Compliance-Schwellenwerte im DACH-Raum: ab wann welche Pflicht gilt
Viele Pflichten hängen an Zahlen: Ab 50 Beschäftigten gilt in Deutschland und Österreich der Hinweisgeberschutz, ab mittlerer Unternehmensgrösse kann NIS2 greifen, ab 20 Personen mit Datenverarbeitung braucht es in Deutschland einen Datenschutzbeauftragten, und ab 800 000 € Vorjahresumsatz beginnt die E-Rechnungspflicht 2027 statt 2028.
Stand: 13.11.2026
Diese Übersicht sammelt die Schwellenwerte, an denen im DACH-Raum Compliance-Pflichten beginnen oder enden. Sie ist nach der Art der Schwelle geordnet und verlinkt auf die ausführlichen Erklärungen.
Schwellen werden in der Regel pro Gesellschaft geprüft, nicht für die Gruppe. Bei NIS2 werden für die Grösse unter Umständen Partner- und verbundene Unternehmen mitgerechnet; im Zweifel gehört die Frage in die Betroffenheitsprüfung.
| Schwelle | Regelwerk | Was sie auslöst | Gebiet | Erklärung |
|---|---|---|---|---|
| Weniger als 10 Beschäftigte und höchstens 2 Mio. € Umsatz oder Bilanzsumme | European Accessibility Act, BFSG, BaFG | Ausnahme für Kleinstunternehmen bei Dienstleistungen | EU, Deutschland, Österreich | Erklärung |
| 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten | BDSG § 38 | Pflicht zur Benennung eines Datenschutzbeauftragten | Deutschland | Erklärung |
| 50 Beschäftigte | HinSchG, HSchG | Pflicht zur internen Meldestelle | Deutschland, Österreich | Erklärung |
| Ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme | NIS2-Umsetzungsgesetz, NISG 2026 | Mittlere Unternehmen in erfassten Sektoren werden wichtige Einrichtungen | Deutschland, Österreich | Erklärung |
| Ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme | NIS2-Umsetzungsgesetz, NISG 2026 | Grosse Unternehmen in Sektoren hoher Kritikalität werden besonders wichtige Einrichtungen | Deutschland, Österreich | Erklärung |
| Weniger als 250 Mitarbeitende | Datenschutzverordnung (DSV) Art. 24 | Ausnahme vom Verzeichnis der Bearbeitungstätigkeiten bei geringem Risiko | Schweiz | Erklärung |
| Weniger als 250 Mitarbeitende | DSGVO Art. 30 Abs. 5 | Ausnahme vom Verzeichnis nur bei gelegentlicher Verarbeitung ohne Risiko | EU | Erklärung |
| Mehr als 800 000 € Gesamtumsatz im Vorjahr | § 27 Abs. 38 UStG | Pflicht zum Versand von E-Rechnungen ab 1. Januar 2027 statt 2028 | Deutschland | Erklärung |
| Rechnungsbetrag bis 250 € | § 33 UStDV | Kleinbetragsrechnung, keine E-Rechnungspflicht | Deutschland | Erklärung |
| Auftragswert ab 5000 Franken | Vorgaben der Bundesverwaltung | Elektronische Rechnung an die Bundesverwaltung | Schweiz | Erklärung |
| 25 % (Schweiz) bzw. mehr als 25 % (Deutschland, Österreich) der Anteile oder Stimmen | GwG, WiEReG | Wirtschaftlich berechtigte Person, Meldung an das Transparenzregister | Schweiz, Deutschland, Österreich | Erklärung |
| 1000 Beschäftigte im Inland | LkSG | Sorgfaltspflichten in der Lieferkette; Einschränkung des Anwendungsbereichs angekündigt | Deutschland | |
| 45 Mio. monatlich aktive Nutzer in der EU | Digital Services Act | Zusätzliche Pflichten für sehr grosse Online-Plattformen | EU | Erklärung |
Hinweise
- Stand 13. November 2026. Schwellenwerte können sich durch Gesetzesänderungen verschieben; die Übersicht wird nachgeführt.
- Bei NIS2 sind einige Einrichtungen unabhängig von ihrer Grösse erfasst, etwa bestimmte Anbieter digitaler Infrastruktur.
Häufige Fragen
Zählen Teilzeitkräfte bei den Schwellen mit?
Das hängt vom Regelwerk ab. Bei NIS2 wird nach der KMU-Definition der EU in Jahresarbeitseinheiten gerechnet; beim Hinweisgeberschutz zählen grundsätzlich alle Beschäftigten.
Werden Konzerngesellschaften zusammengezählt?
Meist wird pro Gesellschaft geprüft. Bei NIS2 können für die Grösse verbundene Unternehmen einbezogen werden; das klärt die Betroffenheitsprüfung.
Wo finde ich die Fristen zu diesen Pflichten?
In unserer Übersicht der Regulierungsfristen 2023 bis 2028 und im Vergleich der Regulierungen in Schweiz, Deutschland und Österreich.
Quellen
- Bundesdatenschutzgesetz (BDSG), § 38
- Hinweisgeberschutzgesetz (HinSchG) und HinweisgeberInnenschutzgesetz (HSchG)
- Empfehlung 2003/361/EG der Kommission zur Definition von KMU
- Verordnung über den Datenschutz (DSV), SR 235.11, Art. 24
- § 27 Abs. 38 UStG und § 33 UStDV
Weitere Übersichten
- Regulierungsfristen 2023 bis 2028: Datenschutz, KI, Cyber und Geldwäscherei
- Schwellenwerte für wirtschaftlich Berechtigte (UBO) nach Jurisdiktion
- Anerkannte Selbstregulierungsorganisationen (SRO) in der Schweiz
- Schwellenwerte im öffentlichen Beschaffungswesen der Schweiz 2026 und 2027
- Regulierungen in der Schweiz, Deutschland und Österreich im Vergleich
- Aufsichtsbehörden im DACH-Raum: Datenschutz, Cybersicherheit, KI und Finanzmarkt