Beim Angriff auf das VwbP handelt es sich um eine Verletzung des Schutzes personenbezogener Daten gemäss Art. 33 Datenschutz-Grundverordnung (DSGVO). 

Gemäss Art. 34 Datenschutz-Grundverordnung sind vom Datendiebstahl betroffene Personen zu informieren. Neben der öffentlichen Kommunikation werden seit Dienstag, 4. August 2026, die Schreiben verschickt, worin die Rechtsträger ersucht werden, die wirtschaftlich berechtigten Personen über die Verletzung des Schutzes personenbezogener Daten zu informieren. Damit wurden die datenschutzrechtlichen Vorgaben umgesetzt.