Stand: 11. November 2026

Nach einem Cyberangriff müssen Unternehmen rasch handeln: Systeme sichern, den Vorfall untersuchen und mögliche Schäden begrenzen. Gleichzeitig stellt sich die Frage, welche Behörden informiert werden müssen. Für Schweizer Unternehmen kann die Antwort über den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, kurz EDÖB, hinausreichen.

Dabei unterscheiden sich die Meldeschwellen. Nach dem Schweizer Datenschutzgesetz muss der Verantwortliche dem EDÖB eine Verletzung der Datensicherheit möglichst rasch melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen führt. Einzelheiten erläutert der Leitfaden des EDÖB.[1]

Unter der europäischen Datenschutz-Grundverordnung, der DSGVO, liegt die Schwelle tiefer: Eine Meldung darf unterbleiben, wenn die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Besteht eine Meldepflicht, ist unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden zu melden. Die Einschätzung «kein hohes Risiko» reicht hier somit nicht aus. Massgeblich ist Art. 33 DSGVO.[2]

Der folgende Beitrag konzentriert sich auf Meldungen an Datenschutzbehörden im EU/EWR-Raum. Bezüge zu weiteren Staaten und besondere Branchenvorschriften müssen zusätzlich geprüft werden.

Zuerst den Anwendungsbereich prüfen

Der wichtigste Ansatzpunkt gegen eine Auslandsmeldung liegt häufig bereits vor der Risikobeurteilung: Untersteht die konkret betroffene Datenbearbeitung überhaupt der DSGVO?

Ein Schweizer Unternehmen kann insbesondere dann erfasst sein, wenn die Bearbeitung im Zusammenhang mit einer Niederlassung in der EU steht. Ohne eine solche Niederlassung kommt es vor allem darauf an, ob das Unternehmen Personen in der EU gezielt Waren oder Dienstleistungen anbietet oder deren dortiges Verhalten beobachtet. Auch der EDÖB beschreibt diese grenzüberschreitende Wirkung.[3]

Die europäische Staatsangehörigkeit einer betroffenen Person genügt dagegen nicht. Ebenso wenig begründet eine aus Deutschland erreichbare Website für sich allein die Anwendbarkeit. Entscheidend sind die tatsächliche Tätigkeit und ihr Bezug zum europäischen Markt.

Das lässt sich an einem Beispiel zeigen: Ein ausschliesslich lokal tätiger Aargauer Betrieb verliert Personaldaten seiner in der Schweiz wohnhaften und beschäftigten Mitarbeitenden. Dass einzelne Mitarbeitende einen deutschen Pass besitzen, begründet noch keine DSGVO-Meldepflicht. Andere Anknüpfungspunkte, insbesondere eine relevante EU-Niederlassung, bleiben gesondert zu prüfen.

Wichtig ist zudem die Betrachtung der einzelnen Verarbeitung: Ein auf die EU ausgerichteter Onlineshop bedeutet nicht automatisch, dass sämtliche davon unabhängigen internen Bearbeitungen desselben Unternehmens der DSGVO unterstehen. Diese Differenzierung folgt aus den EDSA-Leitlinien zum räumlichen Anwendungsbereich.[4]

Für die Praxis empfiehlt sich deshalb eine konkrete Zuordnung: Welche Systeme und Daten sind betroffen, welchem Geschäftsvorgang dienen sie, und worin besteht dessen europäischer Bezug? Ein pauschales «Wir haben auch Kunden in Europa» ersetzt diese Prüfung nicht.

Vier Gründe, weshalb eine Behördenmeldung entfallen kann

1. Die betroffene Verarbeitung fällt nicht unter die DSGVO.

Fehlt der erforderliche räumliche und sachliche Anknüpfungspunkt, besteht insoweit keine Meldepflicht nach Art. 33 DSGVO. Das kann eine Nichtmeldung an europäische Datenschutzbehörden tragen, auch wenn der Vorfall nach Schweizer Recht dem EDÖB gemeldet werden muss. Die beiden Rechtsordnungen sind getrennt zu beurteilen.

2. Es liegt keine Verletzung des Schutzes personenbezogener Daten vor.

Ein abgewehrter Angriffsversuch ohne Beeinträchtigung von Personendaten ist noch keine meldepflichtige Datenschutzverletzung. Dasselbe gilt für einen Vorfall, der ausschliesslich Informationen ohne Personenbezug betrifft.

