Datenschutzrecht in Marokko: Loi 09-08 im Überblick
Rechtsgebiet: Vertragsrecht & Handelsgeschäfte
Von Zakaria Korte, Korte Law in Kooperation mit Amereller
Das Wichtigste in Kürze: Das Gesetz Nr. 09-08 (Dahir Nr. 1-09-15 vom 18. Februar 2009) regelt die Verarbeitung personenbezogener Daten durch einen Verantwortlichen mit Niederlassung in Marokko oder durch einen Verantwortlichen, der in Marokko belegene Verarbeitungsmittel nutzt. Jede Verarbeitung muss vor ihrem Beginn bei der CNDP gemeldet oder in bestimmten Fällen von ihr genehmigt werden (Art. 12). Eine Verarbeitung ohne diese Formalität wird mit einer Geldstrafe von 10.000 bis 100.000 MAD bestraft (Art. 52). Die Verarbeitung sensibler Daten ohne ausdrückliche Einwilligung wird mit Freiheitsstrafe von 3 Monaten bis 1 Jahr und/oder Geldstrafe von 50.000 bis 300.000 MAD bestraft (Art. 57). Für juristische Personen verdoppeln sich die Geldstrafen (Art. 64). Stand: 19. Oktober 2026.
Sie planen ein Vorhaben in Marokko? Erzählen Sie uns von Ihrem Projekt — 30 Minuten mit einem Anwalt, für Unternehmen und ihre Berater.
Sprechen Sie uns anWas regelt das Gesetz 09-08?
Das Gesetz 09-08 schützt natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten. Es wurde durch den Dahir Nr. 1-09-15 vom 18. Februar 2009 verkündet und im Amtsblatt (Bulletin officiel) Nr. 5714 vom 5. März 2009 veröffentlicht. Es legt Grundsätze fest, gewährt den betroffenen Personen Rechte, unterwirft Verarbeitungen Formalitäten, errichtet die CNDP und sieht strafrechtliche Sanktionen vor.
Artikel 1 stellt zunächst eine allgemeine Regel auf. Die Informatik steht im Dienst des Bürgers. Sie darf weder die Identität noch die Rechte und die kollektiven oder individuellen Freiheiten des Menschen verletzen. Das Dekret Nr. 2-09-165 vom 21. Mai 2009 regelt die Einzelheiten der Anwendung. Es betrifft insbesondere das Verfahren vor der CNDP. Das Gesetz umfasst 8 Kapitel und 67 Artikel.
Welche Begriffe sind zentral (Art. 1)?
Personenbezogene Daten sind alle Informationen gleich welcher Art über eine bestimmte oder unmittelbar oder mittelbar bestimmbare natürliche Person (Art. 1-1). Der Begriff erfasst ausdrücklich auch Ton und Bild.
| Begriff | Inhalt (Art. 1 des Gesetzes 09-08) |
|---|---|
| Verarbeitung | Jeder Vorgang, automatisiert oder nicht: Erhebung, Speicherung, Aufbewahrung, Abfrage, Übermittlung, Verknüpfung, Sperrung, Löschung oder Vernichtung (Art. 1-2) |
| Sensible Daten | Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die die Gesundheit betreffen, einschließlich genetischer Daten (Art. 1-3) |
| Verantwortlicher | Wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 1-5) |
| Auftragsverarbeiter | Wer die Daten im Auftrag des Verantwortlichen verarbeitet (Art. 1-6) |
| Einwilligung | Freie, bestimmte und informierte Willensbekundung (Art. 1-9) |
Für wen gilt das Gesetz (Art. 2)?
Das Gesetz gilt für jeden Verantwortlichen mit Niederlassung in Marokko. Ein Verantwortlicher, der in Marokko im Rahmen einer Einrichtung tätig ist, gilt dort als niedergelassen, unabhängig von der Rechtsform dieser Einrichtung (Art. 2-2-a). Eine Zweigniederlassung oder ein Verbindungsbüro ist eine solche Einrichtung. Eine marokkanische Tochtergesellschaft ist selbst ein Verantwortlicher mit Niederlassung in Marokko.
