und nach der Sommerpause lasse sich leichter antworten. Die APDP stellte Verstöße gegen drei Artikel des Gesetzes 1.565 fest – Artikel 10 (Fristen), Artikel 12 (Inhalt des Auskunftsrechts) und Artikel 22 (Rechenschaftspflicht) – und machte die Mahnung „angesichts der Schwere der Verstöße und der Untätigkeit des Verantwortlichen trotz der Interventionen der Behörde“ öffentlich.

Fünf Regeln, die die APDP jetzt klar benannt hat

Die Entscheidung liest sich wie eine Checkliste. Das gilt ab sofort für jede Organisation, die in Monaco personenbezogene Daten verarbeitet:

1. Die Frist beginnt mit dem Eingang der E-Mail. Ein per E-Mail gestelltes Ersuchen gilt am Tag des Eingangs als zugegangen – nicht, wenn es jemand liest, erfasst oder weiterleitet. Die Schule argumentierte, das Ersuchen erst neun Tage später erhalten zu haben; die APDP folgte dem nicht.
2. Ein Monat bedeutet ein Monat. Der Verantwortliche muss innerhalb eines Monats schriftlich antworten. Bei komplexen oder mehreren Anfragen kann die Frist um zwei Monate verlängert werden – aber die betroffene Person muss darüber mit Begründung innerhalb des ersten Monats informiert werden. Eine Verlängerung, die nur in Schreiben an die Behörde erwähnt wird, zählt nicht.
3. „Viel Aufwand“ heißt nicht „komplex“. Die APDP stellt unmissverständlich fest: Dass eine Antwort erheblichen Aufwand erfordert, macht das Ersuchen im Sinne des Gesetzes noch nicht komplex.
4. E-Mails sind personenbezogene Daten. Eine pauschale Weigerung, E-Mails herauszugeben, ist unzulässig. E-Mails, bei denen die anfragende Person Absender oder Empfänger ist, müssen bereitgestellt werden – Namen Dritter dürfen dabei geschwärzt werden. E-Mails, in denen die Person nur erwähnt wird, erfordern eine Einzelfallprüfung der Rechte Dritter mit Maskierung der Identitäten.
5. Die Antwort hat Pflichtinhalte. Artikel 12 listet auf, was enthalten sein muss: Zwecke, Datenkategorien, Empfänger, Speicherfristen, Herkunft nicht bei der Person erhobener Daten, etwaige Übermittlungen in Länder ohne angemessenes Schutzniveau, das Recht auf Berichtigung und Löschung sowie das Recht auf Beschwerde bei der APDP. Fehlende Punkte sind für sich genommen ein Verstoß.

Der Punkt, der wirklich beunruhigen sollte: Rechenschaftspflicht

Der unbequemste Teil der Entscheidung betrifft Artikel 22, den Grundsatz der Rechenschaftspflicht. Nach Auffassung der APDP muss ein Verantwortlicher über Verfahren verfügen, mit denen er die gesetzlichen Fristen „unabhängig von der Jahreszeit oder der Arbeitsbelastung“ einhält. Sommerferien, Abwesenheiten und ein überlasteter Datenschutzbeauftragter sind keine Entschuldigung.

Die Behörde bemängelte außerdem Widersprüche zwischen dem, was die Organisation ihr mitteilte, und dem, was sie der anfragenden Person tatsächlich geschrieben hatte. Wenn die APDP eine Beschwerde zu Betroffenenrechten prüft, fordert sie den vollständigen Schriftwechsel zwischen Beschwerdeführer und Verantwortlichem an. Alles, was Sie getan haben wollen, muss sich dort wiederfinden.

Genau hier sind die meisten KMU in Monaco angreifbar. Sie haben eine Datenschutzerklärung und ein Verarbeitungsverzeichnis, oft in der Eile Ende 2025 erstellt. Was fehlt, ist ein wiederholbarer Prozess für den Tag, an dem ein Kunde, Mitarbeiter, Ex-Mitarbeiter oder Elternteil schreibt und alles verlangt, was Sie über ihn gespeichert haben.

