Monacos Angemessenheitsliste: ohne USA

Das Wichtigste vorab

Monacos offizielle Liste der Länder mit angemessenem Datenschutzniveau steht fest. Der Ministerialerlass Nr. 2026-548 vom 30. September 2026 wurde am Freitag, dem 16. Oktober 2026, im Journal de Monaco veröffentlicht. Die USA stehen nicht darauf.

Genau das ist der entscheidende Punkt. Ein großer Teil der Software, mit der Unternehmen in Monaco täglich arbeiten, stammt von US-Anbietern oder stützt sich auf Support-Teams und Unterauftragsverarbeiter in den USA: E-Mail, Office-Pakete, CRM, Webanalyse, Werbeplattformen, KI-Assistenten. Gelangen personenbezogene Daten Ihres Unternehmens in die USA, kann diese Übermittlung nicht mehr auf einer Angemessenheitsfeststellung beruhen. Sie braucht eine andere Rechtsgrundlage, und Sie müssen nachweisen können, welche.

Den Entwurf haben wir im August in Monacos Liste angemessener Länder besprochen. Dieser Beitrag zeigt, was sich im endgültigen Text geändert hat und was jetzt zu tun ist.

Was die endgültige Liste enthält

Der Erlass stützt sich auf Artikel 97 des Gesetzes Nr. 1.565, Monacos Datenschutzgesetz. Er nennt die Ziele, in die personenbezogene Daten allein auf Grundlage der Angemessenheit übermittelt werden dürfen:

• alle 27 EU-Mitgliedstaaten sowie das Vereinigte Königreich
• weitere europäische Rechtsräume: Andorra, Island, Liechtenstein, Norwegen, die Schweiz, Guernsey, Jersey, die Isle of Man und die Färöer
• außerhalb Europas: Argentinien, Brasilien, Kanada, Neuseeland und Uruguay
• eine internationale Organisation: die Europäische Patentorganisation

Für Kanada gilt eine Einschränkung: Die Angemessenheit beruht auf dem bundesweiten Datenschutzgesetz für den Privatsektor (PIPEDA), das private Organisationen bei kommerziellen Tätigkeiten erfasst.

Aufschlussreich ist der Vergleich mit dem Entwurf. Laut APDP wurden Japan, Südkorea, Israel und die USA von der ursprünglich vorgesehenen Liste gestrichen, die Europäische Patentorganisation kam hinzu.

Warum das nicht die EU-Liste ist

Viele Unternehmen in Monaco gehen davon aus, dass für sie dasselbe gilt wie in Frankreich. Dieser Erlass zeigt, wie riskant diese Annahme ist. Monaco ist kein EU-Mitgliedstaat, die DSGVO gilt hier nicht automatisch, und das Fürstentum trifft eigene Angemessenheitsentscheidungen.

Die EU erkennt die USA (über das EU-US Data Privacy Framework), Japan, Südkorea und Israel als angemessen an. Monaco tut das nicht. Ein Tool, das ein Unternehmen in Nizza problemlos einsetzt, kann für dessen Schwestergesellschaft in Monaco zusätzlichen Aufwand bedeuten.

Das Verfahren hat zudem Fragen offengelassen. In ihrer Mitteilung vom 19. Oktober schreibt die APDP, die Regierung habe ihr erklärt, die Arbeitsunterlagen hinter den Angemessenheitsentscheidungen würden ihr nicht übermittelt. Die Europäische Patentorganisation sei ohne ihre vorherige Stellungnahme ergänzt worden. Außerdem habe sie Auslegungshinweise zum Gesetz Nr. 1.565 erhalten, deren Tragweite sie noch prüfen müsse. Weitere Hinweise der Behörde sind also möglich. Ein regelmäßiger Blick auf apdp.mc lohnt sich.

Was sich für Ihre Software ändert

Die entscheidende Frage lautet nicht mehr „Ist dieses Tool DSGVO-konform?“, sondern „Wohin gehen die Daten unserer Kunden tatsächlich, und auf welcher Grundlage?“

Liegt das Ziel auf der Liste, etwa ein Rechenzentrum in Irland, ein französischer Hoster oder ein Schweizer Anbieter, kann die Übermittlung auf der Angemessenheit beruhen. Alle übrigen Anforderungen des Gesetzes Nr. 1.565 gelten weiter: Vertrag mit dem Auftragsverarbeiter, Sicherheitsmaßnahmen, Verarbeitungsverzeichnis.

