Noch zur Jahreswende wussten deutlich weniger als die Hälfte aller deutschen Unternehmen, welche persönlichen Daten (wie Name, Adresse, E-Mail) sie überhaupt speichern und verarbeiten, so eine Studie
des Security-Anbieters Proofpoint. Mit dieser Ungewissheit soll nun Schluss sein. Bei der Verhängung von Geldbußen sollen die kontrollierenden Behörden darauf achten, dass diese „wirksam, verhältnismäßig und abschreckend“ (Art. 83 Abs. 1) sind. Eine nur teilweise Anwendung des Datenschutzrechts sei ausgeschlossen. Trotzdem kritisieren Security-Experten das Regelwerk immer noch als zahnlosen Tiger. Es sanktioniere lediglich ein Fehlverhalten in Bezug auf die Meldung einer Datenschutzverletzung, nicht aber unzureichende Sicherheitsvorkehrungen als solche. Es gehe also nicht weit genug.