Umgekehrt ist ein nachgewiesener Datendiebstahl keine notwendige Voraussetzung: Auch die Vernichtung, Veränderung oder der Verlust personenbezogener Daten kann eine Datenschutzverletzung darstellen. «Wir haben keinen Datenabfluss festgestellt» beantwortet deshalb nur einen Teil der Prüfung. Die verschiedenen Erscheinungsformen erläutert die Berliner Datenschutzaufsicht.[5]

3. Ein Risiko für betroffene Personen ist voraussichtlich nicht gegeben.

Auch bei anwendbarer DSGVO und feststehender Datenschutzverletzung kann die Meldung entfallen. Dafür braucht es eine nachvollziehbare Beurteilung der möglichen Folgen für die Menschen, deren Daten betroffen sind.

Ein Beispiel ist der Verlust eines ausgeschalteten, wirksam verschlüsselten Geräts. Bleiben die Schlüssel geschützt und die Daten dank funktionierender Sicherungskopien verfügbar, kann eine Nichtmeldung gerechtfertigt sein. Entscheidend ist die tatsächliche Schutzwirkung: Ein blosses Anmeldepasswort oder die allgemeine Aussage «Unsere Geräte sind verschlüsselt» genügt als Begründung nicht. Vergleichbare Konstellationen behandeln die EDSA-Leitlinien mit praktischen Fallbeispielen.[6]

Zu beurteilen sind insbesondere die Sensibilität der Daten, ihre Nutzbarkeit für Dritte und die möglichen persönlichen oder wirtschaftlichen Nachteile. Die Zahl der Betroffenen ist ein Faktor, aber keine automatische Bagatellgrenze.

Fehlende Erkenntnisse sollten dabei nicht mit fehlendem Risiko verwechselt werden. Ist die Untersuchung noch nicht abgeschlossen, kann eine vorläufige Meldung mit späteren Ergänzungen erforderlich sein. Einen solchen Ablauf sieht beispielsweise die bayerische Datenschutzaufsicht ausdrücklich vor.[7]

4. Das Unternehmen handelt ausschliesslich als Auftragsbearbeiter.

Ein Schweizer Dienstleister, der die betroffenen Daten ausschliesslich im Auftrag bearbeitet, muss nach Art. 33 Abs. 2 DSGVO den Verantwortlichen unverzüglich informieren. Die Behördenmeldung nach Abs. 1 obliegt grundsätzlich dem Verantwortlichen. Daraus kann folgen, dass der Dienstleister selbst keine ausländische Datenschutzbehörde benachrichtigen muss. Eine Meldung im Auftrag des Kunden bleibt möglich. Die Rollenverteilung ergibt sich aus Art. 33 DSGVO.[2]

Diese Begründung setzt eine zutreffende Rollenbestimmung voraus. Sind beim gleichen Vorfall auch Daten betroffen, über deren Bearbeitungszwecke der Dienstleister selbst entscheidet, ist dieser Teil separat zu prüfen.

Mehrere Behörden: Zuständigkeiten eingrenzen

Für Unternehmen ohne relevante Niederlassung in der EU ist das europäische Meldesystem besonders anspruchsvoll. Nach den EDSA-Leitlinien ist eine meldepflichtige Verletzung den zuständigen Aufsichtsbehörden jener Mitgliedstaaten zu melden, in denen betroffene Personen ihren Wohnsitz haben. Ein Vertreter nach Art. 27 DSGVO eröffnet keinen Zugang zum sogenannten One-Stop-Shop mit einer federführenden Behörde. Das halten die Leitlinien 9/2022, Randziffer 73, ausdrücklich fest.[8]

Daraus folgt aber keine unterschiedslose Meldung an sämtliche europäischen Datenschutzbehörden. Zunächst sind die betroffenen Staaten und die jeweils zuständigen Stellen zu bestimmen. Eine saubere Eingrenzung kann den Aufwand erheblich reduzieren. Sie rechtfertigt jedoch nicht ohne Weiteres den vollständigen Verzicht auf Auslandsmeldungen. Auch eine Meldung an den EDÖB ersetzt die erforderlichen europäischen Meldungen nicht.

Welche weitergehenden Gegenargumente tragen?

Die Forderung nach parallelen Meldungen lässt sich rechtspolitisch hinterfragen. Wenn mehrere Behörden dieselben Informationen erhalten, entstehen Kosten, während der zusätzliche Schutz für Betroffene im Einzelfall begrenzt erscheinen kann.