Das Gesetz erfasst auch einen Verantwortlichen ohne Niederlassung in Marokko, der Verarbeitungsmittel im marokkanischen Hoheitsgebiet nutzt (Art. 2-2-b). Es gilt nicht für Mittel, die nur zur Durchleitung durch das marokkanische Hoheitsgebiet oder durch das Gebiet eines Staates mit als gleichwertig anerkannter Gesetzgebung genutzt werden. Dieser Verantwortliche muss der CNDP die Identität eines in Marokko ansässigen Vertreters mitteilen, der an seine Stelle tritt (Art. 2-3).
Das Gesetz nimmt mehrere Verarbeitungen aus (Art. 2-4). Es nimmt Verarbeitungen zu ausschließlich persönlichen oder familiären Zwecken aus. Ausgenommen sind auch Verarbeitungen im Zusammenhang mit der Landesverteidigung und der inneren oder äußeren Sicherheit des Staates. Verarbeitungen zur Verhütung und Verfolgung von Verbrechen und Vergehen richten sich nach dem Rechtsakt, der sie einführt, nach Stellungnahme der CNDP. Ausgenommen sind ferner Daten, die in Anwendung eines besonderen Gesetzes erhoben werden.
Welche Grundsätze gelten für die Daten (Art. 3)?
Die Daten müssen nach Treu und Glauben und rechtmäßig verarbeitet werden, für festgelegte, eindeutige und legitime Zwecke (Art. 3-1). Sie müssen angemessen, erheblich und nicht übermäßig sein. Sie müssen richtig sein. Sie werden für eine begrenzte Dauer aufbewahrt (Art. 3-1-e). Die CNDP kann eine längere Aufbewahrung zu historischen, statistischen oder wissenschaftlichen Zwecken genehmigen (Art. 3-2).
Artikel 3 ist Grundlage strafrechtlicher Verfolgung. Wer Daten in betrügerischer, unredlicher oder unrechtmäßiger Weise erhebt oder sie unter Verstoß gegen Buchstaben a), b) und c) des Artikels 3 zu einem anderen Zweck verarbeitet, wird mit Freiheitsstrafe von 3 Monaten bis 1 Jahr und/oder Geldstrafe von 20.000 bis 200.000 MAD bestraft (Art. 54). Die Aufbewahrung von Daten unter Verstoß gegen Buchstabe e) des Artikels 3 wird mit denselben Strafen bestraft (Art. 55).
Ist immer eine Einwilligung erforderlich (Art. 4)?
Nein. Die zweifelsfreie Einwilligung der betroffenen Person ist die Regel. Artikel 4 lässt fünf Ausnahmen zu:
- die Erfüllung einer gesetzlichen Pflicht;
- die Erfüllung eines Vertrags, dessen Partei die betroffene Person ist, oder vorvertraglicher Maßnahmen auf ihren Antrag;
- der Schutz lebenswichtiger Interessen der betroffenen Person, wenn sie nicht in der Lage ist, einzuwilligen;
- die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt;
- das berechtigte Interesse des Verantwortlichen oder des Empfängers, sofern das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht missachtet werden.
Auch die Weitergabe der Daten an Dritte erfordert die vorherige Einwilligung der betroffenen Person, außer in denselben Fällen (Art. 4 Abs. 2). Eine Verarbeitung ohne Einwilligung und außerhalb dieser Fälle wird mit Freiheitsstrafe von 3 Monaten bis 1 Jahr und/oder Geldstrafe von 20.000 bis 200.000 MAD bestraft (Art. 56).
Für sensible Daten gilt eine eigene Regelung (Art. 21). Ihre Verarbeitung muss durch Gesetz oder, falls dies fehlt, durch die CNDP genehmigt sein. Die CNDP genehmigt sie auf Grundlage der ausdrücklichen Einwilligung der betroffenen Person oder wenn die Verarbeitung für die gesetzlichen oder satzungsmäßigen Aufgaben des Verantwortlichen unerlässlich ist. Weitere Fälle sind vorgesehen, etwa die Verteidigung eines Rechts vor Gericht oder Daten, die die betroffene Person selbst öffentlich gemacht hat (Art. 21-3). Die Verarbeitung sensibler Daten ohne ausdrückliche Einwilligung ist nach Artikel 57 strafbar.
Worüber sind die betroffenen Personen zu informieren (Art. 5)?
