Verschärfte Bußgeld- und Sanktionsvorschriften 

Die DSGVO enthält in Art. 83 und 84 Sanktionsvorschriften, die mit teils drastischen Geldbußen aufwarten. Strafrechtliche Sanktionen sollen von den Mitgliedsstaaten hingegen selbst festgelegt werden und sind nicht in der DSGVO enthalten.

Die in § 43 BDSG a.F. festgelegte Höchstgrenze für Bußgelder lag bisher bei 300.000 Euro pro Verstoß und Bußgelder wurden eher moderat verhängt. Hier sorgt die DSGVO für eine deutliche Verschärfung der Sanktionen. Die maximale Geldbuße beträgt bis zu 20 Millionen Euro oder bis zu 4% des gesamten weltweit erzielten Jahresumsatzes im vorherigen Geschäftsjahr; je nachdem welcher Wert der höhere ist.

Hierbei ist zu beachten, dass in der DSGVO ein anderer „Unternehmensbegriff“ gilt, als derjenige, der bislang im BDSG a.F. zu Grunde zu legen war. Nach dem BDSG a.F. ist ein Unternehmen eine einzelne juristische Person, z.B. eine GmbH oder eine Personenhandelsgesellschaft. Diese wird als eigenständige verantwortliche Stelle angesehen. Auch bei Unternehmensgruppen wird nicht der Konzern als solcher als Unternehmen angesehen, sondern jede einzelne Konzerngesellschaft für sich. Folglich kennt das BDSG a.F. kein Konzernprivileg, aber gerade auch keine Konzernhaftung.

Die DSGVO hingegen bezieht sich auf den vom EuGH ausgestalteten und in Art. 101 und 102 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) geregelten funktionalen Unternehmensbegriff. Danach ist ein Unternehmen jede eine wirtschaftliche Tätigkeit ausübende Einheit, unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung. Diese wirtschaftliche Einheit kann dabei ohne weiteres aus mehreren einzelnen natürlichen oder juristischen Personen bestehen.

Es wird also nicht mehr am Rechtssubjekt angeknüpft, sondern das Marktverhalten der wirtschaftlichen Einheit als Ganzes zu Grunde gelegt. Somit kann ein ganzer Konzern als ein Unternehmen behandelt werden. Für die Berechnung des Bußgelds ist somit der gesamte Konzernumsatz entscheidend.