(1) Verstößt eine Verantwortliche oder ein Verantwortlicher oder eine Auftragsverarbeiterin oder ein Auftragsverarbeiter vorsätzlich oder fahrlässig gegen Bestimmungen dieser Verordnung, so kann die Datenschutzaufsicht eine Geldbuße verhängen.
(2) Die Datenschutzaufsicht stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Paragraphen für Verstöße gegen diese Verordnung in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(3) Geldbußen werden je nach den Umständen des Einzelfalls verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c) jegliche von der oder dem Verantwortlichen oder der Auftragsverarbeiterin oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d) Grad der Verantwortung der oder des Verantwortlichen oder der Auftragsverarbeiterin oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß § 26 getroffenen technischen und organisatorischen Maßnahmen;
e) etwaige einschlägige frühere Verstöße der oder des Verantwortlichen oder der Auftragsverarbeiterin oder des Auftragsverarbeiters;
f) Umfang der Zusammenarbeit mit der Datenschutzaufsicht, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h) Art und Weise, wie der Verstoß der Datenschutzaufsicht bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang die oder der Verantwortliche oder die Auftragsverarbeiterin oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i) Einhaltung der früher gegen den für die betreffende Verantwortliche oder den betreffenden Verantwortlichen oder Auftragsverarbeiterin oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen (§ 46 Absatz 5), wenn solche Maßnahmen angeordnet wurden;
j) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
(4) Verstößt eine Verantwortliche oder ein Verantwortlicher oder eine Auftragsverarbeiterin oder ein Auftragsverarbeiter
bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
(5) Bei Verstößen werden im Einklang mit Absatz 3 Geldbußen von bis zu 500.000 EUR verhängt.
(6) Gegen kirchliche Stellen im Sinne des § 3 Absatz 1, soweit sie im weltlichen Rechtskreis öffentlich-rechtlich verfasst sind, werden keine Geldbußen verhängt; dies gilt nicht, soweit sie als Unternehmen am Wettbewerb teilnehmen.
(7) Die Datenschutzaufsicht leitet einen Vorgang, in welchem sie einen objektiven Verstoß gegen diese Verordnung festgestellt hat, einschließlich der von ihr verhängten Höhe der Geldbuße an die nach staatlichem Recht zuständige Vollstreckungsbehörde weiter. Unbeschadet ihrer jeweiligen Rechtsform ist die Datenschutzaufsicht Inhaberin der Bußgeldforderung und mithin Vollstreckungsgläubigerin. Die nach staatlichem Recht zuständige Vollstreckungsbehörde ist an die Feststellung der Datenschutzaufsicht hinsichtlich des Verstoßes und an die von dieser festgesetzten Höhe der Geldbuße gebunden. Sofern das staatliche Recht die Zuständigkeit einer solchen Vollstreckungsbehörde nicht vorsieht, erfolgt die Vollstreckung auf dem Zivilrechtsweg.
