Erlangt eine Aufsichtsbehörde durch eine Beschwerde oder eine anlasslose Kontrolle Kenntnis von einem Verstoß gegen die Datenschutz-Grundverordnung oder eine nationale Datenschutzvorschrift, kann sie den Verantwortlichen verwarnen oder Anweisungen, Anordnungen oder Verarbeitungsverbote aussprechen (Artikel 58 Absatz 2 Datenschutz-Grundverordnung). Zusätzlich oder anstelle der Abhilfebefugnisse kann sie nach Artikel 83 Datenschutz-Grundverordnung Geldbußen von bis zu 20 Millionen € oder 4 Prozent des weltweiten Jahresumsatzes verhängen. Dem Gebot der Wirksamkeit, aber auch der Verhältnismäßigkeit, ist hierbei in jedem Einzelfall Rechnung zu tragen. Gegen rechtsverbindliche Verfügungen der Aufsichtsbehörden kann der Verantwortliche einen gerichtlichen Rechtsbehelf einlegen (Artikel 78 Datenschutz-Grundverordnung).
Neben einer Beschwerde bei der zuständigen Aufsichtsbehörde können betroffene Personen zudem Klagen vor den zuständigen Gerichten erheben, wenn sie der Ansicht sind, dass ihre Rechte durch die Verarbeitung ihrer personenbezogenen Daten verletzt wurden (Artikel 79 Datenschutz-Grundverordnung). Entsteht einer Person wegen eines Verstoßes gegen die Datenschutz-Grundverordnung ein materieller oder immaterieller Schaden, hat sie zudem Anspruch auf Schadensersatz nach Artikel 82 Datenschutz-Grundverordnung.
42 BDSG 2018 sieht schließlich Straftatbestände für das unbefugte Verarbeiten nicht allgemein zugänglicher Daten vor, wenn die Tat gewerbsmäßig, gegen Entgelt oder mit Bereicherungs- oder Schädigungsabsicht begangen wurde.