Bei der Erhebung muss der Verantwortliche die betroffene Person ausdrücklich, genau und unmissverständlich informieren (Art. 5). Die Information betrifft die Identität des Verantwortlichen und gegebenenfalls seines Vertreters. Sie betrifft auch die Zwecke der Verarbeitung. Soweit für eine Verarbeitung nach Treu und Glauben erforderlich, nennt sie die Empfänger, ob die Antworten verpflichtend oder freiwillig sind, und das Bestehen der Auskunfts- und Berichtigungsrechte. Die Angaben zur Empfangsbestätigung der Meldung oder zur Genehmigung der CNDP sind anzugeben (Art. 5-1-d). In der Praxis sind die Hinweise in Formularen und Datenschutzerklärungen nach jeder Formalität zu überprüfen.
Welche Rechte haben die betroffenen Personen (Art. 7 bis 9)?
Die betroffene Person hat ein Auskunftsrecht (Art. 7). Sie kann die Aktualisierung, Berichtigung, Löschung oder Sperrung nicht ordnungsgemäßer Daten verlangen. Der Verantwortliche handelt kostenlos innerhalb einer vollen Frist von zehn Tagen (Art. 8). Schließlich hat sie ein Widerspruchsrecht (Art. 9).
Der Widerspruch kann auf berechtigte Gründe gestützt werden. Er ist auch kostenlos und ohne Begründung möglich, wenn die Daten der Werbung, insbesondere der kommerziellen Werbung, dienen. Die Verweigerung dieser Rechte wird mit Geldstrafe von 20.000 bis 200.000 MAD je Verstoß bestraft (Art. 53). Wer eine Verarbeitung trotz begründeten Widerspruchs oder trotz Widerspruchs gegen Werbung fortsetzt, wird mit Freiheitsstrafe von 3 Monaten bis 1 Jahr und/oder Geldstrafe von 20.000 bis 200.000 MAD bestraft (Art. 59). Das Gesetz sieht kein Recht auf Datenübertragbarkeit vor. Es sieht kein allgemeines Recht auf Einschränkung vor, nur die Sperrung nach Artikel 8.
Ist Werbung per E-Mail oder SMS zulässig (Art. 10)?
Nicht ohne vorherige Einwilligung. Artikel 10 verbietet Direktwerbung mittels automatischer Anrufsysteme, Telefax, E-Mail oder eines Mittels, das eine Technologie gleicher Art verwendet, ohne vorherige Einwilligung der betroffenen Person. Die SMS fällt nach unserer Auffassung in diese letzte Kategorie.
Eine Ausnahme betrifft nur die E-Mail. Sie setzt voraus, dass die Kontaktdaten bei der betroffenen Person im Rahmen eines Verkaufs oder einer Dienstleistung erhoben wurden. Die Werbung muss ähnliche Produkte oder Dienstleistungen desselben Unternehmens betreffen. Die betroffene Person muss ihr einfach und kostenlos widersprechen können, bei der Erhebung und danach bei jeder Zusendung.
Am 3. August 2026 hat die CNDP zehn Regeln für Wahlvorgänge veröffentlicht. Darin erinnert sie an das Verbot der Direktwerbung ohne vorherige Einwilligung (Art. 10). Elektronische Werbung trotz Widerspruchs fällt unter Artikel 59.
Meldung oder Genehmigung: welche CNDP-Formalität (Art. 12 ff.)?
Vorbehaltlich besonderer Vorschriften ist die vorherige Meldung die Regel (Art. 12-2). Eine vorherige Genehmigung ist in den Fällen des Artikels 12-1 erforderlich: sensible Daten, Verwendung zu anderen Zwecken, genetische Daten, Straftaten und Verurteilungen, Nummer des nationalen Personalausweises (Art. 12-1-e) und Verknüpfung von Dateien.
| Schritt | Frist | Rechtsgrundlage |
|---|---|---|
| Empfangsbestätigung der Meldung | 24 Stunden | Gesetz 09-08, Art. 19 |
| Entscheidung, die Verarbeitung der Genehmigung zu unterwerfen | 8 Tage | Gesetz 09-08, Art. 20 |
| Schweigen der CNDP auf einen Genehmigungsantrag | 2 Monate, einmal verlängerbar durch begründete Entscheidung, danach gilt die Genehmigung als erteilt | Dekret 2-09-165, Art. 28 |
| Übermittlung, die einer Genehmigung der CNDP bedarf (Art. 44-3) | Genehmigungsverfahren, also dieselbe Frist | Dekret 2-09-165, Art. 48 |
Einzelheiten zu den Unterlagen und Praxisfällen finden Sie in unserem Beitrag „CNDP-Verfahren in der Praxis: Meldung, Genehmigung, Datenübermittlung und Arbeitnehmerdaten“. Am 28. November 2025 hat die CNDP fünf Musterbeschlüsse angenommen, die auf cndp.ma veröffentlicht sind. Zwei sind Muster für eine vereinfachte Meldung: Cookies (D-939-2025) und Newsletter (D-940-2025). Drei sind Muster für einen Genehmigungsantrag: Patientenbetreuung (D-941-2025), Videoüberwachung in Gesundheitseinrichtungen (D-942-2025) und Zugangskontrolle zu privaten Geschäftsräumen (D-943-2025). Die Videoüberwachung am Arbeitsplatz richtet sich nach dem Beschluss Nr. 350-2013 vom 31. Mai 2013. Die Aufnahmen werden dort höchstens drei Monate aufbewahrt.
