CNDP-Verfahren in der Praxis: Meldung, Genehmigung, Datenübermittlung und Arbeitnehmerdaten (Gesetz 09-08)
Kurz gesagt: In Marokko muss jede Verarbeitung personenbezogener Daten vor ihrem Beginn bei der CNDP gemeldet werden, bestimmte Verarbeitungen bedürfen einer vorherigen Genehmigung (Gesetz 09-08, Art. 12). Eine Personaldatei, die die Nummer des nationalen Personalausweises (CIN) enthält, ist genehmigungspflichtig. Die Übermittlung an eine europäische Muttergesellschaft bleibt ein Verfahren, das zu durchlaufen ist, auch in ein Land, das die CNDP als angemessen einstuft. Die Geldstrafen reichen von 10.000 bis 300.000 MAD, meist neben einer Freiheitsstrafe von 3 Monaten bis 1 Jahr, und verdoppeln sich für Unternehmen (Art. 52 bis 64). Rechtsstand 2. Oktober 2026.
Dieser Beitrag ergänzt unseren allgemeinen Leitfaden Datenschutzrecht in Marokko: Loi 09-08 im Überblick. Er behandelt eine einzige Frage, nämlich die Verfahren bei der marokkanischen Datenschutzbehörde, der Commission nationale de contrôle de la protection des données à caractère personnel (CNDP): welches Regime gilt, was gehört in die Akte, wie lange dauert es und was kostet ein Versäumnis. Er richtet sich an Rechts-, Personal- und Datenschutzabteilungen von Unternehmensgruppen mit einer Tochtergesellschaft oder Niederlassung in Marokko.
Meldung oder Genehmigung: welches Regime gilt?
Grundsatz ist die vorherige Meldung (déclaration préalable). Jede Verarbeitung ist vor ihrer Durchführung bei der CNDP zu melden, soweit kein Spezialgesetz etwas anderes bestimmt (Gesetz 09-08, Art. 12-2 und Art. 14). Eine vorherige Genehmigung (autorisation préalable) ist erforderlich, wenn die Verarbeitung einen der folgenden Punkte betrifft (Art. 12-1):
- sensible Daten, also rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit und Gesundheitsdaten einschließlich genetischer Daten (Art. 12-1-a, Definition in Art. 1-3);
- die Nutzung von Daten zu anderen Zwecken als denen, für die sie erhoben wurden (Art. 12-1-b);
- genetische Daten, außer bei Verarbeitung durch Gesundheitspersonal zu medizinischen Zwecken (Art. 12-1-c);
- Daten über Straftaten, Verurteilungen oder Sicherungsmaßnahmen, außer für Organe der Rechtspflege (Art. 12-1-d);
- Daten, die die Nummer des nationalen Personalausweises enthalten (Art. 12-1-e);
- die Verknüpfung von Dateien mit unterschiedlichen Hauptzwecken (Art. 12-1-f).
Das CIN-Kriterium überrascht europäische Unternehmen am häufigsten. Es macht einen großen Teil der Personaldateien, Kundendateien und Besucherregister genehmigungspflichtig, die ohne dieses Merkmal nur meldepflichtig wären. Die CNDP hat für die Zugangskontrolle zu privaten Geschäftsräumen sogar ein Muster für den Genehmigungsantrag erlassen (Beschluss Nr. D-943-2025 vom 28. November 2025).
Auch eine gemeldete Verarbeitung kann in das Genehmigungsregime überführt werden. Hält die CNDP sie für offensichtlich gefährlich für die Privatsphäre und die Grundrechte, kann sie sie durch begründete Entscheidung, die innerhalb von 8 Tagen nach Einreichung zugestellt wird, der Genehmigung unterwerfen (Art. 20).
Für mehrere gängige Verarbeitungen hat die CNDP Beschlüsse (délibérations) mit einem Standardrahmen erlassen. Fällt eine Verarbeitung in diesen Rahmen, reicht das Unternehmen eine Meldung oder einen Genehmigungsantrag „gemäß einer Entscheidung“ mit einer Konformitätserklärung ein, statt einer frei gestalteten Akte. Die CNDP veröffentlicht für jeden Weg eigene Formulare (unter anderem F-211 für die normale Meldung, F-214 für die Meldung gemäß einer Entscheidung, F-112 für den Genehmigungsantrag und F-113 für die Genehmigung gemäß einer Entscheidung).