Juristisch wäre zu prüfen, ob eine bestimmte Zuständigkeitsauslegung mit dem Gesetzeswortlaut, dem Verhältnismässigkeitsgrundsatz und dem Gebot der Rechtssicherheit vereinbar ist. Leitlinien sind keine Gesetzgebung. Aus meiner Sicht kann dies Anlass geben, eine konkrete Mehrfachzuständigkeit vertieft zu untersuchen oder anzufechten.

Daraus entsteht aber keine verlässliche allgemeine Ausnahme von der Meldepflicht. Art. 33 DSGVO enthält keine Befreiung wegen hoher Bearbeitungskosten. Die Ausnahme wegen unverhältnismässigen Aufwands in Art. 34 Abs. 3 betrifft die individuelle Benachrichtigung betroffener Personen und sieht stattdessen eine öffentliche oder vergleichbare Information vor. Sie lässt sich nicht auf Behördenmeldungen übertragen.[2]

Auch das Schweizer Verbot unbewilligter Handlungen für einen fremden Staat bietet keinen pauschalen Ausweg. Das EJPD hält ausdrücklich fest, dass eine gewöhnliche Meldung mit den Angaben nach Art. 33 Abs. 3 DSGVO nicht unter dieses Verbot fällt. Eine Bewilligung des Bundes ist dafür nach seiner Auffassung nicht erforderlich. Der Mindestinhalt verlangt insbesondere keine Namensliste der betroffenen Personen. Dies erläutert das EJPD zu Art. 271 StGB und DSGVO-Meldungen.[9]

Weitergehende Auskunfts- oder Beweisbegehren einer ausländischen Behörde können andere Fragen aufwerfen. Sie sollten eigenständig geprüft werden, statt daraus ein allgemeines Verbot der Erstmeldung abzuleiten.

Schliesslich können Unternehmen überlegen, wie wahrscheinlich eine ausländische Sanktion und deren Durchsetzung sind. Das betrifft jedoch das Risiko einer Pflichtverletzung. Es beantwortet nicht die vorgelagerte Frage, ob die Pflicht besteht. Wer trotz erkannter Meldepflicht auf eine Meldung verzichtet, trifft eine Rechtsrisikoentscheidung und sollte sie auch als solche benennen.

Vereinfachungen sind vorgesehen, gelten aber noch nicht

Die europäische Reformdiskussion greift die Belastung durch Meldungen auf. Im Rahmen des Digital Omnibus wurden unter anderem eine Verlängerung der Meldefrist auf 96 Stunden und eine Beschränkung der Behördenmeldung auf Verletzungen mit voraussichtlich hohem Risiko vorgeschlagen. EDSA und Europäischer Datenschutzbeauftragter unterstützen diese Änderungen in ihrer gemeinsamen Stellungnahme vom Februar 2026.[10]

Der Rat legte am 21. Oktober 2026 seine Verhandlungsposition fest. Er unterstützt eine längere Meldefrist und sieht nationale Eingangspunkte für Meldungen nach verschiedenen EU-Vorschriften vor. Das ist eine Verhandlungsposition des Rates, noch keine anwendbare Neuregelung.[11]

Am 11. November 2026 ist das Gesetzgebungsverfahren weiterhin offen. Unternehmen dürfen deshalb weder die vorgeschlagene höhere Meldeschwelle noch die 96-Stunden-Frist vorwegnehmen.[12]

Die Nichtmeldung braucht eine belastbare Begründung

Eine gute Entscheidungsnotiz hält fest:

  • welche Daten und Bearbeitungsvorgänge betroffen sind;
  • weshalb die DSGVO anwendbar ist oder nicht;
  • welche Rolle das Unternehmen einnimmt;
  • welche Folgen für Betroffene möglich sind und welche Schutzmassnahmen tatsächlich wirken;
  • weshalb eine Meldung erfolgt oder unterbleibt und wann neue Erkenntnisse eine Neubewertung auslösen.

Eine begründete Nichtmeldung entbindet zudem nicht von anderen Pflichten. Neben dem Schweizer Datenschutzrecht können beispielsweise für erfasste Betreiber kritischer Infrastrukturen seit April 2025 eigenständige Meldepflichten gegenüber dem Bundesamt für Cybersicherheit bestehen.[13]

Ein Schweizer Unternehmen kann somit durchaus zum rechtlich begründeten Ergebnis gelangen, keine europäische Datenschutzbehörde informieren zu müssen. Tragfähig wird dieses Ergebnis durch die Prüfung des konkreten Vorfalls: Anwendungsbereich, Rollenverteilung und Risiko müssen die Entscheidung tragen. Der Schweizer Sitz allein genügt dafür nicht.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.