Bosnien und Herzegowina hat sein Datenschutzrecht grundlegend erneuert. Das neue Gesetz über den Schutz personenbezogener Daten folgt eng dem Modell der EU-DSGVO und ist seit Oktober 2025 vollständig anzuwenden. Für Unternehmen in BiH, und für ausländische Gesellschaften mit Kunden, Mitarbeitern oder Nutzern im Land, bedeutet das: Einwilligungen, Verträge mit Dienstleistern, Datenübermittlungen und interne Prozesse müssen dem neuen Standard entsprechen. Dieser Leitfaden zeigt, welches Recht wann gilt, welche Pflichten konkret entstehen und wie Sie die Umsetzung strukturiert angehen.
Kurz gesagt
- Das neue bosnisch-herzegowinische Datenschutzgesetz ist an die EU-DSGVO angelehnt und gilt seit Oktober 2025 in vollem Umfang.
- Es erfasst Unternehmen mit Sitz in BiH und ausländische Anbieter, die Personen in BiH Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten.
- Wer zusätzlich Daten von Personen in der EU verarbeitet, muss parallel die EU-DSGVO selbst einhalten.
- Zentrale Pflichten: tragfähige Rechtsgrundlagen, strengere Einwilligung im Direktmarketing, Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge, Meldung von Datenpannen und Auskunft binnen 30 Tagen.
- Die Sanktionen wurden gegenüber dem Gesetz von 2006 deutlich verschärft. Prävention ist günstiger als jedes Verfahren.
Inhaltsverzeichnis
- Welches Datenschutzrecht in BiH gilt
- Für wen das Gesetz gilt, und wann zusätzlich die EU-DSGVO
- Die Pflichten für Unternehmen im Überblick
- Betroffenenrechte und Antwortfristen
- Datenpannen, Auftragsverarbeiter und Übermittlungen ins Ausland
- Sanktionen: vom Gesetz von 2006 zum neuen Rahmen
- Umsetzung in sechs Schritten
- Rechtliche Unterstützung beim Datenschutz
- Unsere Einschätzung
- Häufige Fragen
- Quellen
Welches Datenschutzrecht in BiH gilt
Über fast zwei Jahrzehnte war das Gesetz über den Schutz personenbezogener Daten aus dem Jahr 2006 (Amtsblatt BiH 49/06, mit Änderungen 2011) die maßgebliche Grundlage. Es orientierte sich an der früheren EU-Datenschutzrichtlinie, nicht an der DSGVO. Mit dem Stabilisierungs- und Assoziierungsabkommen hat sich Bosnien und Herzegowina jedoch verpflichtet, seine Gesetzgebung an den Besitzstand der EU anzupassen. Das neue Gesetz, veröffentlicht im Amtsblatt BiH Nr. 12/25, ist der zentrale Schritt in diesem Prozess.
Das neue Gesetz harmonisiert das bosnische Recht mit der EU-DSGVO und übernimmt deren Grundbegriffe: Kontrollor (Verantwortlicher), Auftragsverarbeiter, Rechtsgrundlagen der Verarbeitung, Betroffenenrechte und Rechenschaftspflicht. Nach der Verabschiedung hatten Unternehmen eine Übergangsfrist, um ihre Abläufe vorzubereiten. Seit dem 4. Oktober 2025 wird das Gesetz in vollem Umfang angewendet. Die früheren laufenden Meldepflichten gegenüber der Behörde wurden dabei weitgehend durch die Pflicht ersetzt, interne Verzeichnisse zu führen.
Zuständige Aufsichtsbehörde ist die Agentur für den Schutz personenbezogener Daten in Bosnien und Herzegowina (AZLP). Sie ist Ansprechpartnerin für Beschwerden, Meldungen von Datenpannen und Auslegungsfragen.
Für Geschäftsführer ausländischer Gesellschaften ist ein Punkt wichtig: Wer die DSGVO aus der EU kennt, findet sich im neuen Gesetz schnell zurecht. Die Unterschiede liegen im Detail, in der Praxis der Aufsichtsbehörde und im Zusammenspiel mit anderen bosnischen Vorschriften, etwa im Arbeitsrecht. Einen breiteren Überblick über den Rechtsrahmen für Investoren bietet unser Beitrag zu den wichtigsten Gewerbegesetzen in Bosnien.
