Die Datenschutz-Grundverordnung soll nicht nur aus einer Reihe von Regeln auf dem Papier bestehen. Stattdessen sieht Art. 82 DSGVO ein Recht auf Schadenersatz für jede Person, die durch einen Verstoß gegen die Datenschutzvorschriften geschädigt wurde, vor. Dies gilt auch für immaterielle Schäden, z. B. für den Ruf oder das persönliche Image.
Ziel der Datenschutzbehörden ist es, durch eine weitreichende Auslegung der Datenschutz-Grundverordnung den Datenschutz in der EU zu stärken und einen bestmöglichen Schutz der persönlichen Daten von Bürgern gegenüber Unternehmen, Organisationen und der Verwaltung zu erreichen. Die Gerichte in den EU-Mitgliedstaaten tun dies, indem sie Betroffenen hohen Schadenersatz zusprechen.
Dabei liegt die Haftung bei einem Datenschutzvergehen bei dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter der personenbezogenen Daten. Jüngste Entscheidungen legen jedoch weit aus, wer tatsächlich ein "für die Verarbeitung Verantwortlicher" ist. Als Folge kann auch die Geschäftsführung eines Unternehmens davon betroffen sein und im Rahmen einer gesamtschuldnerischen Haftung persönlich haftbar gemacht werden.