Welche Pflichten gelten für Sicherheit und Auftragsverarbeitung (Art. 23 bis 25)?
Der Verantwortliche muss geeignete technische und organisatorische Maßnahmen ergreifen. Sie schützen die Daten vor zufälliger oder unrechtmäßiger Vernichtung, zufälligem Verlust, Veränderung, unbefugter Verbreitung oder unbefugtem Zugang (Art. 23-1). Für sensible Daten und Gesundheitsdaten schreibt Artikel 24 verstärkte Maßnahmen vor: Kontrolle des Zutritts zu den Anlagen, der Datenträger, des Zugriffs, der Übertragung und des Transports der Daten.
Setzt der Verantwortliche einen Auftragsverarbeiter ein, muss er einen wählen, der hinreichende Garantien bietet (Art. 23-2). Ein Vertrag oder Rechtsakt muss die Parteien binden. Er sieht vor, dass der Auftragsverarbeiter nur auf Weisung des Verantwortlichen handelt (Art. 23-3 und 25). Die datenschutzbezogenen Vertragsbestandteile werden schriftlich festgehalten (Art. 23-4).
Eine Verarbeitung ohne diese Maßnahmen wird mit Freiheitsstrafe von 3 Monaten bis 1 Jahr und/oder Geldstrafe von 20.000 bis 200.000 MAD bestraft (Art. 58). Wer den missbräuchlichen oder betrügerischen Gebrauch der Daten, auch fahrlässig, verursacht oder erleichtert, wird mit denselben Strafen bestraft (Art. 61). Das Gesetz sieht keine allgemeine Pflicht zur Meldung von Datenschutzverletzungen vor.
Dürfen Daten ins Ausland übermittelt werden (Art. 43 und 44)?
Eine Übermittlung ist nur in einen Staat zulässig, der ein ausreichendes Schutzniveau gewährleistet (Art. 43). Dieses Niveau wird nach dem Recht des Empfängerstaates, den dort angewandten Sicherheitsmaßnahmen, den Merkmalen der Verarbeitung sowie nach Art, Herkunft und Bestimmung der Daten beurteilt.
Artikel 44 lässt Ausnahmen zu. Die erste ist die ausdrückliche Einwilligung der betroffenen Person. Die Übermittlung ist auch zulässig, wenn sie erforderlich ist, insbesondere zum Schutz ihres Lebens, für ein wichtiges öffentliches Interesse, für ein Recht vor Gericht oder für einen Vertrag mit der betroffenen Person. Sie ist ferner aufgrund eines bilateralen oder multilateralen Abkommens zulässig, dem Marokko angehört. Schließlich kann die CNDP sie ausdrücklich und mit Begründung genehmigen, wenn die Verarbeitung hinreichende Garantien bietet, insbesondere durch Vertragsklauseln oder interne Regeln.
Die Liste der Länder mit angemessenem Schutzniveau ist im Beschluss Nr. 465-2013 vom 6. September 2013 festgelegt, geändert durch den Beschluss Nr. 236-2015 vom 18. Dezember 2015. Sie umfasst 32 Staaten, darunter Frankreich, die Schweiz, das Vereinigte Königreich und Kanada. Nicht alle EU-Staaten stehen darauf: Kroatien fehlt. Auch in diese Länder muss die Übermittlung der CNDP im jeweils passenden Verfahren mitgeteilt werden. Eine Übermittlung unter Verstoß gegen die Artikel 43 und 44 wird mit Freiheitsstrafe von 3 Monaten bis 1 Jahr und/oder Geldstrafe von 20.000 bis 200.000 MAD bestraft (Art. 60).