Was gehört in die Akte, und wie schnell antwortet die CNDP?
Die Meldung enthält die Verpflichtung, dass die Verarbeitung dem Gesetz entspricht (Art. 13). Sie gibt insbesondere an (Art. 15):
- Name und Anschrift des Verantwortlichen und gegebenenfalls seines Vertreters;
- Bezeichnung, Merkmale und Zwecke der Verarbeitung;
- die Kategorien der betroffenen Personen und der Daten;
- die Empfänger;
- geplante Übermittlungen in ausländische Staaten;
- die Speicherdauer;
- die Stelle, bei der Betroffene ihre Rechte ausüben;
- eine allgemeine Beschreibung der Sicherheitsmaßnahmen nach Art. 23 und 24;
- Verknüpfungen sowie jede Weitergabe oder Auftragsverarbeitung durch Dritte.
In der Praxis verlangt die CNDP außerdem die Unterlagen, die das Gemeldete belegen: die Information der Betroffenen (Art. 5), den Nachweis der Einwilligung oder der sonstigen Rechtsgrundlage (Art. 4), den Auftragsverarbeitungsvertrag, wenn ein Dienstleister die Daten verarbeitet (Art. 23), und eine Zeichnungsbefugnis. Nach Angaben der CNDP werden unvollständige Akten zurückgewiesen.
| Verfahren | Frist | Quelle |
|---|---|---|
| Meldung, Ausstellung der Empfangsbestätigung (récépissé) | 24 Stunden; die Verarbeitung darf mit Erhalt beginnen | Gesetz 09-08, Art. 19 |
| Entscheidung, eine gemeldete Verarbeitung der Genehmigung zu unterwerfen | 8 Tage ab Einreichung | Gesetz 09-08, Art. 20 |
| Genehmigungsantrag | 2 Monate, einmal verlängerbar | Dekret 2-09-165, Art. 28 |
| Antrag auf Übermittlung ins Ausland | 2 Monate, einmal verlängerbar | Dekret 2-09-165, Art. 48 und 28 |
Entscheidet die CNDP nicht innerhalb der Frist, gilt die Genehmigung als erteilt (Dekret 2-09-165, Art. 28); dasselbe gilt für Übermittlungsanträge (Art. 48). Nach Angaben der CNDP laufen die Fristen aber erst ab Vollständigkeit der Akte, und unvollständige Akten werden zurückgewiesen. Wir empfehlen daher, eine schriftliche Entscheidung abzuwarten oder zumindest nachweisbar festzuhalten, wann die Akte vollständig war.
Die Angaben der Empfangsbestätigung oder der Genehmigung müssen anschließend in den Erhebungs- und Informationsunterlagen erscheinen (Art. 5 und Art. 19). Jede Änderung einer gemeldeten Verarbeitung, etwa ein neuer Empfänger oder eine neue Übermittlung, ist der CNDP unverzüglich mitzuteilen (Art. 15). Bei einer genehmigten Verarbeitung erfordert jede Änderung der Angaben im Antrag einen neuen Antrag (Dekret 2-09-165, Art. 27). Änderungen einer Übermittlung sind der CNDP binnen 8 Werktagen mitzuteilen (Dekret, Art. 49).
Wie lassen sich Daten an eine Muttergesellschaft im Ausland übermitteln?
Der Grundsatz steht in Art. 43. Ein Verantwortlicher darf personenbezogene Daten nur in einen Staat übermitteln, der ein ausreichendes Schutzniveau für Privatsphäre und Grundrechte gewährleistet. Das Gesetz überträgt der CNDP die Aufstellung der Liste dieser Staaten (Art. 43 Abs. 3).
Die Liste wurde durch den CNDP-Beschluss Nr. 465-2013 vom 6. September 2013 festgelegt und durch Beschluss Nr. 236-2015 vom 18. Dezember 2015 geändert. Sie umfasst unter anderem Deutschland, Österreich, Belgien, Spanien, Frankreich, Italien, die Niederlande, Portugal, das Vereinigte Königreich, die Schweiz und Norwegen. Die Vereinigten Staaten stehen nicht darauf, Kroatien ebenfalls nicht.
