Stand: 14. September 2026. Status: Beschlossen, noch nicht in Kraft. Rechtsakt: Zakon o zaštiti podataka o ličnosti (Gesetz zum Schutz personenbezogener Daten), „Sl. list CG" 133/2026, Akt 2294; von der Skupština am 4. September 2026 beschlossen (EPA 1164 XXVIII), Ausfertigungsdekret 01-009/26-1569/2 vom 8. September 2026, verkündet am 11. September 2026. 106 Artikel; das Gesetz ersetzt das Gesetz von 2008 und ändert es nicht nur. Es tritt am achten Tag nach der Verkündung in Kraft, am 19. September 2026, und gilt sechs Monate später, ab dem 19. März 2027 (Art. 106).
Deutsche Unternehmen mit montenegrinischer Tochter haben die Datenschutzakte dort meist auf eine von zwei Arten angelegt: als Kopie des Konzernprogramms nach DSGVO oder zugeschnitten auf das Gesetz von 2008, dessen Bußgeldobergrenze für eine juristische Person 20.000 € betrug. Die zweite Rechnung war vertretbar. Ab dem 19. März 2027 ist sie es nicht mehr: Die Obergrenze liegt dann bei 2.000.000 € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die erste Variante hat eine eigene Falle, und die steckt in Art. 104, bei den Standardvertragsklauseln.
Was der Text sagt
Der Anwendungsbereich reicht über die Grenze. Das Gesetz gilt für Verarbeitungen im Rahmen der Tätigkeit einer Niederlassung in Montenegro, gleich wo verarbeitet wird (Art. 3 Abs. 1). Es gilt auch für Verantwortliche ohne Niederlassung in Montenegro, wenn die Verarbeitung damit zusammenhängt, Personen in Montenegro entgeltlich oder unentgeltlich Waren oder Dienstleistungen anzubieten oder ihr Verhalten dort zu beobachten (Art. 3 Abs. 2). Ein solcher Verantwortlicher muss schriftlich einen Vertreter in Montenegro benennen (Art. 28 Abs. 1). Ausgenommen sind gelegentliche Verarbeitungen ohne umfangreiche besondere Kategorien oder Strafdaten und ohne wahrscheinliches Risiko sowie öffentliche Stellen (Art. 28 Abs. 2).
Die Antwortfrist für Betroffene steht jetzt im Gesetz: unverzüglich, spätestens einen Monat nach Eingang, verlängerbar um höchstens zwei weitere Monate, wobei Verlängerung und Gründe innerhalb des ersten Monats mitzuteilen sind (Art. 13 Abs. 3). Die Auskunft ist unentgeltlich; bei offenkundig unbegründeten oder exzessiven Anträgen trägt der Verantwortliche die Beweislast (Art. 13).
Vier Pflichten tragen eine Frist oder Zahl. Datenpannen gehen unverzüglich und möglichst binnen 72 Stunden an die Agentur; eine spätere Meldung nennt die Gründe der Verzögerung (Art. 34). Ein Datenschutzbeauftragter ist Pflicht für öffentliche Stellen, bei umfangreicher regelmäßiger und systematischer Überwachung und bei umfangreicher Verarbeitung besonderer Kategorien und Strafdaten (Art. 38 Abs. 1). Das Verzeichnis von Verarbeitungstätigkeiten ist zu führen; die Ausnahme für unter 250 Beschäftigte entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt (Art. 31). Und jeder Verantwortliche muss einen Kanal für vertrauliche Meldungen von Gesetzesverstößen einrichten (Art. 82 Abs. 1).
| Verstoß | Obergrenze oder Rahmen | Artikel |
|---|---|---|
| Pflichten aus Art. 9, 12 und 26-40 (Vertreter, Verzeichnis, Sicherheit, 72-Stunden-Meldung, Folgenabschätzung, Beauftragter) | bis 1.000.000 € oder bei Gesellschaften 2 % des weltweiten Jahresumsatzes, der höhere Betrag | Art. 88 Abs. 1 |
| Grundsätze und Einwilligung (Art. 6-8), Betroffenenrechte (Art. 13-23), Übermittlung entgegen Art. 46-50 | bis 2.000.000 € oder 4 %, der höhere Betrag | Art. 88 Abs. 2 |
| Keine Zusammenarbeit mit der Agentur, Missachtung ihrer Anordnung | bis 2.000.000 € oder 4 % | Art. 88 Abs. 3 |
| Versäumte 72-Stunden-Meldung, Geheimnisbruch, Zutrittsverweigerung gegenüber dem Kontrolleur, kein Meldekanal | juristische Person 150 bis 2.000 € (Ordnungswidrigkeit) | Art. 89 Abs. 1 |
| Behörden, Gemeinden, öffentliche Einrichtungen | kein Verwaltungsbußgeld | Art. 88 Abs. 4 |
Das Bußgeld verhängt die Agentur selbst; dagegen steht der Verwaltungsrechtsweg offen (Art. 87, 90).
