Monacos Liste sicherer Länder

Ein einziges Dokument entscheidet, wohin Ihre Daten fließen dürfen

Jedes Unternehmen in Monaco, das ein CRM, eine E-Mail-Plattform, einen Cloud-Hoster oder ein Analysetool einsetzt, überträgt bereits heute personenbezogene Daten aus dem Fürstentum hinaus. Nach monegassischem Datenschutzrecht hängt es an einem einzigen Punkt, ob diese Übermittlung unkompliziert ist oder zusätzlichen vertraglichen Aufwand erfordert: ob das Zielland auf Monacos offizieller Liste der Länder mit angemessenem Schutzniveau steht.

Diese Liste wird derzeit neu gefasst — und der Prozess verläuft nicht reibungslos. Der Entwurf der Ministerialverordnung wurde vorgelegt, die monegassische Datenschutzbehörde hat ihn geprüft und erhebliche Einwände erhoben. Solange die Verordnung nicht veröffentlicht ist, gelten für Sie Regeln, die älter sind als die meisten Werkzeuge, mit denen Sie arbeiten.

Das Thema verdient jetzt Aufmerksamkeit, denn das Ergebnis bestimmt, welche Anbieter sich künftig leicht rechtfertigen lassen und welche Dokumentationsaufwand nach sich ziehen.

Was das Gesetz 1.565 tatsächlich regelt

Grundlage ist das Gesetz Nr. 1.565 vom 3. Dezember 2024. Es ist ein modernes Regelwerk auf europäischem Niveau, aber es ist monegassisches Recht: Monaco ist kein EU-Mitgliedstaat, und die DSGVO gilt für monegassische Unternehmen nicht automatisch. Dieser Unterschied ist im Alltag entscheidend, denn nahezu alle frei verfügbaren Compliance-Ratgeber sind für EU-Unternehmen geschrieben.

Artikel 97 des Gesetzes 1.565 legt den Mechanismus fest: Die Liste der Länder, Gebiete und internationalen Organisationen mit angemessenem Schutzniveau wird durch Ministerialverordnung erlassen, nach Stellungnahme der Autorité de Protection des Données Personnelles (APDP). Sie soll regelmäßig aktualisiert und sowohl im Journal de Monaco als auch auf der Website der APDP veröffentlicht werden.

Die Logik ist einfach: Geht die Übermittlung in ein gelistetes Land, stützt sie sich auf diese Angemessenheitsfeststellung. Andernfalls brauchen Sie eine andere Grundlage — in der Regel vertragliche Garantien mit dem Anbieter, ergänzt um eine Dokumentation, die Ihre Risikoprüfung belegt.

Warum die APDP Widerspruch angemeldet hat

Im Mai 2026 gab die APDP ihre Stellungnahme zum Regierungsentwurf ab (Beschluss Nr. 2026-07 vom 20. Mai 2026). Eine bloße Formalie war das nicht.

Ihr Hauptkritikpunkt: Der Listenentwurf übernimmt im Wesentlichen die Angemessenheitsbeschlüsse der Europäischen Union — mit Ausnahme der Europäischen Patentorganisation — ohne eigenständige Prüfung, ob diese ausländischen Rechtsordnungen die aus Monaco übermittelten Daten und die betroffenen Personen tatsächlich schützen. Ein EU-Angemessenheitsbeschluss bewertet den Schutz von Daten aus der Union. Über Daten aus dem Fürstentum sagt er nicht automatisch etwas aus.

Zudem weist die APDP darauf hin, dass der Entwurf die partiellen Angemessenheitsfeststellungen der EU übernimmt — also solche, die nur bestimmte Sektoren oder Datenarten abdecken — ohne deren Bedeutung im monegassischen Kontext zu erläutern, obwohl es diesen Teilmechanismus im monegassischen Recht so gar nicht gibt. Und sie stellt ausdrücklich fest, dass Daten, die in einige der im Entwurf genannten Länder übermittelt werden, aus ihrer Sicht keinen angemessenen Schutz genießen würden.

Die Stellungnahme ist beratend und nicht bindend; die endgültige Verordnung kann ihr folgen oder auch nicht. Doch eine dokumentierte Meinungsverschiedenheit zwischen Regierung und Aufsichtsbehörde ist ein Signal: Diese Liste kann überarbeitet werden — auch noch nach ihrer Veröffentlichung.

Was aktuell gilt

Diesen Punkt übersehen die meisten Unternehmen. Bis zur Veröffentlichung der neuen Ministerialverordnung bleibt die frühere Liste gültig, die 2009 von der CCIN, der Vorgängerbehörde der APDP, erstellt wurde.

