Datenschutzbeauftragter in Monaco?

Die Frage, die kaum ein Unternehmen in Monaco wirklich beantwortet hat

Seit dem Gesetz Nr. 1.565 vom 3. Dezember 2024 — samt der Ausführungsverordnung (Ordonnance Souveraine) Nr. 11.327 vom 10. Juli 2025 — haben die meisten Unternehmen im Fürstentum das Sichtbare erledigt. Datenschutzerklärung: überarbeitet. Cookie-Banner: ersetzt. Verarbeitungsverzeichnis: zumindest begonnen.

Die Frage nach dem Datenschutzbeauftragten wird dagegen gern vertagt, weil sie binär und teuer wirkt: entweder man stellt jemanden ein, oder man hofft, dass niemand nachfragt. Beides trifft nicht zu. Für die meisten monegassischen KMU ist die Benennung rechtlich nicht erforderlich — und dort, wo sie es ist, verlangt die Rolle keine Vollzeitstelle.

Im Folgenden geht es darum, wie Sie Ihren Fall einordnen. Das ist eine Orientierung, keine Rechtsberatung: Das monegassische Datenschutzrecht ist jung, die Praxis der APDP bildet sich erst heraus, und jeder Grenzfall gehört zu einem Anwalt oder einer Fachberatung.

Wann die Benennung Pflicht ist

Artikel 29 des Gesetzes 1.565 macht die Benennung eines Datenschutzbeauftragten in drei Konstellationen verbindlich.

Erstens: Sie sind eine öffentlich-rechtliche Stelle oder nehmen eine öffentliche Aufgabe wahr. Erfasst sind juristische Personen des öffentlichen Rechts, private Stellen mit einem Auftrag im Allgemeininteresse sowie Konzessionäre öffentlicher Dienstleistungen. Gerichte in ihrer rechtsprechenden Tätigkeit sind ausgenommen.

Zweitens: Ihre Kerntätigkeit besteht in der regelmäßigen und systematischen Beobachtung von Personen in großem Umfang. Entscheidend ist das Wort Kerntätigkeit. Beobachtung, die Ihr Geschäft nur begleitet, ist etwas anderes als Beobachtung, die Ihr Geschäft ist. Eine Plattform, deren Produkt Verhaltensprofiling ist, fällt darunter; ein Restaurant mit Google Analytics auf der Website nicht.

Drittens: Ihre Kerntätigkeit besteht in der umfangreichen Verarbeitung sensibler Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten. Gesundheitsdaten, biometrische Daten und Daten über Überzeugungen oder Herkunft sind hier die typischen Auslöser.

Trifft keiner der drei Fälle zu, ist die Benennung freiwillig. Die meisten Einzelhändler, Restaurants, Agenturen sowie Immobilien- und Hotellerie-Betriebe in Monaco liegen in dieser Kategorie — lesen Sie das zweite und dritte Kriterium dennoch genau, denn „großer Umfang“ bemisst sich an Datenvolumen, Reichweite und Dauer, nicht an der Mitarbeiterzahl.

Wo Unternehmen sich verschätzen

Drei Muster wiederholen sich.

Das erste: die Annahme, ein kleines Unternehmen könne gar nicht betroffen sein. Der Umfang bezieht sich auf die Verarbeitung, nicht auf die Lohnliste. Ein Fünf-Personen-Betrieb, der eine Wellness-App mit Gesundheitsdaten von Zehntausenden Nutzern betreibt, verarbeitet sensible Daten in großem Umfang.

Das zweite ist die Umkehrung: die Annahme, wer sensible Daten hält, brauche automatisch einen Datenschutzbeauftragten. Patientenakten einer Praxis oder Krankmeldungen eines Arbeitgebers sind sensibel — sie sind deshalb aber noch keine umfangreiche Kerntätigkeit im Sinne der Vorschrift.

Das dritte betrifft Konzernstrukturen. Viele monegassische Gesellschaften gehören zu internationalen Gruppen. Ein gemeinsamer Datenschutzbeauftragter für mehrere Einheiten ist zulässig, sofern er von jedem Standort aus tatsächlich erreichbar ist. Was nicht funktioniert: ein Kontakt im Ausland, mit dem Ihr Team in Monaco nie gesprochen hat und der nicht weiß, was Sie verarbeiten.

Was die Rolle tatsächlich umfasst

Der Aufgabenzuschnitt ist beratend und überwachend, nicht ausführend. Der Datenschutzbeauftragte informiert und berät das Unternehmen über seine Pflichten, überwacht die Einhaltung auch durch interne Audits, berät auf Anfrage bei Folgenabschätzungen, fungiert als Anlaufstelle der APDP und arbeitet mit der Behörde zusammen.