Was ist die CNDP (Art. 27 ff.)?
Die CNDP ist die Kontrollbehörde, die durch Artikel 27 des Gesetzes 09-08 beim Premierminister, heute Regierungschef, eingerichtet wurde. Sie informiert, berät, prüft Meldungen und Genehmigungsanträge und kontrolliert nach Aktenlage und vor Ort (Art. 28 bis 30). Sie hat sieben vom König ernannte Mitglieder (Art. 32). Der Präsident wird unmittelbar ernannt. Die sechs übrigen Mitglieder werden zu je zwei vom Regierungschef, vom Präsidenten des Repräsentantenhauses und vom Präsidenten des Rates der Räte vorgeschlagen. Die Amtszeit beträgt fünf Jahre und ist nur einmal verlängerbar.
Verletzt eine Verarbeitung die Sicherheit oder die öffentliche Ordnung oder verstößt sie gegen die Moral und die guten Sitten, kann die CNDP die Empfangsbestätigung oder die Genehmigung unverzüglich entziehen (Art. 51). Artikel 51 begründet keine Geldstrafe. Er ist Grundlage einer Verwaltungsmaßnahme, unbeschadet der strafrechtlichen Sanktionen.
Welche Strafen genau (Art. 51 bis 66)?
Die Geldstrafen reichen von 10.000 bis 300.000 MAD. Die meisten gehen mit Freiheitsstrafe von 3 Monaten bis 1 Jahr einher. Das Gericht kann beide Strafen oder nur eine der beiden verhängen.
| Artikel | Verstoß | Geldstrafe (MAD) | Freiheitsstrafe |
|---|---|---|---|
| 51 | Verarbeitung gegen die Sicherheit oder die öffentliche Ordnung, die Moral oder die guten Sitten | Entzug der Empfangsbestätigung oder der Genehmigung durch die CNDP | Keine |
| 52 | Verarbeitung ohne Meldung oder ohne Genehmigung oder Fortsetzung nach deren Entzug | 10.000 bis 100.000 | Keine |
| 53 | Verweigerung der Auskunfts-, Berichtigungs- oder Widerspruchsrechte | 20.000 bis 200.000 je Verstoß | Keine |
| 54 | Betrügerische oder unredliche Erhebung, Zweckentfremdung | 20.000 bis 200.000 | 3 Monate bis 1 Jahr |
| 55 | Aufbewahrung über die vorgesehene Dauer hinaus | 20.000 bis 200.000 | 3 Monate bis 1 Jahr |
| 56 | Verarbeitung ohne Einwilligung und ohne andere Grundlage nach Artikel 4 | 20.000 bis 200.000 | 3 Monate bis 1 Jahr |
| 57 | Sensible Daten ohne ausdrückliche Einwilligung, Daten über Straftaten und Verurteilungen | 50.000 bis 300.000 | 3 Monate bis 1 Jahr |
| 58 | Fehlende Sicherheitsmaßnahmen (Art. 23 und 24) | 20.000 bis 200.000 | 3 Monate bis 1 Jahr |
| 59 | Verarbeitung trotz Widerspruchs, Werbung (Art. 9 und 10) | 20.000 bis 200.000 | 3 Monate bis 1 Jahr |
| 60 | Unzulässige Übermittlung ins Ausland | 20.000 bis 200.000 | 3 Monate bis 1 Jahr |
| 61 | Missbräuchlicher oder betrügerischer Gebrauch der Daten, auch fahrlässig | 20.000 bis 200.000 | 3 Monate bis 1 Jahr |
| 62 | Behinderung der Kontrolle durch die CNDP | 10.000 bis 50.000 | 3 bis 6 Monate |
| 63 | Weigerung, Entscheidungen der CNDP umzusetzen | 10.000 bis 100.000 | 3 Monate bis 1 Jahr |
| 64 | Verstoß durch eine juristische Person | Verdoppelte Geldstrafen | Eine Strafe nach Wahl des Gerichts: teilweise Einziehung des Vermögens, Einziehung (Art. 89 Strafgesetzbuch) oder Schließung der Einrichtung |
| 65 | Rückfall | Verdoppelte Sanktionen | Strafen des Kapitels verdoppelt |
| 66 | Feststellung der Verstöße | Protokoll der vereidigten Bediensteten der CNDP | Übermittlung an den Staatsanwalt (procureur du Roi) binnen 5 Tagen |
Für eine juristische Person beträgt die Höchstgeldstrafe damit 600.000 MAD, ohne Rückfall (Art. 57 und 64). Geschäftsleiter, die den Verstoß selbst begangen haben, können ebenfalls bestraft werden (Art. 64). Die juristische Person kann zudem mit einer der drei Strafen des Artikels 64 belegt werden. Ein Rückfall liegt vor, wenn eine bereits rechtskräftig verurteilte Person innerhalb des folgenden Jahres einen gleichartigen Verstoß begeht (Art. 65). Bei missbräuchlichem Gebrauch (Art. 61) kann das Gericht auch die Beschlagnahme des Materials und die Löschung der Daten anordnen. Artikel 52 stellt klar, dass die zivilrechtliche Haftung gegenüber den Geschädigten unberührt bleibt.