Die Aufnahme in die Liste ersetzt das Verfahren nicht. Die Liste gilt unter dem Vorbehalt, dass jede Übermittlung der CNDP im jeweils passenden Verfahren angezeigt wird, und die Übermittlung muss in der Meldung der Verarbeitung angegeben sein (Art. 15-e). Die CNDP erteilt eine Übermittlungsgenehmigung erst, wenn die zugrunde liegende Verarbeitung gemeldet oder genehmigt ist. Die Anträge sind daher nacheinander zu stellen. Eine Übermittlung innerhalb einer Unternehmensgruppe für dieselben Datenkategorien und Zwecke kann Gegenstand einer gemeinsamen Meldung sein (Dekret 2-09-165, Art. 50).
In ein Land außerhalb der Liste ist die Übermittlung nach Art. 44 in drei Fällen zulässig:
- bei ausdrücklicher Einwilligung der betroffenen Person, oder wenn die Übermittlung erforderlich ist, um ihr Leben zu schützen, das öffentliche Interesse zu wahren, ein Recht vor Gericht festzustellen oder zu verteidigen, einen Vertrag mit ihr oder in ihrem Interesse zu erfüllen, eine Maßnahme der internationalen Rechtshilfe auszuführen, oder aus medizinischen Gründen (Art. 44 Abs. 1 und 44-1);
- auf Grundlage eines bilateralen oder multilateralen Abkommens, dem Marokko angehört (Art. 44-2);
- mit ausdrücklicher, begründeter Genehmigung der CNDP, wenn die Verarbeitung ein ausreichendes Schutzniveau gewährleistet, insbesondere durch Vertragsklauseln oder interne Regeln (Art. 44-3).
Für eine Unternehmensgruppe ist der dritte Weg der tragfähige. Eine konzerninterne Übermittlungsvereinbarung oder verbindliche interne Datenschutzvorschriften (BCR), gefolgt von einer CNDP-Genehmigung, decken ein HR-System oder ein Hosting außerhalb der Liste dauerhaft ab, etwa in den Vereinigten Staaten. Die Einwilligung der Arbeitnehmer ist eine schwache Grundlage, weil sie ausdrücklich sein muss und widerrufen werden kann. Für Übermittlungen in umgekehrter Richtung, aus der EU nach Marokko nach der DSGVO, siehe unseren Leitfaden Datenübermittlung EU–Marokko.
Arbeitnehmerdaten: welche Regeln für welche Verarbeitung?
Personalverwaltung. Die CNDP hat mit Beschluss Nr. 298-AU-2014 vom 11. April 2014 ein Muster für den Genehmigungsantrag zur Personalverwaltung im privaten Sektor festgelegt. Die Personalverwaltung läuft daher in der Regel über eine Genehmigung gemäß dieser Entscheidung, nicht über eine bloße Meldung. Zur Akte gehört der Musterarbeitsvertrag mit seiner Datenschutzklausel.
Videoüberwachung. Maßgeblich ist der Beschluss Nr. 350-2013 vom 31. Mai 2013. Zulässiger Zweck ist die Sicherheit von Sachen und Personen. Kameras dürfen nicht der Überwachung eines oder mehrerer Arbeitnehmer dienen und keine Gebetsräume, Gewerkschaftsräume, Toiletten, Besprechungsräume oder Pausenbereiche erfassen. Aufnahmen werden höchstens drei Monate gespeichert. Ein Hinweisschild mit der Nummer der CNDP-Empfangsbestätigung ist anzubringen. Ein Beschluss-konformes System wird mit Konformitätserklärung gemeldet; ein abweichendes System ist genehmigungspflichtig.
Biometrie. Biometrische Zugangskontrolle regelt der Beschluss Nr. 478-2013 vom 1. November 2013. Sie ist genehmigungspflichtig und sensiblen Räumen und Anlagen mit Zugangsbeschränkung vorbehalten, die ein erhebliches, über das Eigeninteresse des Unternehmens hinausgehendes Sicherheitsinteresse betreffen. Der Verantwortliche muss darlegen, warum ein weniger eingriffsintensives Verfahren nicht genügt. Das System dient der Authentifizierung, nicht der Identifizierung, grundsätzlich ohne zentrale Datenbank, mit Speicherung auf einem Träger, den die Person selbst besitzt. Die Arbeitszeiterfassung ist kein zulässiger Zweck für Biometrie.