Für wen das Gesetz gilt, und wann zusätzlich die EU-DSGVO
Der räumliche Anwendungsbereich ist bewusst weit gefasst. Das Gesetz gilt für die Verarbeitung personenbezogener Daten durch Kontrollore oder Auftragsverarbeiter mit Sitz, Wohnsitz oder Aufenthalt in Bosnien und Herzegowina, unabhängig davon, wo die Verarbeitung tatsächlich stattfindet. Eine bosnische Tochtergesellschaft, die ihre Kundendaten auf Servern in Deutschland oder bei einem US-Cloud-Anbieter speichert, bleibt also an das bosnische Gesetz gebunden.
Darüber hinaus erfasst das Gesetz auch Unternehmen ohne Sitz in BiH, wenn sie Personen in Bosnien und Herzegowina Waren oder Dienstleistungen anbieten oder deren Verhalten im Land beobachten. Das betrifft etwa einen österreichischen Onlinehändler, der gezielt nach BiH liefert, oder eine SaaS-Plattform, die Nutzerverhalten in BiH über Tracking auswertet.
Umgekehrt gilt: Bosnische Unternehmen, die Daten von Personen in der EU verarbeiten, müssen die EU-DSGVO selbst anwenden. Schon ein Online-Angebot auf Deutsch oder Englisch kann darauf hindeuten, dass sich die Leistungen an Bürger anderer Länder richten. Für IT-Dienstleister, Outsourcing-Unternehmen und Exporteure in BiH ist das der Regelfall, nicht die Ausnahme.
| Situation | Bosnisches Datenschutzgesetz | EU-DSGVO |
|---|---|---|
| Gesellschaft mit Sitz in BiH, nur lokale Kunden | Ja | In der Regel nein |
| Gesellschaft in BiH mit Kunden oder Nutzern in der EU | Ja | Ja, für die EU-Bezüge |
| IT-Dienstleister in BiH, der im Auftrag eines EU-Kunden Daten verarbeitet | Ja | Ja, über den Auftragsverarbeitungsvertrag und regelmäßig direkt |
| EU-Unternehmen ohne Niederlassung, das gezielt Kunden in BiH bedient | Ja | Ja, für die eigene Tätigkeit |
| EU-Konzern mit Tochtergesellschaft in BiH | Ja, für die Tochter | Ja, für die Muttergesellschaft und konzerninterne Übermittlungen |
In der Praxis arbeiten viele Unternehmen mit einem einheitlichen Compliance-Rahmen auf DSGVO-Niveau und ergänzen ihn um die bosnischen Besonderheiten. Das spart doppelte Prozesse und vermeidet Widersprüche zwischen Konzernrichtlinien und lokalem Recht.
Die Pflichten für Unternehmen im Überblick
Das neue Gesetz betrifft jedes Unternehmen, das Kunden-, Mitarbeiter- oder Lieferantendaten verarbeitet. Die größte Belastung tragen Unternehmen, die große Mengen personenbezogener und insbesondere sensibler Daten verarbeiten, etwa im Gesundheitswesen, im Finanzsektor, in der Telekommunikation oder bei großen Arbeitgebern.
Rechtsgrundlage und Transparenz
Jede Verarbeitung braucht eine Rechtsgrundlage: Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder Einwilligung. Betroffene müssen verständlich informiert werden, welche Daten zu welchem Zweck verarbeitet werden, wie lange sie gespeichert bleiben und an wen sie gehen. Datenschutzerklärungen auf Websites, in Apps und in Arbeitsverträgen gehören deshalb zu den ersten Dokumenten, die überarbeitet werden sollten. Eine praktische Anleitung dazu finden Sie in unserem Beitrag zu Datenschutzrichtlinien in Bosnien.
