CNDP und Website in Marokko: Welche Pflichten gelten 2026 für personenbezogene Daten?

Die CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) ist die unabhängige marokkanische Behörde, die zuständig ist für:

✅ Die Entgegennahme der Meldungen und die Erteilung der Verarbeitungsgenehmigungen ✅ Die Kontrolle der Konformität der Verantwortlichen, vor Ort und anhand von Unterlagen ✅ Die Bearbeitung der Beschwerden betroffener Personen ✅ Die Feststellung von Verstößen und die Befassung der Staatsanwaltschaft ✅ Die Beratung der Unternehmen und die Veröffentlichung von Empfehlungen und vereinfachten Verfahren

Rechtsgrundlage: Gesetz Nr. 09-08, verkündet durch den Dahir Nr. 1-09-15 vom 18. Februar 2009, und Durchführungsdekret Nr. 2-09-165 vom 21. Mai 2009. Eine Reform, die diesen Rahmen an die europäische DSGVO annähern soll, ist in Vorbereitung, doch das Gesetz 09-08 bleibt im Jahr 2026 der anwendbare Text.

Offizielle Website: www.cndp.ma (Meldeformulare, Entscheidungen und Empfehlungen)

Jede Information über eine bestimmte oder bestimmbare natürliche Person:

✅ Identität: Name, Vorname, Foto, Unterschrift, Geburtsdatum ✅ Kontaktdaten: E-Mail, Telefon, Postanschrift ✅ Kennungen: CIN-Nummer, Kundennummer, Cookie-Kennung ✅ Technische Daten: IP-Adresse, Geolokalisierung, Gerätekennung ✅ Sensible Daten: rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, genetische Daten ✅ Bankdaten: RIB (Bankverbindung), Kartennummer (auch teilweise) ✅ Browserdaten: Verlauf, Online-Verhalten

Beispiel: Eine Liste von Kunden-E-Mail-Adressen stellt eine Datei personenbezogener Daten dar, die dem Gesetz 09-08 unterliegt.

❌ Anonymisierte Daten: Identifizierung der Person unmöglich, auch nicht indirekt (z. B. „25 % der Besucher …“) ❌ Daten über eine juristische Person: Firma, ICE, Anschrift des Sitzes ❌ Technische Daten, die keiner Person zugeordnet werden können (aggregierter Browsertyp, Gesamtstatistiken)

Wenn Sie personenbezogene Daten erheben, muss jede Verarbeitung Gegenstand einer Vorabmeldung (déclaration préalable) bei der CNDP sein. Eine vorherige Genehmigung (autorisation préalable) ist erforderlich für die Verarbeitung sensibler Daten, von Daten über Straftaten, für Verknüpfungen von Dateien (interconnexions) und für Zweckänderungen. Datenübermittlungen ins Ausland (Hosting, CRM- oder E-Mailing-Tools außerhalb Marokkos) müssen der CNDP vorgelegt werden: Sie sind in die Länder zulässig, die auf ihrer Liste der Staaten mit angemessenem Schutzniveau stehen (Beschluss Nr. 465-2013, geändert 2015), und erfordern für die übrigen Länder eine vorherige Genehmigung, vorbehaltlich gesetzlich vorgesehener Ausnahmen wie der ausdrücklichen Einwilligung der Person.

Betroffene Fälle:

• ✅ Newsletter (Kunden-E-Mails)
• ✅ Kontaktformulare (Name, E-Mail, Telefon)
• ✅ Kundenbereich (Konto mit Profil)
• ✅ Cookies zur Reichweitenmessung und Werbung
• ✅ Bewerbungsformulare
• ✅ Blogkommentare, Online-Chat

Nicht betroffene Fälle:

• ❌ Rein informative Website, ohne Formular und ohne Datenerhebung
• ❌ Website, die nur für den Betrieb unbedingt erforderliche Cookies verwendet

Meldeverfahren:

1. Vorbereitung der Akte: Beschreibung der Verarbeitung (Zweck, erhobene Daten, Kategorien betroffener Personen, Empfänger, Speicherdauer), Sicherheitsmaßnahmen, Ort des Hostings der Daten
2. Einreichung bei der CNDP: offizielles Meldeformular, online über die Plattform CNDP-FORMS (www.cndp.ma) oder am Sitz der Kommission eingereicht; Gebühren: kostenlos. Für gängige Verarbeitungen (Personalverwaltung, Newsletter, Zugangskontrolle) und für Cookies gibt es vereinfachte Verfahren
3. Prüfung: Die CNDP stellt eine Eingangsbestätigung der Meldung (récépissé) aus; über eine Genehmigung entscheidet sie innerhalb der gesetzlich vorgesehenen Frist, grundsätzlich zwei Monate
4. Eingangsbestätigung oder Genehmigung: Ihre Nummer muss in Ihren Formularen und in Ihrer Datenschutzerklärung angegeben werden

