Datenpanne in Monaco: 72 Stunden

Die APDP, Monacos Datenschutzbehörde, weist öffentlich darauf hin, dass die Zahl der ihr gemeldeten Verletzungen des Schutzes personenbezogener Daten seit Anfang 2026 deutlich gestiegen ist. Das bedeutet nicht zwangsläufig, dass es im Fürstentum unsicherer geworden ist – es bedeutet vor allem, dass Unternehmen die Meldepflicht allmählich zur Kenntnis nehmen. Das Gesetz Nr. 1.565 vom 3. Dezember 2024 hat eine Pflicht eingeführt, für die viele monegassische Unternehmen bis heute keinen Prozess haben. Und der Tag, an dem Sie ihn brauchen, ist der denkbar schlechteste Zeitpunkt, ihn zu erfinden.

Dieser Beitrag beschreibt, wie diese Pflicht praktisch aussieht: was als Datenpanne gilt, was die 72-Stunden-Frist wirklich bedeutet und was vor dem Ernstfall vorbereitet sein sollte.

Was als Datenpanne zählt – deutlich mehr, als man denkt

Die meisten Geschäftsführer stellen sich darunter einen Hacker vor, der eine Kundendatenbank abzieht. Das ist eine von vielen Varianten. Die rechtliche Definition ist erheblich weiter: jeder Sicherheitsvorfall, der zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt – ob versehentlich oder unrechtmäßig.

In der Praxis sind die Vorfälle, die tatsächlich bei Behörden landen, ausgesprochen banal:

• Eine Mitarbeiterin schickt eine Kundenliste an den falschen Empfänger.
• Ein Newsletter geht mit allen Adressen im „An“-Feld statt in BCC hinaus.
• Ein Laptop oder ein unverschlüsselter USB-Stick bleibt im Taxi liegen.
• Der Zugang eines ausgeschiedenen Mitarbeiters wird nie deaktiviert und Monate später genutzt.
• Ein falsch konfiguriertes Backup, Formular oder Cloud-Verzeichnis ist öffentlich erreichbar.
• Ransomware verschlüsselt Ihre Dateien: Der Verlust des Zugriffs ist selbst eine Verletzung, auch ohne Datenabfluss.

Der Reflex „es wurde nichts gestohlen, also ist nichts passiert“ ist damit falsch. Auch der Verlust der Verfügbarkeit oder der Integrität zählt.

Die 72-Stunden-Frist, genau betrachtet

Artikel 32 des Gesetzes Nr. 1.565 verpflichtet den Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen einer Frist von höchstens 72 Stunden nach Kenntnisnahme an die APDP zu melden – es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen. Erfolgt die Meldung später, muss sie mit einer Begründung der Verzögerung versehen sein.

Drei Punkte bestimmen, wie Sie sich organisieren sollten:

Die Uhr läuft ab Kenntnisnahme, nicht ab dem Vorfall. Geschah die Panne im März und entdecken Sie sie im Juli, beginnt die Frist im Juli. Ihre Fähigkeit zur Erkennung bestimmt damit unmittelbar Ihr rechtliches Risiko.

72 Stunden schließen das Wochenende ein. Eine Entdeckung am Freitagabend verschafft Ihnen keine Frist bis Mittwoch. Wenn außerhalb der Bürozeiten niemand entscheidungsbefugt ist, besteht das Problem bereits vor dem Vorfall.

Die Meldung muss Substanz haben. Sie beschreibt die Art der Verletzung und nennt, soweit möglich, die Kategorien und die ungefähre Zahl der betroffenen Personen sowie Namen und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle für weitere Auskünfte. Die APDP stellt ein Meldeformular und ihre Kontaktdaten auf der eigenen Website bereit – nutzen Sie diese, statt zu improvisieren.

Eine vollständige forensische Aufklärung binnen 72 Stunden wird nicht erwartet. Erwartet wird, dass Sie zügig melden und das Bild im weiteren Verlauf vervollständigen.

Wann Sie auch die Betroffenen informieren müssen

Die Meldung an die Behörde ist die eine Pflicht. Artikel 32 regelt außerdem die Benachrichtigung der betroffenen Personen selbst, unverzüglich, wenn die Verletzung für sie hinreichend schwer wiegt. Diese Mitteilung muss die Verletzung in klarer, einfacher Sprache beschreiben und die wahrscheinlichen Folgen sowie die ergriffenen Maßnahmen darlegen.

