Die DS-GVO legt fest, dass für bestimmte Rechtsverstöße Bußgelder bis zu vier Prozent des weltweiten Jahresumsatzes eines Unternehmens, bzw. 20 Millionen Euro zulässig sind. Dabei gilt der jeweils höhere Wert. Gegen Behörden und öffentliche Stellen können gemäß §43 Abs. 3 des Bundesdatenschutzgesetzes hingegen keine Geldbußen verhängt werden.