Muster einer CNDP-Meldung:

MELDUNG EINER VERARBEITUNG (VORABMELDUNG)

Verantwortlicher: [Firma, Rechtsform, RC, ICE]
Anschrift: [Gesellschaftssitz]
Vertreter: [Name des Geschäftsleiters oder des benannten Verantwortlichen]
Kontakt: [E-Mail / Telefon]

VERARBEITUNG:
Zweck: Verwaltung des Kunden-Newsletters
Erhobene Daten: E-Mail, Name, Vorname
Kategorien von Personen: Kunden und Interessenten
Speicherdauer: 3 Jahre nach dem letzten Kontakt
Empfänger: internes Marketingteam, E-Mailing-Dienstleister
Hosting der Daten: [Marokko / ausländischer Staat: Übermittlung der CNDP gemeldet oder, wenn das Land nicht auf ihrer Liste steht, genehmigt]

SICHERHEITSMASSNAHMEN:
- Website mit HTTPS, verschlüsselte Datenbank
- Zugang auf befugte Personen beschränkt, starke Passwörter
- Regelmäßige Sicherungen
- Veröffentlichte Datenschutzerklärung

Anlage: Datenschutzerklärung der Website

💡 Tipp: Melden Sie auch eine einfache Verarbeitung. Die Formalität ist kostenlos, und die Meldung ist das erste Dokument, das bei einer Kontrolle verlangt wird.

Verpflichtend auf jeder Website, die Daten erhebt, verwirklicht sie das im Gesetz 09-08 vorgesehene Recht auf Information.

Mindestinhalt:

Vereinfachtes Muster einer Datenschutzerklärung:

DATENSCHUTZERKLÄRUNG
[Name der Website]

1. VERANTWORTLICHER
[Firma], [Gesellschaftssitz], RC Nr. [..], ICE Nr. [..]
Kontakt: [E-Mail]

2. ERHOBENE DATEN
- E-Mail, Name und Vorname (Kontakt- und Newsletter-Formulare)
- IP-Adresse und Browserdaten (Server-Logs, Cookies)
- Bestell- und Lieferdaten (Online-Shop)

3. ZWECKE UND RECHTSGRUNDLAGE
- Beantwortung Ihrer Anfragen (Durchführung der vorvertraglichen Beziehung)
- Versand des Newsletters (Einwilligung)
- Reichweitenmessung und Verbesserung der Website (Einwilligung für nicht notwendige Cookies)

4. SPEICHERDAUER
- Kontakte: 1 Jahr nach der Anfrage
- Newsletter-Abonnenten: 3 Jahre nach dem letzten Kontakt
- Bestelldaten: Vertragsdauer, danach gesetzliche Aufbewahrungsfristen für Buchhaltungsunterlagen (10 Jahre)

5. IHRE RECHTE
Gemäß dem Gesetz 09-08 haben Sie ein Recht auf Auskunft, Berichtigung
und Widerspruch, insbesondere gegen Direktwerbung.
Zur Ausübung: [E-Mail]. Sie können sich auch an die CNDP wenden (www.cndp.ma).

6. SICHERHEIT
Website mit HTTPS, eingeschränkter Zugang, regelmäßige Sicherungen.

7. COOKIES
Sitzungscookies (notwendig); Cookies zur Reichweitenmessung und Werbung
(vorbehaltlich Ihrer Einwilligung, jederzeit änderbar).

8. ÜBERMITTLUNGEN UND FORMALITÄTEN
Diese Verarbeitung wurde der CNDP unter Nr. [..] gemeldet. Für die außerhalb
Marokkos gehosteten Daten liegt gegebenenfalls eine Übermittlungsgenehmigung Nr. [..] vor.

Zuletzt aktualisiert: [Datum]

Wo sie platziert wird:

• ✅ Link in der Fußzeile jeder Seite der Website
• ✅ Eigene Seite (/datenschutzerklaerung)
• ✅ Link in jedem Formular, vor dem Absenden
• ✅ Lesbarer und zugänglicher Text (eine unleserliche Formulierung kommt einer fehlenden Information gleich)

Bei jeder Datenerhebung muss der Nutzer informiert werden und, wenn die Verarbeitung auf seiner Einwilligung beruht, diese durch eine aktive Handlung erklären. Direktwerbung per E-Mail oder SMS ist ohne vorherige Einwilligung verboten (Gesetz 09-08).