Hinweisgebersysteme. Sie unterliegen dem Beschluss Nr. 351-2013 vom 31. Mai 2013 und werden mit einer Erklärung über die Einhaltung dieses Beschlusses gemeldet.
Ortung von Fahrzeugen. Die Nummer eines eigenen Beschlusses zur Ortung von Arbeitnehmern konnten wir auf der Website der CNDP nicht bestätigen. Ohne verifizierten Standardrahmen gelten die allgemeinen Regeln: Meldung, oder Genehmigung, wenn die Datei CIN-Nummern enthält (Art. 12), vorherige Information der Arbeitnehmer (Art. 5) und eine auf den Zweck begrenzte Speicherdauer (Art. 3).
Mit welcher Dauer ist zu rechnen?
Der folgende Zeitplan ist eine Schätzung aus der Praxis auf Grundlage der oben genannten amtlichen Fristen.
| Schritt | Richtwert |
|---|---|
| Bestandsaufnahme der Verarbeitungen und Wahl des Regimes (Art. 12) | 2 bis 4 Wochen |
| Unterlagen: Informationstexte, Arbeitsverträge, Auftragsverarbeitungsverträge, Konzernvereinbarung | 2 bis 6 Wochen |
| Meldungen | Empfangsbestätigung binnen 24 Stunden, danach 8 Tage, in denen die CNDP eine Genehmigung verlangen kann |
| Genehmigungen, unter anderem Personal und Biometrie | 2 Monate, einmal verlängerbar (das Dekret legt die Dauer der Verlängerung nicht fest) |
| Übermittlung außerhalb der Liste, nach dem Verfahren für die zugrunde liegende Verarbeitung | 2 Monate, einmal verlängerbar |
Für eine Tochtergesellschaft, die ihre Personaldatei aufbaut und mit einer Muttergesellschaft teilt, die einen Dienstleister außerhalb der Liste nutzt, rechnen wir in der Praxis mit insgesamt vier bis acht Monaten. Die Übermittlungsgenehmigung kann erst nach dem Verfahren für die Hauptverarbeitung erteilt werden.
Welche Sanktionen drohen?
| Artikel | Verstoß | Strafe |
|---|---|---|
| 51 | Verarbeitung, die die Sicherheit, die öffentliche Ordnung oder die guten Sitten verletzt | Entzug der Empfangsbestätigung oder Genehmigung durch die CNDP |
| 52 | Verarbeitung ohne Meldung oder Genehmigung, oder Fortsetzung nach Entzug | Geldstrafe von 10.000 bis 100.000 MAD |
| 53 | Verweigerung der Auskunfts-, Berichtigungs- oder Widerspruchsrechte | Geldstrafe von 20.000 bis 200.000 MAD je Verstoß |
| 54 bis 56 | Unlautere Erhebung, Zweckentfremdung, überlange Speicherung, Verarbeitung ohne Rechtsgrundlage | 3 Monate bis 1 Jahr Freiheitsstrafe und/oder 20.000 bis 200.000 MAD |
| 57 | Sensible Daten ohne ausdrückliche Einwilligung; Daten über Straftaten | 3 Monate bis 1 Jahr und/oder 50.000 bis 300.000 MAD |
| 58 | Fehlende Sicherheitsmaßnahmen nach Art. 23 und 24 | 3 Monate bis 1 Jahr und/oder 20.000 bis 200.000 MAD |
| 60 | Übermittlung unter Verstoß gegen Art. 43 und 44 | 3 Monate bis 1 Jahr und/oder 20.000 bis 200.000 MAD |
| 61 | Missbräuchliche Nutzung oder Weitergabe an Unbefugte, auch fahrlässig | 3 Monate bis 1 Jahr und/oder 20.000 bis 200.000 MAD |
| 62 | Behinderung von Kontrollen der CNDP | 3 bis 6 Monate und/oder 10.000 bis 50.000 MAD |
| 63 | Weigerung, Entscheidungen der CNDP umzusetzen | 3 Monate bis 1 Jahr und/oder 10.000 bis 100.000 MAD |
Ist der Täter eine juristische Person, verdoppeln sich die Geldstrafen, unbeschadet der Strafen gegen ihre Geschäftsleiter. Gegen die juristische Person kann zudem eine der folgenden Strafen verhängt werden: teilweise Einziehung ihres Vermögens, Einziehung nach Art. 89 des Strafgesetzbuchs oder Schließung der Betriebsstätte(n), in der die Tat begangen wurde (Art. 64). Ein Rückfall mit einer gleichartigen Tat innerhalb eines Jahres nach rechtskräftiger Verurteilung verdoppelt die Strafen erneut (Art. 65). Bestellte und vereidigte Bedienstete der CNDP stellen Verstöße in Protokollen fest, die binnen 5 Tagen an die Staatsanwaltschaft gehen (Art. 66).