Einwilligung im Direktmarketing
Besonders spürbar ist der Wandel im Marketing. Die Aufsichtsbehörde betont, dass die Anforderungen an die Einwilligung für Newsletter verschärft wurden: Ohne ausdrückliche Einwilligung oder vertragliche Grundlage gilt der Versand als unzulässige Verarbeitung. Gekaufte Adresslisten, vorab angekreuzte Kästchen und unklare Formulierungen sind damit kein tragfähiges Fundament mehr. Bestehende Verteiler sollten geprüft und, wo nötig, neu aufgebaut werden.
Verarbeitungsverzeichnis
An die Stelle früherer Meldungen an die Behörde tritt die interne Dokumentation. Unternehmen müssen nachweisen können, welche Verarbeitungen sie durchführen, auf welcher Grundlage, mit welchen Empfängern und mit welchen Schutzmaßnahmen. Das Verzeichnis ist das zentrale Beweismittel, wenn die AZLP nachfragt.
Datenschutzbeauftragter
Das Gesetz verpflichtet Kontrollore und Auftragsverarbeiter in bestimmten Fällen zur Ernennung eines Datenschutzbeauftragten, insbesondere bei groß angelegten Verarbeitungen. Ob die Pflicht greift, hängt von Art und Umfang der Verarbeitung ab und sollte für jedes Unternehmen einzeln geprüft werden.
Technische und organisatorische Maßnahmen
Zugriffsrechte, Verschlüsselung, Backups, Löschkonzepte und Schulungen sind keine IT-Details, sondern rechtliche Anforderungen. Sie bestimmen, ob ein Sicherheitsvorfall zu einem meldepflichtigen Risiko wird und wie die Behörde das Verhalten des Unternehmens bewertet.
Betroffenenrechte und Antwortfristen
Betroffene Personen haben nach dem neuen Gesetz unter anderem das Recht auf Information, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Unternehmen müssen die Informationen in transparenter, verständlicher und leicht zugänglicher Form bereitstellen, grundsätzlich unverzüglich und spätestens innerhalb von 30 Tagen.
Diese Frist ist in der Praxis kürzer, als sie klingt. Ein Auskunftsersuchen eines ehemaligen Mitarbeiters kann Daten in der Personalabteilung, im E-Mail-System, in der Lohnbuchhaltung und bei externen Dienstleistern betreffen. Wer erst bei Eingang der Anfrage klärt, wer zuständig ist und wo die Daten liegen, verliert wertvolle Tage. Bewährt haben sich:
- ein zentraler Eingangskanal für Anfragen, etwa eine eigene E-Mail-Adresse,
- eine klare interne Zuständigkeit mit Vertretungsregel,
- Musterantworten in den Landessprachen und auf Englisch,
- eine Übersicht, welche Systeme personenbezogene Daten enthalten.
Datenpannen, Auftragsverarbeiter und Übermittlungen ins Ausland
Drei Bereiche sorgen bei internationalen Unternehmen regelmäßig für Fragen. Das Gesetz regelt sie im Einklang mit dem DSGVO-Modell.
Datenschutzverletzungen. Verletzungen des Schutzes personenbezogener Daten müssen der Aufsichtsbehörde unverzüglich gemeldet werden, sofern sie ein Risiko für die Betroffenen darstellen. Ein gestohlener Laptop mit unverschlüsselten Kundendaten, ein falsch adressierter E-Mail-Verteiler oder ein Ransomware-Angriff können darunter fallen. Entscheidend ist ein Notfallplan, der festlegt, wer den Vorfall bewertet, wer die Meldung verfasst und wer mit Betroffenen kommuniziert.
Auftragsverarbeiter. Dienstleister, die im Auftrag eines Unternehmens Daten verarbeiten, müssen vertraglich an den Kontrollor gebunden sein. Das betrifft Cloud-Anbieter, Lohnbuchhaltungen, Callcenter, Marketingagenturen und Softwareentwickler. Für Technologieunternehmen, die SaaS-Lösungen anbieten, ist der Auftragsverarbeitungsvertrag zudem ein Verkaufsdokument: Kunden aus der EU prüfen ihn genau.