Arten der Einwilligung:

Umsetzung:

✅ Newsletter-Formular

☐ Ich bin damit einverstanden, den Newsletter von [Name] zu erhalten (Einwilligung)
 Die erhobenen Informationen sind für [Name] zum Versand des Newsletters bestimmt.
 Der CNDP unter Nr. [..] gemeldete Verarbeitung. Rechte auf Auskunft, Berichtigung
 und Widerspruch: [E-Mail]. [Datenschutzerklärung lesen]
 [Anmelden]

✅ Cookie-Banner

Diese Website verwendet Cookies zur Reichweitenmessung und Werbung.
[Alle akzeptieren] [Nicht notwendige Cookies ablehnen] [Einstellungen]

❌ Zu vermeiden:

Durch den Besuch dieser Website akzeptieren Sie unsere Cookies und unsere Richtlinie … (keine echte Einwilligung)
Vorangekreuztes Kästchen „Angebote unserer Partner erhalten“ (keine freiwillige Einwilligung)

Nachweis der Einwilligung:

• Protokolle aufbewahren: wer eingewilligt hat, wann, auf welchem Weg
• Bestätigungs-E-Mail der Anmeldung (Double-Opt-in empfohlen)
• Protokollierung der Cookie-Entscheidungen, einschließlich der Ablehnungen

Der Betreiber einer Handelswebsite muss seine Identifizierung ermöglichen, gemäß dem Gesetz 31-08 (Verbraucherinformation bei Fernabsatzverträgen) und dem Handelsgesetzbuch (Code de commerce; Angabe der Nummer im Handelsregister auf Geschäftsunterlagen). Das folgende Muster enthält auch die gemeinsame Unternehmenskennung (Identifiant commun de l'entreprise, ICE) und die Steuer-Identifikationsnummer:

IMPRESSUM

Herausgeber der Website: [Firma], [Rechtsform], Kapital [..] MAD
Gesellschaftssitz: [Anschrift]
RC: [Nummer und Stadt]  |  ICE: [Nummer]  |  IF: [Nummer]
Verantwortlich für die Veröffentlichung: [Name]
Kontakt: [E-Mail / Telefon]

Hosting-Anbieter: [Name und Anschrift des Hosting-Anbieters]

Geistiges Eigentum: Die Inhalte (Texte, Bilder, Logos) sind geschützt;
jede Vervielfältigung ohne Genehmigung ist untersagt.

Personenbezogene Daten: siehe Datenschutzerklärung (CNDP-Meldung Nr. [..]).

Das Gesetz 09-08 verpflichtet den Verantwortlichen, die geeigneten technischen und organisatorischen Maßnahmen zum Schutz der Daten zu treffen.

Technisch:

✅ HTTPS-Verschlüsselung: gültiges SSL-Zertifikat auf der gesamten Website, einschließlich der Formulare ✅ Authentifizierung: starke Passwörter, Zwei-Faktor-Authentifizierung für Administratorzugänge ✅ Verschlüsselung und Abschottung: sensible Daten verschlüsselt, getrennte Administrationsoberfläche ✅ Sicherungen: regelmäßige Kopien, sicher gespeichert ✅ Updates: CMS, Erweiterungen und Server auf dem neuesten Stand gehalten

Organisatorisch:

✅ Interne Richtlinie: schriftliche Verfahren, Sensibilisierung des Personals, Zugang auf befugte Personen beschränkt ✅ Verträge mit Dienstleistern: Hosting-Anbieter, Webagentur, E-Mailing-Lösung, Zahlungsgateway, mit Vertraulichkeits- und Sicherheitsklauseln; CNDP-Genehmigung für Dienstleister, die in einem Land ansässig sind, das nicht auf der Liste der CNDP steht ✅ Vorfallmanagement: Verfahren bei einer Datenschutzverletzung; das Gesetz 09-08 schreibt keine förmliche Meldung vor, doch die Information der CNDP und der betroffenen Personen wird dringend empfohlen

Das Gesetz 09-08 schreibt keine bezifferten Fristen vor: Die Dauer wird in seiner Meldung vom Verantwortlichen festgelegt und muss dem Zweck angemessen sein. Üblicherweise anerkannte Referenzfristen:

Die Aufbewahrungsdauer von Rechnungen und Buchhaltungsbelegen richtet sich nach den Buchführungspflichten der Gesellschaften in Marokko.