Eine Liste aus dem Jahr 2009 stammt aus der Zeit vor dem heutigen Cloud-Markt. Sie entstand vor der breiten Einführung jener SaaS-Werkzeuge, die in Monaco heute Marketing, Vertrieb und Kundenservice tragen. Wer also heute ein Zielland prüft, gleicht es mit einem Dokument aus einer anderen technologischen Epoche ab — während der Nachfolger bereits in der Pipeline liegt.

Die praktische Folge: Gehen Sie nicht davon aus, dass ein Anbieter, der für ein französisches oder italienisches Unternehmen unproblematisch ist, automatisch auch für Sie passt. Und gehen Sie nicht davon aus, dass der Status quo bleibt. Prüfen Sie die geltende Liste auf der Website der APDP und holen Sie bei wesentlichen Übermittlungen fachlichen Rat ein — die richtige Antwort hängt hier wirklich vom Einzelfall ab, und Raten ist keine Strategie.

Was das für Ihren Tool-Stack bedeutet

Die meisten Unternehmen in Monaco sind stärker exponiert, als ihnen bewusst ist — schlicht weil der übliche Werkzeugkasten von Haus aus international ist: eine US-Analyseplattform, ein US-amerikanischer oder irischer E-Mail-Dienst, ein Cloud-Hoster mit Rechenzentren in mehreren Regionen, ein Support-Widget, ein KI-Assistent, der Kundennachrichten verarbeitet.

Nichts davon ist per se ein Problem. Das Problem ist, nicht zu wissen, wohin die Daten gehen. Wer die Frage „Welche Länder berühren unsere Kundendaten, und auf welcher vertraglichen Grundlage?" nicht beantworten kann, kann Compliance nicht nachweisen — gleich welche Fassung der Liste am Ende gilt.

Jetzt ist also der Moment, das zu kartieren. Ein sauberes Inventar macht Sie unabhängig davon, was die endgültige Verordnung sagt, und macht einen Anbieterwechsel günstig, falls einer außerhalb der neuen Liste landet. Es gilt dieselbe Disziplin, die auch eine mehrsprachige Website wartbar hält: Kennen Sie Ihre Abhängigkeiten, bevor Sie sie ändern müssen.

Vier Aufgaben vor dem Inkrafttreten

Datenflüsse kartieren. Erfassen Sie jedes Tool mit Kunden- oder Interessentendaten, den Hosting-Standort und den der Unterauftragsverarbeiter. Ihr E-Mail-Marketing- und CRM-Stack bündelt in der Regel das größte Volumen.

Verträge prüfen. Stellen Sie sicher, dass Sie mit jedem Anbieter schriftliche Übermittlungsgarantien haben — nicht nur einen Link auf eine allgemeine Richtlinienseite. Fällt ein Land von der Liste, sind diese Verträge Ihr Auffangnetz.

Flexibilität vor Bindung. Wo eine europäische oder in Monaco gehostete Alternative gleichwertig leistet, senkt sie Ihr Risiko bei Listenänderungen, ohne strategisch etwas zu kosten.

Schriftlich festhalten. Nach dem Gesetz 1.565 liegt es an Ihnen nachzuweisen, dass Sie die Übermittlung bewertet haben. Undokumentiertes gutes Urteilsvermögen zählt in einer Prüfung nicht. Strukturierte APDP-Compliance-Arbeit ist heute in Ruhe deutlich günstiger als später unter Druck.

Bringen Sie Ihre Datentransfers in Ordnung

Die Angemessenheitsliste wird früher oder später veröffentlicht — und angesichts der Einwände der APDP könnte sie anders aussehen als der Entwurf. Unternehmen, die bereits wissen, wo ihre Daten liegen, passen sich in einem Nachmittag an. Alle anderen rekonstruieren das wochenlang unter Druck.

Wenn Sie Unterstützung bei der Kartierung Ihrer Datenflüsse, bei der Prüfung Ihrer Website und Marketing-Tools oder beim Aufbau einer Digitalstrategie brauchen, die regulatorische Änderungen übersteht, nehmen Sie Kontakt auf — wir arbeiten täglich mit Unternehmen in Monaco und sagen Ihnen klar, was Aufmerksamkeit braucht. Für eine verbindliche rechtliche Auslegung des Gesetzes 1.565 wenden Sie sich an einen qualifizierten monegassischen Anwalt.