Übermittlungen ins Ausland. Für grenzüberschreitende Datenübermittlungen gelten strenge Bedingungen, etwa Angemessenheitsentscheidungen, Standardvertragsklauseln oder eine ausdrückliche Einwilligung. Für Konzerne mit Muttergesellschaft in der EU, für Shared-Service-Center und für Nearshoring-Modelle ist dieser Punkt zentral. Die Details erläutern wir in unserem Beitrag zum Datentransfer zwischen EU und BiH.
Sanktionen: vom Gesetz von 2006 zum neuen Rahmen
Zum Vergleich lohnt der Blick zurück. Das Gesetz von 2006 sah für Kontrollore Bußgelder zwischen 5.000 KM und 100.000 KM für bestimmte Ordnungswidrigkeiten vor, für verantwortliche Personen eines Kontrollors zwischen 200 KM und 15.000 KM. Diese Beträge waren für größere Unternehmen kaum abschreckend.
Das neue Gesetz verschärft den Sanktionsrahmen erheblich und orientiert sich an der Logik der DSGVO. Die konkrete Höhe richtet sich nach Art und Schwere des Verstoßes, nach dem Verschulden und nach den Maßnahmen, die das Unternehmen zur Schadensbegrenzung getroffen hat. Hinzu kommen Risiken, die sich nicht in Bußgeldern messen lassen: Anordnungen der Behörde, Schadenersatzforderungen Betroffener, Reputationsschäden und Probleme in der Due Diligence bei Investitionen oder Unternehmensverkäufen. Warum Datenschutz deshalb eine Managementaufgabe ist, zeigt unser Beitrag warum Datenschutz für Unternehmen entscheidend ist.
Umsetzung in sechs Schritten
Die folgenden Schritte haben sich für Unternehmen in BiH bewährt, unabhängig davon, ob sie lokal gegründet oder Teil eines internationalen Konzerns sind.
- Bestandsaufnahme. Erfassen Sie, welche personenbezogenen Daten in welchen Abteilungen und Systemen verarbeitet werden: Kunden, Mitarbeiter, Bewerber, Lieferanten, Websitebesucher.
- Anwendbares Recht klären. Prüfen Sie, ob neben dem bosnischen Gesetz auch die EU-DSGVO greift, etwa wegen EU-Kunden, EU-Muttergesellschaft oder Auftragsverarbeitung für EU-Mandanten.
- Rechtsgrundlagen und Dokumente. Ordnen Sie jeder Verarbeitung eine Rechtsgrundlage zu, überarbeiten Sie Datenschutzerklärungen, Einwilligungstexte, Cookie-Lösungen und Arbeitsvertragsklauseln.
- Verträge mit Dienstleistern. Schließen oder aktualisieren Sie Auftragsverarbeitungsverträge und sichern Sie Übermittlungen ins Ausland mit geeigneten Garantien ab.
- Prozesse einrichten. Führen Sie ein Verarbeitungsverzeichnis, legen Sie Abläufe für Betroffenenanfragen und Datenpannen fest und prüfen Sie, ob ein Datenschutzbeauftragter benannt werden muss.
- Schulen und überprüfen. Schulen Sie Mitarbeiter mit Kundenkontakt, HR und IT, und planen Sie eine jährliche Überprüfung, besonders nach neuen Produkten, Tools oder Umstrukturierungen.
Für ein mittelgroßes Unternehmen ist die erste Umsetzung ein Projekt von einigen Wochen. Der laufende Aufwand danach ist überschaubar, wenn die Grundstruktur sauber steht.
Rechtliche Unterstützung beim Datenschutz
Vucic Legal berät internationale Unternehmen, Technologieunternehmen und ausländische Investoren in Bosnien und Herzegowina im Bereich Technology & Data Protection: von der Prüfung des anwendbaren Rechts über Datenschutzerklärungen und SaaS-Verträge bis zu Auftragsverarbeitungs- und Übermittlungsverträgen. Wenn Sie Ihre Tochtergesellschaft oder Ihr Angebot in BiH an das neue Gesetz anpassen möchten, finden Sie unsere Leistungen im Datenschutz- und Gesellschaftsrecht im Überblick.