Löschverfahren:

• Automatische Löschung nach Ablauf der Frist: Die Daten werden gelöscht oder anonymisiert
• Löschung auf Antrag der Person, außer bei gesetzlicher Aufbewahrungspflicht (zum Beispiel Rechnungen 10 Jahre lang), mit schriftlicher Bestätigung an den Antragsteller
• Dokumentiertes und überprüfbares Verfahren

Jede betroffene Person hat folgende Rechte:

1. Recht auf Information: zum Zeitpunkt der Erhebung die Identität des Verantwortlichen, die Zwecke, die Empfänger und ihre Rechte erfahren
2. Auskunftsrecht: eine Bestätigung erhalten, dass ihre Daten verarbeitet werden, und eine verständliche Kopie davon erhalten
3. Recht auf Berichtigung: unrichtige, unvollständige oder unrechtmäßig verarbeitete Daten berichtigen, vervollständigen, aktualisieren oder löschen lassen
4. Widerspruchsrecht: aus legitimen Gründen der Verarbeitung ihrer Daten und ohne Angabe von Gründen ihrer Verwendung zu Zwecken der Direktwerbung widersprechen
5. Schutz vor automatisierten Entscheidungen: keiner Entscheidung mit Rechtswirkung unterworfen werden, die ausschließlich auf einer automatisierten Verarbeitung beruht

Das Gesetz 09-08 sieht kein Recht auf Datenübertragbarkeit vor; es ist jedoch gute Praxis, die Daten in einem lesbaren Format herauszugeben.

Empfohlenes Verfahren:

1. Eingang: zentrale Kontaktstelle (eigene E-Mail-Adresse), in der Datenschutzerklärung angegeben
2. Überprüfung der Identität des Antragstellers vor jeder Mitteilung
3. Bearbeitung: Mitteilung der Daten, Berichtigung oder Einstellung der Verarbeitung, ohne übermäßige Verzögerung; eine Frist von höchstens einem Monat ist ein vorsichtiger Richtwert
4. Dokumentation: Aufbewahrung des Antrags und der Antwort, um bei einer Kontrolle die Konformität nachzuweisen

Die CNDP kann jeden in Marokko niedergelassenen Verantwortlichen kontrollieren, unabhängig von seiner Größe:

✅ E-Commerce (Kunden- und Lieferdaten) ✅ SaaS und Apps (Nutzerdaten) ✅ Blogs und Medien (Kommentare, Newsletter) ✅ Online-Dienste (Reservierungen, Terminbuchungen) ✅ Stationäre Geschäfte mit einem CRM oder einem Treueprogramm

Im Gesetz 09-08 vorgesehene strafrechtliche Sanktionen (Kapitel über die Sanktionen, Artikel 52 ff.):

Für juristische Personen werden die Geldstrafen verdoppelt, unbeschadet der Strafen, die ihren Geschäftsleitern drohen; sie werden auch im Wiederholungsfall verdoppelt. Das Gericht kann außerdem die Einziehung des Materials und die Schließung des Betriebs anordnen. In der Praxis richtet die CNDP zunächst eine förmliche Aufforderung (mise en demeure) an den Betroffenen, bevor sie die Staatsanwaltschaft befasst. Die übrigen Sanktionen bei Nichteinhaltung von Vorschriften durch Unternehmen (steuerlich, sozialrechtlich, handelsrechtlich) werden in einem eigenen Leitfaden dargestellt.

💡 Tipp: Eine freiwillige Herstellung der Konformität kostet immer weniger als eine erlittene Kontrolle.

Wenn die CNDP Sie kontaktiert:

1. Benachrichtigung: Die CNDP informiert den Verantwortlichen über eine Kontrolle anhand von Unterlagen oder vor Ort oder lädt ihn zur Anhörung vor
2. Vorbereitung: die Eingangsbestätigungen der Meldungen, die Genehmigungen, die Datenschutzerklärung, die Einwilligungsregister und die Sicherheitsdokumentation zusammenstellen
3. Kontrolle: Die vereidigten Bediensteten prüfen die Verarbeitungen, die Systeme und die Verträge mit den Dienstleistern
4. Bericht und förmliche Aufforderung: Für festgestellte Abweichungen wird eine Frist zur Behebung gesetzt
5. Folgen: Nachkontrolle; erfolgt keine Behebung, Weiterleitung an die Staatsanwaltschaft und strafrechtliche Sanktionen