Daraus folgen drei praktische Anforderungen. Der Datenschutzbeauftragte braucht echte Fachkunde im Datenschutzrecht und in dessen Praxis, angemessen zu dem, was Sie verarbeiten, und muss sie fortlaufend aktuell halten. Er muss berichten können, ohne für seine Feststellungen sanktioniert zu werden. Und er darf keine Position innehaben, die einen Interessenkonflikt begründet — was in der Regel diejenigen ausschließt, die über Zwecke und Mittel der Verarbeitung entscheiden. In kleinen Unternehmen ist genau deshalb die IT-Leitung oder die Marketingleitung die falsche Wahl.

Externe Datenschutzbeauftragte sind zulässig und für die meisten betroffenen Organisationen in Monaco der vernünftige Weg: ein Teilzeit-Spezialist mit belastbarer Monaco-Erfahrung kostet einen Bruchteil einer Anstellung und kennt die aktuelle APDP-Praxis besser als eine intern umgewidmete Führungskraft.

Ohne Pflicht bleibt die Substanz

Die Pflichten, die einen Datenschutzbeauftragten nützlich machen, gelten unabhängig von der Benennung. Verarbeitungsverzeichnis, Rechtsgrundlage je Tätigkeit, Sicherheitsmaßnahmen, Meldeweg für Verletzungen, Folgenabschätzungen bei risikoreicher Verarbeitung — nichts davon hängt an der Benennung.

Die produktive Frage lautet daher nicht „müssen wir einen Datenschutzbeauftragten benennen?“, sondern „wer verantwortet dieses Thema, und hat diese Person Zeit und Stand, es zu führen?“. Eine intern benannte verantwortliche Person macht aus Compliance eine Routine statt einer jährlichen Aufregung — auch ohne gesetzlichen Zwang.

Behalten Sie zudem den mittelfristigen Horizont im Blick: Das Gesetz räumt für die Folgenabschätzungen risikoreicher Verarbeitungen einen gestaffelten Zeitraum ein, dessen äußerste Frist im Dezember 2027 liegt. Das klingt weit weg, bis man zählt, wie viele Verarbeitungen ein durchschnittliches Unternehmen nie formal dokumentiert hat.

Eine Reihenfolge, die funktioniert

Beginnen Sie beim Verzeichnis, nicht beim Organigramm. Ob Sie die Kriterien aus Artikel 29 erfüllen, lässt sich erst beurteilen, wenn Sie wissen, was Sie tatsächlich verarbeiten — und die Bestandsaufnahme fördert fast immer zwei oder drei vergessene Verarbeitungen zutage, meist in Marketing-Tools, im Recruiting oder bei der Videoüberwachung.

Wenden Sie dann die drei Kriterien ehrlich an und halten Sie Ihre Begründung schriftlich fest, in beide Richtungen. Eine kurze dokumentierte Bewertung mit dem Ergebnis „nicht erforderlich, weil …“ ist weit besser als Schweigen, falls die APDP jemals nachfragt.

Schließen Sie danach die Lücken, die das Verzeichnis offengelegt hat. In der Praxis sitzen sie stets an denselben Stellen: die Einwilligungserfassung auf der Website und die zugehörige Cookie- und APDP-Ebene, die Kundendaten in Ihrem E-Mail-Marketing und CRM, Drittlandtransfers, die in ganz gewöhnlichen SaaS-Werkzeugen stecken, und zunehmend die KI-Werkzeuge, die Mitarbeitende eingeführt haben, ohne dass jemand geprüft hätte, welche personenbezogenen Daten dort hineingehen.

Erst dann entscheiden Sie über die Benennung. Sind Sie betroffen, teilen Sie der APDP Ihren benannten Datenschutzbeauftragten mit und halten Sie dessen Kontaktdaten wie vorgeschrieben verfügbar. Sind Sie es nicht, schreiben Sie das Thema trotzdem jemandem in die Ziele.

Die vernünftige Haltung Ende 2026

Das monegassische Regime liegt nah genug an europäischen Standards, dass gute Praxis übertragbar ist — und weicht genug ab, dass die wörtliche Übernahme von DSGVO-Auslegungen ein Fehler wäre: Monaco ist kein EU-Mitgliedstaat, und maßgeblich ist hier das Gesetz 1.565 unter Aufsicht der APDP. Die vorgesehenen Sanktionen sind erheblich, doch Vollzugsdruck ist nicht das stärkste Argument. In einem so kleinen Markt sind Kundendaten eine Reputationsfrage, und eine schlecht gehandhabte Datenpanne spricht sich in Monaco schneller herum als anderswo.

Wenn Sie Website, Einwilligungsstrecken, CRM und Analytics klar bewertet haben möchten, bevor Sie über einen Datenschutzbeauftragten entscheiden, nehmen Sie Kontakt auf.