Unsere Einschätzung
Wir sehen in der Beratung internationaler Unternehmen ein wiederkehrendes Muster. Datenschutz wird oft erst dann ein Thema, wenn ein EU-Kunde einen Auftragsverarbeitungsvertrag verlangt, ein Investor in der Due Diligence nachfragt oder ein Vorfall bereits eingetreten ist. Zu diesem Zeitpunkt ist der Handlungsspielraum klein und der Zeitdruck groß.
Das neue Gesetz ist für Unternehmen in BiH deshalb weniger eine Last als eine Chance. Wer seine Prozesse auf DSGVO-Niveau bringt, kann EU-Kunden ein Datenschutzniveau nachweisen, das sie aus ihrem eigenen Markt kennen. Gerade für IT-Dienstleister und Nearshoring-Anbieter ist das ein echtes Verkaufsargument.
Unser Rat an Geschäftsführer und Unternehmensjuristen: Behandeln Sie Datenschutz als Teil der Unternehmensstruktur, nicht als Formular. Klären Sie früh, welches Recht gilt, wer im Konzern verantwortlich ist und wie Daten zwischen den Gesellschaften fließen. Präventiv aufgesetzte Strukturen kosten einen Bruchteil dessen, was ein Verfahren, ein verlorener Kunde oder eine gescheiterte Transaktion kosten. Mehr zu diesem Ansatz lesen Sie in unserem Beitrag zu Pflichten und Chancen im Datenschutz.
— Franjo
Häufige Fragen
Gilt die EU-DSGVO direkt in Bosnien und Herzegowina?
Nein, BiH ist kein EU-Mitgliedstaat, deshalb gilt die DSGVO dort nicht als nationales Recht. Maßgeblich ist das neue bosnisch-herzegowinische Datenschutzgesetz, das sich eng an der DSGVO orientiert. Die DSGVO selbst gilt aber für Unternehmen in BiH, sobald sie Daten von Personen in der EU verarbeiten, etwa durch Angebote an EU-Kunden.
Muss jedes Unternehmen in BiH einen Datenschutzbeauftragten ernennen?
Nicht jedes. Die Pflicht besteht in bestimmten Fällen, insbesondere bei groß angelegten Verarbeitungen oder bei sensiblen Daten. Ob Ihr Unternehmen betroffen ist, hängt von Art und Umfang der Verarbeitung ab und sollte einzeln geprüft werden.
Dürfen wir unseren bestehenden Newsletter-Verteiler weiter nutzen?
Nur, wenn für jeden Empfänger eine ausdrückliche Einwilligung oder eine vertragliche Grundlage nachweisbar ist. Andernfalls gilt der Versand nach Auffassung der Aufsichtsbehörde als unzulässige Verarbeitung. Prüfen Sie, wie und wann die Adressen erhoben wurden, und holen Sie fehlende Einwilligungen sauber ein.
Wie schnell müssen wir auf eine Auskunftsanfrage reagieren?
Grundsätzlich unverzüglich, spätestens innerhalb von 30 Tagen. Die Information muss transparent, verständlich und leicht zugänglich sein. Ein fester interner Ablauf mit klarer Zuständigkeit ist die beste Absicherung gegen Fristversäumnisse.
Dürfen Daten aus BiH an eine Muttergesellschaft in der EU übermittelt werden?
Ja, aber nur unter den Bedingungen des Gesetzes für grenzüberschreitende Übermittlungen, etwa auf Grundlage einer Angemessenheitsentscheidung, von Standardvertragsklauseln oder einer ausdrücklichen Einwilligung. Konzerninterne Übermittlungen sollten vertraglich geregelt und im Verarbeitungsverzeichnis dokumentiert sein.
Quellen
- Bloomberg Adria: Was das neue Datenschutzgesetz in BiH 2025 bringt
- Bloomberg Adria: DSGVO und Pflichten für Unternehmen in BiH
- Gesetz über den Schutz personenbezogener Daten, Amtsblatt BiH 12/25
- Parlamentarische Versammlung BiH: Gesetz über den Schutz personenbezogener Daten
- AZLP: Gesetz über den Schutz personenbezogener Daten von 2006
- Akta.ba: Keine Newsletter mehr ohne Einwilligung