Das Gesetz sieht Ausnahmen vor – im Kern: wenn die Daten bereits durch Maßnahmen wie Verschlüsselung geschützt waren, die sie für Unbefugte unverständlich machen; wenn die individuelle Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde (dann kommt eine öffentliche Mitteilung in Betracht); oder wenn nachfolgende Maßnahmen dafür sorgen, dass das Risiko nicht mehr eintreten dürfte. Die APDP kann die Information der Betroffenen dennoch verlangen.

Die genauen Schwellen und ihre Anwendung auf Ihren Fall gehören in die Hände einer qualifizierten Beratung. Entscheiden Sie nicht allein und unter Zeitdruck, dass eine Ausnahme greift – genau diese Abwägung prüft die Behörde im Nachhinein.

Das Verzeichnis, das Sie auch ohne Meldung führen müssen

Diese Pflicht wird am häufigsten übersehen. Artikel 32 verlangt, jede Verletzung des Schutzes personenbezogener Daten zu dokumentieren – auch die, die Sie als nicht meldepflichtig einstufen – mit den Fakten, den Auswirkungen und den ergriffenen Abhilfemaßnahmen. Die APDP veröffentlicht eine Vorlage für dieses Verzeichnis zum Download; ein leeres Blatt ist also keine Ausrede.

Das Verzeichnis macht aus einer vertretbaren Entscheidung eine belegbare. Wenn Sie einen Vorfall als risikoarm bewertet und auf eine Meldung verzichtet haben, ist es Ihr Nachweis, dass Sie die Bewertung überhaupt vorgenommen haben. Ohne Verzeichnis ist „wir hielten es für unerheblich“ nicht von „wir haben es nicht bemerkt“ zu unterscheiden.

Vorbereitung, bevor etwas passiert

Die Reaktion auf eine Datenpanne ist ein Unternehmensprozess mit technischem Anteil – nicht umgekehrt. Was sich lohnt:

• Eine benannte entscheidungsbefugte Person und eine Vertretung, außerhalb der Bürozeiten erreichbar und zur Meldung befugt.
• Eine einseitige interne Ablaufbeschreibung: wer wird in welcher Reihenfolge informiert, und was wird festgehalten.
• Eine Datenlandkarte: Wo liegen personenbezogene Daten – Website, CRM, Buchungstool, Mailing-Plattform, Backups – und wer sind Ihre Auftragsverarbeiter? Liegen Marketing- und Kundendaten über viele unverbundene Werkzeuge verstreut, ist das ein guter Anlass, Ihr Setup für E-Mail-Marketing und CRM zu konsolidieren.
• Verträge mit Dienstleistern, die zu schneller Benachrichtigung verpflichten. Hoster, Agentur oder Zahlungsdienstleister bemerken einen Vorfall oft vor Ihnen.
• Technische Grundhygiene: aktuelle Software, konsequente Updates, eingeschränkte Administratorkonten, verschlüsselte Geräte, getestete Backups. Das meiste davon ist gewöhnliche Website-Wartung und kein Sonderprojekt – und genau das erlaubt Ihnen die glaubwürdige Aussage, dass die Daten geschützt waren.
• Kleinere Angriffsfläche: Wenn Ihr Onlineshop oder Ihre Formulare Daten erheben, die Sie nie verwenden, erheben Sie sie nicht mehr. Was Sie nicht speichern, kann nicht abfließen.

Ein monegassischer Hinweis zum Schluss

Monaco ist kein EU-Mitgliedstaat und unterliegt nicht der DSGVO. Das Fürstentum hat einen eigenen Rahmen – das Gesetz Nr. 1.565 vom 3. Dezember 2024 unter Aufsicht der APDP – der nach vergleichbarem Standard entstanden ist, aber ein eigenständiges Regelwerk mit eigenen Texten, Formularen und Erwartungen bleibt. Ratgeber für französische oder EU-Unternehmen sind eine nützliche Analogie und ein schlechter Ersatz. Auch wenn Sie Auftragsverarbeiter außerhalb Monacos einsetzen oder eine Website nach ausländischer Vorlage betreiben, bleiben die Pflichten bei Ihnen als Verantwortlichem.

Wenn Sie klar sehen wollen, wo personenbezogene Daten in Ihrer Website, Ihrem Shop oder Ihren Kundensystemen tatsächlich liegen – und was Sie der APDP realistisch binnen 72 Stunden sagen könnten –, nehmen Sie Kontakt auf. Wir unterstützen Sie auch dabei, die technische Seite Ihrer APDP-Compliance in Ordnung zu bringen, bevor es darauf ankommt. Für die rechtliche Auslegung des Gesetzes Nr. 1.565 in Ihrem konkreten Fall ziehen Sie bitte eine qualifizierte monegassische Beratung hinzu.