EU-Digital-Omnibus: Folgen für Monaco

Brüssel ändert Regeln, die Sie längst befolgen

Die wenigsten Unternehmen in Monaco verfolgen europäische Gesetzgebungsverfahren — zu Recht. Monaco ist kein EU-Mitgliedstaat, EU-Verordnungen gelten hier nicht automatisch.

Die Werkzeuge aber, mit denen Sie arbeiten, wurden für europäische Regeln gebaut. Ihr Cookie-Banner, Ihre Consent-Plattform, der Auftragsverarbeitungsvertrag Ihres CRM, der Löschprozess Ihres E-Mail-Anbieters: alles entlang der DSGVO konzipiert. Bewegt sich die DSGVO, bewegen sich diese Produkte mit — und zwar auf Ihrer Website, ob man Sie gefragt hat oder nicht.

Genau das passiert gerade. Ein Paket namens Digital-Omnibus durchläuft das europäische Verfahren und schlägt die weitreichendste Überarbeitung des europäischen Digitalrechts seit Inkrafttreten der DSGVO vor. Vieles davon ist noch kein geltendes Recht. Doch die Richtung prägt bereits die Produktplanung der Anbieter — und erreicht Monaco lange bevor ein Text final ist.

Was der Digital-Omnibus tatsächlich ist

Am 19. November 2025 legte die Europäische Kommission ein Vereinfachungspaket vor, das mehrere große Digitalgesetze gleichzeitig berührt. Inzwischen hat es sich faktisch in zwei Stränge geteilt.

Der erste betrifft die künstliche Intelligenz: gezielte Änderungen am AI Act, vor allem bei Fristen, Governance und der Frage, wie Pflichten für Hochrisikosysteme an die tatsächliche Verfügbarkeit technischer Normen gekoppelt werden. Dieser Strang ist deutlich schneller vorangekommen.

Der zweite betrifft die Daten: DSGVO, ePrivacy und Cookie-Regeln, Data Act sowie die Meldung von Vorfällen in Rahmenwerken wie NIS2. Dieser Teil steckt weiterhin in den Verhandlungen, und sein Inhalt hat sich gegenüber dem ursprünglichen Kommissionsentwurf bereits verschoben. Nichts davon ist entschieden.

Wenn Sie Gewissheit über eine konkrete Pflicht und ein konkretes Datum brauchen, holen Sie Rechtsrat ein — nicht einen Blogbeitrag, auch nicht diesen. Was folgt, beschreibt eine Entwicklungsrichtung, keine Compliance-Checkliste.

Die Änderungen, die auf monegassischen Schreibtischen landen

Mehrere der vorgeschlagenen Punkte sind weniger juristisch als betriebswirtschaftlich relevant.

Cookies und Einwilligung. Das Paket würde die einwilligungsfreien Kategorien erweitern — etwa aggregierte Reichweitenmessung und Sicherheitswartung — und in Richtung standardisierter, maschinenlesbarer Einwilligungssignale auf Browserebene gehen, statt eines Banners auf jeder einzelnen Seite. Falls das kommt, wird die Consent-Ebene Ihrer Website weniger eine Design- als eine Technikfrage. Es lohnt sich zu wissen, wo Ihr Setup steht, bevor Ihr Anbieter es für Sie ändert.

KI und personenbezogene Daten. Die Vorschläge würden klären, wann berechtigtes Interesse Entwicklung und Erprobung von KI-Systemen tragen kann, und eine eng gefasste Grundlage schaffen, um sensible Daten ausschließlich zur Erkennung und Korrektur von Verzerrungen zu verarbeiten. Für jedes Unternehmen in Monaco, das KI-Automatisierung prüft, ist das der entscheidende Punkt: Er betrifft genau die Frage, die alle stellen und die sich derzeit niemand sauber beantworten lässt.

Meldefrist bei Datenschutzverletzungen. Die Kommission schlug vor, die europäische Frist von 72 auf 96 Stunden zu verlängern. Lesen Sie diesen Satz genau — hier entsteht das Missverständnis, dem Unternehmen in Monaco am ehesten aufsitzen.

Meldewege für Vorfälle. Eine zentrale Anlaufstelle über mehrere EU-Regime hinweg, nach dem Prinzip „einmal melden, mehrfach teilen“. Nützlich mit EU-Niederlassungen, ohne Belang ohne solche.