So sieht ein konformer Prozess aus

Sie brauchen keine Rechtsabteilung, sondern einen dokumentierten Ablauf, dem jeder im Unternehmen folgen kann:

• Ein sichtbarer Eingangskanal. Eine eigene E-Mail-Adresse oder ein Formular auf Ihrer Website, in der Datenschutzerklärung genannt, damit Anfragen nicht in einem Sammelpostfach untergehen. Das gehört bei uns zu jeder Website – zusammen mit den Grundlagen für APDP-konformen Datenschutz.
• Erfassung noch am selben Tag. Eingangsdatum, durchgeführte Identitätsprüfung, Fristende. Tragen Sie den Monatstermin in einen gemeinsamen Kalender ein.
• Eine Datenlandkarte, die man wirklich durchsuchen kann. Wissen Sie, wo personenbezogene Daten liegen: Website-Formulare, CRM- und E-Mail-Marketing-Plattformen, HR-Software, Buchungstools und die Postfächer Ihrer Mitarbeiter. Was Sie nicht finden, können Sie nicht herausgeben.
• Eine Antwortvorlage auf Basis von Artikel 12. Jeder Punkt der Liste, jedes Mal – einschließlich des Satzes zum Beschwerderecht bei der APDP.
• Ein Verfahren für E-Mail-Suche und Schwärzung. Legen Sie vorab fest, wer sucht, wie Identitäten Dritter maskiert werden und wie die Ergebnisse sicher übermittelt werden.
• Eine Vorlage für die Fristverlängerung. Ist ein Ersuchen wirklich komplex, senden Sie vor Tag 30 eine begründete Mitteilung – kein vages Versprechen.
• Eine Vertretungsregelung. Benennen Sie einen Stellvertreter für den Datenschutzbeauftragten oder die zuständige Person und testen Sie den Prozess einmal im Jahr.

Gut gebaute Systeme machen all das deutlich einfacher. Eine moderne Website mit angebundenem CRM, einem einheitlichen Kundendatensatz und Exportfunktionen verwandelt zwei Wochen Hektik in einen Nachmittag Arbeit.

Was auf dem Spiel steht, wenn Sie es ignorieren

Die öffentliche Mahnung ist die Abhilfemaßnahme, nicht die Sanktion. Bleibt sie ohne Wirkung, kann der Sanktionsausschuss der APDP Anordnungen mit Zwangsgeld, Verarbeitungsbeschränkungen und Bußgelder verhängen, die bei den schwersten Verstoßkategorien mehrere Millionen Euro oder einen Prozentsatz des weltweiten Umsatzes erreichen. Die genauen Schwellen und das Verfahren sollten Sie bei der APDP oder einem qualifizierten Berater bestätigen lassen – die Richtung ist jedoch eindeutig.

Zwei Hinweise zum Kontext. Monaco ist kein EU-Mitgliedstaat, und die DSGVO gilt hier nicht automatisch; das Gesetz 1.565 ist Monacos eigener Rahmen, nach vergleichbaren Standards gebaut und von der APDP durchgesetzt, die die CCIN abgelöst hat. Und diese Entscheidung zeigt: Zur Durchsetzung gehört jetzt auch ein Reputationsrisiko – der Name der Organisation steht heute auf der Website der Aufsichtsbehörde.

Wenn Sie einen klaren Überblick darüber wollen, wo personenbezogene Daten in Ihrer Website, Ihrem CRM und Ihren Postfächern liegen – und einen Prozess für Auskunftsersuchen, den Ihr Team ohne Sie abwickeln kann – nehmen Sie Kontakt auf. Wir bauen und betreuen die Systeme, in denen diese Daten liegen, und arbeiten bei den rechtlichen Details mit Rechtsberatern zusammen.