Was regelt das Dekret Nr. 2-09-165 vom 21. Mai 2009?
Das Dekret organisiert die CNDP: Ernennung der Mitglieder, Arbeitsweise, Verwaltung und Kontrolle. Es regelt ferner das Verfahren für Stellungnahmen, Meldungen und Genehmigungen. Es behandelt auch Gesundheits- und genetische Daten, die Rechte der betroffenen Personen und Übermittlungen. Seine in der Praxis wichtigste Regel betrifft das Schweigen der CNDP. Ein Genehmigungsantrag, der 2 Monate unbeantwortet bleibt, gilt als genehmigt; die Frist ist einmal verlängerbar (Art. 28). Eine Übermittlung, die eine Genehmigung der CNDP erfordert, folgt demselben Verfahren (Art. 48).
Gesetz 09-08 und DSGVO: Was ist anders?
Die Grundsätze sind ähnlich. Die Logik ist eine andere. Das marokkanische Gesetz kontrolliert vor der Verarbeitung. Die DSGVO beruht auf der Verantwortung des Verantwortlichen (Rechenschaftspflicht, Accountability).
| Punkt | Gesetz 09-08 | DSGVO |
|---|---|---|
| Vorherige Formalität | Meldung oder Genehmigung (Art. 12) | Keine, internes Verzeichnis |
| Meldung von Datenschutzverletzungen | Keine allgemeine Pflicht | 72 Stunden |
| Datenübertragbarkeit, Datenschutz-Folgenabschätzung | Nicht vorgesehen | Vorgesehen |
| Datenschutzbeauftragter | Nicht vorgesehen | In bestimmten Fällen Pflicht |
| Sanktionen | Strafrechtlich, bis 300.000 MAD, verdoppelt für juristische Personen | Verwaltungsrechtlich, bis 20 Mio. EUR oder 4 % des weltweiten Umsatzes |
| Übermittlungen | Länder mit angemessenem Schutzniveau oder Ausnahmen nach Artikel 44, darunter die Genehmigung der CNDP | Angemessenheit, Standardvertragsklauseln, BCR |
DSGVO-Konformität reicht in Marokko nicht aus. Für Marokko besteht kein Angemessenheitsbeschluss der Europäischen Kommission.
Wie steht es 2025-2026 um die Reform des Gesetzes 09-08?
Am 19. Oktober 2026 gelten das Gesetz 09-08 und das Dekret Nr. 2-09-165 ohne verabschiedete Reform fort. Einen Gesetzentwurf der Regierung haben wir nicht festgestellt. Ein Gesetzesvorschlag einer Parlamentsfraktion, 2024 im Repräsentantenhaus eingebracht, betraf den Status der CNDP. Er ist bisher nicht verabschiedet worden.
| Status | Element |
|---|---|
| In Kraft | Gesetz 09-08, Dekret 2-09-165, Beschlüsse der CNDP |
| Praxis der CNDP (2025-2026) | Mitteilung zur KI vom 18. März 2025, die einen Beschluss zu KI-Verarbeitungen ankündigt; Musterbeschlüsse vom 28. November 2025; am 3. August 2026 vor den Parlamentswahlen veröffentlichte Regeln |
| In Diskussion, ohne verabschiedeten Text | Annäherung an die DSGVO, abschreckendere Sanktionen, nachträgliche Kontrolle |
Was internationale Unternehmen unterschätzen
Die Formalität kommt zuerst. Die Verarbeitung darf nicht vor der Empfangsbestätigung oder der Genehmigung beginnen (Art. 14 und 19). Wer ein CRM oder ein HR-System „vorläufig“ startet, setzt sich Artikel 52 aus.
