Um die Einhaltung der neuen Bestimmungen zu maximieren, können Verantwortliche und Verarbeiter wegen Nichtbeachtung der DSGVO bestraft werden. Die Verordnung sieht mehrere Arten von Sanktionen vor, die im Folgenden beschrieben werden.
Die DSGVO räumt den betroffenen Personen umfangreiche Rechte ein, die gegen den Verantwortliche und den Verarbeiter geltend gemacht werden können. Zum Beispiel, gibt Art. 82 DSGVO jeder Person, die infolge der DSGVO-Verletzung einen materiellen oder immateriellen Schaden erlitten hat, das Recht auf Entschädigung direkt vom Verantwortliche/Verarbeiter. In Erwägungsgrund 85 werden mehrere Beispiele für solche materiellen oder immateriellen Schäden genannt.
Die Ausübung des Rechts auf Entschädigung muss bei den nach dem nationalen Recht der MS zuständigen Gerichten erfolgen, bei denen der Verantwortliche/Verarbeiter niedergelassen ist. Es ist jedoch auch möglich, ein solches Verfahren vor den Gerichten der MS einzuleiten, wenn die betroffene Person ihren gewöhnlichen Aufenthalt hat (es sei denn, der Verantwortliche/Verarbeiter ist eine Behörde eines MS, die in Ausübung seiner öffentlichen Befugnisse handelt).
Besonderes Augenmerk legt die DSGVO auf Verwaltungsstrafen, die in Art. 83 DSGVO detailliert beschrieben sind. Verstöße gegen die Verpflichtungen des Verantwortlichen gemäß Artikeln 8, 11, 25-39, 42 und 43 DSGVO (siehe unten) werden mit Geldbußen bis zu 10.000.000 EUR oder, im Falle eines Unternehmens, bis zu 2 % des weltweiten Gesamtjahresumsatzes des vorangegangenen Geschäftsjahres (je nachdem, welcher Betrag höher ist) belegt.
Dazu gehören Verstöße gegen die Bestimmungen über: Einwilligung von Kindern; Anonymisierung von Daten; Datenschutz durch Design und Standard; gemeinsame Verantwortliche; EU-Vertreter; Verpflichtungen der Verarbeiter; Verarbeitung im Auftrag des Verantwortlichen/Verarbeiters (gemäß den Anweisungen des Verantwortlichen); Aufzeichnungen über Verarbeitungstätigkeiten; Zusammenarbeit mit der Aufsichtsbehörde; Sicherheit der Verarbeitung; Meldung von Verstößen; Mitteilung von Verstößen an die betroffene Person; Bewertung der Datenschutzauswirkungen; vorherige Rücksprache mit der Aufsichtsbehörde; Benennung, Position und Aufgaben des Datenschutzbeauftragten sowie von Zertifizierung und Zertifizierungsstellen.
Höhere Verwaltungsstrafen bis zu 20.000.000 EUR oder, im Falle eines Unternehmens, bis zu 4 % des weltweiten Gesamtjahresumsatzes des vorangegangenen Geschäftsjahres (je nachdem, welcher Betrag höher ist), sind für Verstöße gegen folgende Grundsätze: grundlegende Verarbeitungsprinzipien, einschließlich der Zustimmungsbedingungen; Rechte der betroffenen Personen; Datenübermittlung an ein Drittland bzw. ein internationales Unternehmen; Verpflichtungen nach dem in Kapitel IX (“Bestimmungen über besondere Verarbeitungssituationen”) erlassenen MS-Recht; Nichteinhaltung einer Anordnung oder einer vorübergehenden/endgültigen Beschränkung der Verarbeitung oder die Aussetzung von Datenflüssen oder Nichtzugang.
Allerdings muss nicht jeder Verstoß mit einer Geldstrafe belegt werden. Anstelle oder zusätzlich zu einer Geldstrafe haben die Aufsichtsbehörden die Korrekturbefugnisse
(1) eine Warnung aussprechen, dass die beabsichtigten Verarbeitungstätigkeiten voraussichtlich gegen die DSGVO verstoßen werden,
(2) eine Zertifizierung zurückziehen oder
(3) die Datenübermittlung an einen Empfänger in einem Drittland oder einem internationalen Unternehmen auszusetzen.
Während die Verantwortlichen für Schäden haften, die sich aus der unrechtmäßigen Verarbeitung ergeben, haften die Verarbeiter nur für ihre Handlungen, die mit ihren von der DSGVO ausdrücklich festgelegten Verpflichtungen nicht vereinbar sind oder wenn sie über die Anweisungen des Verantwortlichen hinaus gehandelt haben. Der Verantwortliche und der Verarbeiter können von der Haftung befreit werden, wenn sie für das schadensverursachende Ereignis in keiner Weise verantwortlich sind.