Monaco hängt nicht an Brüssel — außer dort, wo es doch so ist

Der monegassische Rahmen ist das Gesetz Nr. 1.565 vom 3. Dezember 2024, überwacht von der Autorité de Protection des Données Personnelles (APDP). Ein modernes Regime nach europäischem Standard — aber monegassisches Recht. Der Digital-Omnibus ändert daran nichts, und keine europäische Abstimmung verändert eine einzige Ihrer Pflichten nach monegassischem Recht.

Drei Wege führen dennoch zu Ihnen.

Der erste ist der Anwendungsbereich. Wer Personen in der EU anspricht oder deren Verhalten beobachtet, kann unmittelbar der DSGVO unterliegen, unabhängig vom Sitz. Viele Unternehmen in Monaco — E-Commerce-Betriebe, Agenturen, Vermögensverwalter, Hotelgruppen — sind das, ohne je darüber nachgedacht zu haben.

Der zweite ist Ihre Lieferkette. Ihre Auftragsverarbeiter sind ganz überwiegend europäische oder amerikanische Anbieter, die nach EU-Anforderungen entwickeln. Deren Voreinstellungen werden zu Ihren.

Der dritte ist die längerfristige Frage, wie sich monegassisches und europäisches Recht zueinander verhalten, einschließlich einer möglichen Angemessenheitsfeststellung der EU für Monaco. Gesetz 1.565 wurde bewusst nach europäischen Standards gebaut. Verschiebt sich der europäische Standard, wird diese Angleichung zum beweglichen Ziel. Wohin das führt, ist offen und sollte mit rechtlicher Beratung geklärt statt angenommen werden.

Die Divergenzfalle

Das ist das praktische Risiko — und es ist alles andere als theoretisch.

Im kommenden Jahr werden unzählige Beiträge, Tools und Anbieterhinweise die neue europäische Position beschreiben: 96 Stunden für Meldungen, gelockerte Transparenz bei geringem Risiko, erweiterte Einwilligungsausnahmen. Jemand in Ihrem Unternehmen wird das lesen, für anwendbar halten und einen Prozess entsprechend anpassen.

Es gilt hier nicht. Ihre Pflichten folgen monegassischem Recht, gesetzt durch Gesetz 1.565 und die APDP, nach monegassischen Fristen. Wenn die EU auf 96 Stunden geht und Sie das stillschweigend als interne Frist übernehmen, haben Sie nichts vereinfacht — Sie haben eine Lücke zwischen Ihrer Praxis und den monegassischen Anforderungen geschaffen.

Dasselbe gilt für die Einwilligung. Lockert ein Plattform-Update Ihr Cookie-Banner, weil sich EU-Regeln geändert haben, wurde diese Änderung nicht am monegassischen Recht gemessen. Jemand muss das prüfen. Praktisch heißt das: Datenschutz-Compliance zuerst als monegassische Frage behandeln und erst danach als europäische — nicht umgekehrt, wie es die meisten Teams heute tun.

Was bis zur Verabschiedung zu tun ist

Drei Dinge, keines davon teuer.

Kennen Sie Ihre Exponierung: Halten Sie auf einer Seite fest, ob Sie nur monegassischem Recht unterliegen oder auch europäischen Regeln — und warum. Die meisten Unternehmen haben das nie getan und liegen in beide Richtungen falsch.

Kennen Sie Ihre Voreinstellungen: Listen Sie die Werkzeuge, die Compliance-Entscheidungen für Sie treffen — Consent-Plattform, Analytics, CRM, E-Mail, Hosting — und halten Sie fest, wer deren Konfiguration steuert. Wenn ein Anbieter eine Änderung ausrollt, sollten Sie es aus Ihrer Liste erfahren, nicht von einem Kunden.

Ändern Sie nichts auf Basis eines Vorschlags. Ein Entwurf ist kein Gesetz, und gerade der Datenteil wurde in den Verhandlungen bereits umgeschrieben.

Wenn Ihr Consent-Setup, Ihre Analytics-Konfiguration oder Ihre Datenflüsse seit Inkrafttreten von Gesetz 1.565 nicht überprüft wurden, lohnt sich diese Prüfung jetzt — unabhängig von Brüssel. Es ist zugleich der richtige Moment, sie mit Ihrer übergreifenden Digitalstrategie zu verzahnen, statt Compliance als getrennte Pflichtübung zu behandeln.

Wir bauen für Unternehmen in Monaco Websites und digitale Abläufe, die dem monegassischen Recht standhalten — nicht geliehenen EU-Annahmen. Wenn Sie vor der nächsten Welle von Anbieter-Updates Klarheit wollen, nehmen Sie Kontakt auf.