Die DSGVO hat einen abgestuften Ansatz für Bußgelder eingeführt, was bedeutet, dass die Schwere des Verstoßes die Höhe des Bußgeldes bestimmt.  Wer seine Aufzeichnungen nicht in Ordnung hält oder Verstöße nicht an die Behörden meldet, kann mit einer Geldstrafe in Höhe von maximal 2 % seines weltweiten Jahresumsatzes belegt werden. Die maximale Geldstrafe für ein Unternehmen beträgt 4 % des weltweiten Jahresumsatzes oder 20 Mio. EUR, je nachdem, welcher Betrag höher ist.