Welche Fehler sehen wir am häufigsten?
- Die Annahme, eine Übermittlung in ein Land der Liste sei verfahrensfrei.
- Die Personalverwaltung nur zu melden, obwohl die Datei CIN-Nummern enthält und genehmigungspflichtig ist.
- Den Übermittlungsantrag zu stellen, bevor die Empfangsbestätigung oder Genehmigung für die zugrunde liegende Verarbeitung vorliegt.
- Videoüberwachung oder Biometrie zur Arbeitszeitkontrolle einzusetzen.
- Ein Hinweisschild zur Videoüberwachung ohne die Nummer der Empfangsbestätigung.
- Einen neuen Empfänger oder Dienstleister nach der ersten Meldung nicht mitzuteilen (Art. 15).
- Eine unvollständige Akte einzureichen, die zurückgewiesen wird und keine Frist in Gang setzt.
Ist eine Reform in Arbeit?
Geltendes Recht sind weiterhin das Gesetz 09-08 und die Durchführungsverordnung Nr. 2-09-165, ergänzt durch die Beschlüsse der CNDP. Am 28. November 2025 hat die CNDP neue Beschlüsse erlassen, darunter Beschluss Nr. D-939-2025 zur vereinfachten Meldung von Cookies. Eine Neufassung des Gesetzes mit Annäherung an die DSGVO wird seit mehreren Jahren diskutiert; nach unserer Kenntnis war zum Datum dieses Beitrags kein Ersatzgesetz im Bulletin officiel veröffentlicht.
Amtliche Quellen
- Gesetz Nr. 09-08 über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, verkündet durch Dahir Nr. 1-09-15 vom 18. Februar 2009, Bulletin officiel Nr. 5714 vom 5. März 2009.
- Dekret Nr. 2-09-165 vom 21. Mai 2009 zur Anwendung des Gesetzes 09-08, Bulletin officiel Nr. 5744 vom 18. Juni 2009, insbesondere Art. 27, 28 und 46 bis 50.
- CNDP-Beschlüsse Nr. 350-2013 und Nr. 351-2013 vom 31. Mai 2013, Nr. 465-2013 vom 6. September 2013, Nr. 478-2013 vom 1. November 2013, Nr. 298-AU-2014 vom 11. April 2014, Nr. 236-2015 vom 18. Dezember 2015, Nr. D-939-2025 und Nr. D-943-2025 vom 28. November 2025.
- CNDP, Seiten „Formalités“ und „Transfert de données à l’étranger“ sowie „Liste des infractions à la loi n° 09-08 et des sanctions prévues“ (cndp.ma).
Dieser Beitrag gibt die Rechtslage zum 2. Oktober 2026 wieder. Er ist keine Rechtsberatung.
Zur Praxis: Die CNDP prüft Akten anhand eigener Formulare und Erwartungen, die sich mit jedem Beschluss ändern. Eine Akte, die im Ausland allein auf Grundlage des Gesetzestextes vorbereitet wurde, kommt häufig mit Nachforderungen zurück. Eine Durchsicht in Marokko vor der Einreichung ist der einfachste Weg, den Zeitplan zu halten.
Änderungen im Handelsregister
Gesellschaftsrechtliche Arbeit rund um die Adresse
Arbeitssprachen