Liegt das Ziel nicht auf der Liste, wie jetzt die USA, braucht es eine andere Grundlage. Das Gesetz Nr. 1.565 sieht geeignete Garantien und in begrenzten Fällen besondere Ausnahmen vor. In der Vergangenheit hat die APDP Übermittlungen in die USA akzeptiert, wenn die vertraglichen Garantien an monegassisches Recht angepasst waren, statt einfach die EU-Standardvertragsklauseln zu übernehmen. Welcher Mechanismus in Ihrem Fall greift und ob eine Formalität gegenüber der APDP nötig ist, hängt von der konkreten Übermittlung ab. Genau hier lohnt sich ein qualifizierter Anwalt oder Datenschutzbeauftragter in Monaco. Raten Sie nicht.

Zwei Fallstricke sollten Sie kennen:

• „EU-Hosting“ ist nicht immer die ganze Wahrheit. Ein US-Anbieter kann Ihre Daten in Frankfurt oder Dublin speichern und trotzdem US-Mitarbeitern oder Unterauftragsverarbeitern Zugriff für Support, Sicherheit oder KI-Funktionen geben. Ein Fernzugriff aus einem Land kann als Übermittlung in dieses Land gelten. Lesen Sie die Liste der Unterauftragsverarbeiter, nicht nur die Werbeseite.
• Ihre Website gehört dazu. Analyse-Tags, Chat-Widgets, eingebettete Buchungstools, Schriften und Formulardienste können Besucherdaten ins Ausland senden. Eine sorgfältige Webentwicklung macht jeden dieser Dienste sichtbar und steuerbar.

Fünf Schritte, die jetzt sinnvoll sind

Sie müssen Ihre Software nicht austauschen. Sie müssen aber wissen, wo Sie stehen.

1. Erfassen Sie jedes Tool, das personenbezogene Daten verarbeitet: Kunden, Interessenten, Mitarbeitende, Websitebesucher. Beginnen Sie mit Ihren Plattformen für E-Mail-Marketing und CRM, denn dort liegen meist die meisten Daten.
2. Halten Sie fest, wo jedes Tool Daten speichert und von wo darauf zugegriffen wird. Grundlage sind der Auftragsverarbeitungsvertrag und die Liste der Unterauftragsverarbeiter. Markieren Sie alles, was die USA, Japan, Südkorea, Israel oder ein anderes nicht gelistetes Land berührt.
3. Prüfen Sie für jede markierte Übermittlung die Rechtsgrundlage. Sie brauchen schriftliche Garantien, die nach monegassischem Recht tragen, nicht nur einen Link zu einer EU-orientierten Richtlinie.
4. Wählen Sie bei gleichwertigen Alternativen gelistete Ziele. Eine EU-Region oder ein europäischer Anbieter mit europäischer Support-Kette erledigt die Frage.
5. Dokumentieren Sie alles. Nach dem Gesetz Nr. 1.565 liegt die Beweislast bei Ihnen. Ein aktuelles, einseitiges Übermittlungsregister ist mehr wert als gute Absichten.

Bereitet Ihr Unternehmen zugleich die bis Ende 2027 fälligen Folgenabschätzungen vor, fließt dieselbe Bestandsaufnahme direkt in diese Arbeit ein. Unser Service für APDP-Datenschutz hilft bei der Strukturierung.

Was als Nächstes kommt

Die Liste soll fortgeschrieben werden, und die APDP hat signalisiert, dass sie die Position der Regierung weiter prüft. Länder könnten später ergänzt werden. Gerade die USA könnten wieder Thema werden, falls Monaco eine eigene Regelung entwickelt. Bis dahin gilt die aktuelle Liste. Richten Sie Ihre Prozesse so ein, dass eine Änderung einen Nachmittag kostet und keinen Monat.

Wenn Sie genau wissen möchten, wohin die Daten Ihrer Website und Ihres Marketings fließen, und eine Digitalstrategie wollen, die auch bei neuen Regeln trägt, nehmen Sie Kontakt auf. Wir sagen Ihnen klar, was Aufmerksamkeit braucht. Für verbindliche Auslegungen des Gesetzes Nr. 1.565 wenden Sie sich bitte an einen qualifizierten Rechtsberater in Monaco.