Bei Übermittlungen bricht die Konzernvorlage. Über die Angemessenheit eines Drittlands entscheidet die Regierung Montenegros nach Stellungnahme der Agentur, nicht die Europäische Kommission (Art. 46 Abs. 1). Art. 47 Abs. 2 zählt Garantien ohne gesonderte Genehmigung auf; Nummer 3 sind die Standardvertragsklauseln der Kommission. Art. 104 stellt genau diese Nummer bis zum EU-Beitritt Montenegros zurück. Vertragsklauseln mit einem Empfänger im Ausland bleiben möglich, nach Art. 47 Abs. 3 aber mit Genehmigung der Agentur. Ein ausländisches Urteil, das Daten verlangt, wird nur auf Grundlage eines geltenden internationalen Abkommens anerkannt (Art. 49).
Zum Übergang: Das Register der Datensammlungen wird ab dem 19. März 2027 nicht mehr geführt (Art. 99). Andere Gesetze werden bis zum 1. Dezember 2026 angepasst (Art. 102). Das Gesetz von 2008 tritt am 19. März 2027 außer Kraft, mit Ausnahme seiner Videoüberwachungsartikel 35 bis 40a (Art. 105).
Was der Text nicht sagt
Eine versäumte 72-Stunden-Meldung fällt unter Art. 88 Abs. 1 und zugleich unter Art. 89 Abs. 1 Nr. 1. Art. 89 schließt aus, beides für denselben Verstoß zu verhängen, sagt aber nicht, nach welchem Maßstab die Agentur zwischen 1.000.000 € und 150 bis 2.000 € wählt. Diesen Maßstab können wir nicht zeigen. Art. 98 überlässt dem alten Gesetz nur Verfahren, die am 19. März 2027 noch offen sind; für einen vorher begangenen Verstoß mit späterem Verfahrensbeginn fehlt eine Regel. Und Art. 104 sagt nicht, ob ein bestehender Vertrag auf Basis der Kommissionsklauseln als genehmigungspflichtige Vertragsklausel nach Art. 47 Abs. 3 gilt.
Unsere Lesart
Vor dem 19. März 2027 stehen drei Schritte an. Erstens Art. 3 Abs. 2 prüfen und, wo er greift, den Vertreter nach Art. 28 schriftlich benennen. Zweitens jeden Datenfluss aus Montenegro auflisten und die auf Kommissionsklauseln gestützten markieren; solange Art. 104 Nummer 3 zurückhält, lesen wir einen solchen Vertrag als Vertragsklausel nach Art. 47 Abs. 3 und empfehlen, die Genehmigung der Agentur einzuholen. Drittens das 72-Stunden-Verfahren und den Meldekanal als Dokumente mit Verantwortlichem aufsetzen; beides ist nach Art. 89 bußgeldbewehrt. Die Compliance nach dem Gesetz von 2008 sollten Sie bis zum Stichtag nicht abbauen.
Was sich nicht ändert
Aufsichtsbehörde bleibt die Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (Art. 52). Bis zum 19. März 2027 gilt das Gesetz von 2008 mit 20.000 € Obergrenze; seine Logik beschreiben wir auf Englisch unter Montenegro is not a GDPR country. Datenverarbeitung durch Polizei und Staatsanwaltschaft für Strafzwecke fällt nicht unter dieses Gesetz (Art. 2 Abs. 2 Nr. 2), sondern unter das Gesetz 132/2026, das wir unter Polizeidaten in Montenegro darstellen. Gerichte in Rechtsprechungstätigkeit beaufsichtigt die Agentur weiterhin nicht (Art. 63 Abs. 2). Die DSGVO wird auch nicht montenegrinisches Recht: Die an EU-Recht geknüpften Vorschriften warten auf den Beitritt (Art. 104).
So prüfen Sie
Der amtliche Text steht auf der Seite des Službeni list: sluzbenilist.me/propisi/398066. Der Registereintrag nennt Verkündung 11.09.2026, Inkrafttreten 19.09.2026 und Anwendung ab 19.03.2027. Die Aktnummer 2294 steht oben links auf der ersten Satzseite; der Text umfasst 45 Seiten, Art. 102 bis 106 auf der letzten. Die Parlamentsakte liegt auf der Aktseite der Skupština: Nr. 23-3/26-12/11, EPA 1164 XXVIII, Status Usvojen. Ein Regierungsänderungsantrag hat einen neuen Art. 4 eingefügt und die Nummerierung verschoben; zitieren Sie nur die verkündete Fassung.
Wie wir ein Mandat in Montenegro aufnehmen, steht auf unserer Seite Rechtsanwalt Montenegro; weitere datierte Schritte folgen unter Rechtsentwicklungen.
