Gemäss Obligationenrecht (Art. 716) kann der Verwaltungsrat in allen Angelegenheiten Beschluss fassen, die nicht nach Gesetz oder Statuten der Generalversammlung zugeteilt sind. Er führt die Geschäfte der Gesellschaft, soweit er die Geschäftsführung nicht übertragen hat.
Die Verantwortlichkeiten der einzelnen Parteien werden darüber hinaus durch das neue Datenschutzgesetz (nDSG), das im September 2023 in Kraft tritt, präzisiert. Der Verwaltungsrat und seine Mitglieder werden darin zwar nicht ausdrücklich erwähnt, aber das Gesetz stellt klar, dass die Person oder das Organ, die oder das über den Zweck oder die Mittel der Datenbearbeitung entscheidet, in hohem Masse verantwortlich ist. Nach dieser Logik kann der Verwaltungsrat somit zur Verantwortung gezogen werden.