Die CIN-Nummer. Eine Personal- oder Kundendatei mit der Nummer des nationalen Personalausweises (CIN) ist genehmigungspflichtig (Art. 12-1-e), nicht bloß meldepflichtig.
Die Tools der Gruppe. Daten in einer Cloud oder einem Tool außerhalb Marokkos zu speichern, auch in der EU, ist eine Übermittlung. Die CNDP verlangt eine Übermittlungsformalität, sobald Daten im Ausland gespeichert oder dorthin übermittelt werden (Art. 43 und 44).
Die strafrechtliche Verantwortung. Die Sanktionen sind strafrechtlich. Der Gesellschaft drohen verdoppelte Geldstrafen, und ihre Geschäftsleiter können bestraft werden, wenn sie den Verstoß selbst begangen haben (Art. 64). Ein verhandelbares Verwaltungsbußgeld gibt es nicht.
Die Aktualisierung. Die Verwendung der Daten für einen neuen Zweck erfordert eine Genehmigung (Art. 12-1-b). Jede Änderung einer gemeldeten Verarbeitung ist der CNDP unverzüglich mitzuteilen (Art. 15).
Häufige Fragen
Ist eine marokkanische Tochtergesellschaft, die vom DSGVO-Programm der Gruppe erfasst ist, rechtskonform?
Nein. Die DSGVO schreibt keine vorherige Formalität vor, das Gesetz 09-08 dagegen für jede Verarbeitung (Art. 12). Die Tochtergesellschaft muss außerdem die Übermittlungen an die Gruppe regeln (Art. 43 und 44).
Erfordert eine Datenübermittlung von Marokko nach Frankreich ein Verfahren?
Ja. Frankreich steht auf der Liste der Länder, die die CNDP als angemessen ansieht, die Übermittlung muss ihr aber dennoch mitgeteilt werden. Eine Übermittlung unter Verstoß gegen die Artikel 43 und 44 fällt unter Artikel 60.
Kann der Geschäftsführer persönlich verfolgt werden?
Ja, wenn er den Verstoß selbst begangen hat. Artikel 64 verdoppelt die Geldstrafe der juristischen Person, unbeschadet der Strafen gegen ihre Geschäftsleiter, die den Verstoß begangen haben.
Wie lange braucht die CNDP für eine Antwort?
Die Empfangsbestätigung der Meldung wird binnen 24 Stunden erteilt (Art. 19). Bei einer Genehmigung gilt Schweigen von 2 Monaten, einmal verlängerbar, als Zustimmung (Dekret 2-09-165, Art. 28).
Muss ein Datenleck der CNDP gemeldet werden?
Das Gesetz schreibt dies nicht allgemein vor. Ein Datenleck kann jedoch einen Verstoß gegen die Sicherheitspflichten (Art. 58) oder eine nicht gemeldete Verarbeitung (Art. 52) offenlegen. Der Vorfall ist daher zu dokumentieren, und es ist zu prüfen, ob die CNDP informiert werden sollte.
Wird eine Reform die Regeln bald ändern?
Am 19. Oktober 2026 ist kein Änderungsgesetz verabschiedet, und ein Gesetzentwurf der Regierung wurde nicht festgestellt. Maßgeblich ist das geltende Gesetz.
Verwandte Artikel
- CNDP-Verfahren in der Praxis: Meldung, Genehmigung, Datenübermittlung und Arbeitnehmerdaten
- Arbeitsrecht in Marokko
- Gesellschaftsgründung in Marokko für ausländische Investoren
- Schiedsgerichtsbarkeit in Marokko
Ein praktischer Hinweis, bevor Sie auf dieser Grundlage handeln. Vorschriften dieser Art werden hier von Registern, Notariaten und Finanzämtern angewandt, deren Praxis landesweit nicht einheitlich ist; eine auf dem Papier saubere Akte kann am Schalter dennoch zurückgewiesen werden. Der größte Teil dieser Reibung entfällt, wenn Anwälte vor Ort in Marokko eingebunden sind, bevor die Akte eingereicht wird, und nicht erst danach.
Änderungen im Handelsregister
Gesellschaftsrechtliche Arbeit rund um die Adresse
Arbeitssprachen