Eine Missachtung der Meldepflichten ist mit Geldbußen bis 10 / 20 Millionen Euro
oder 2 / 4 % des Jahresumsatzes zu ahnden.
Zusätzlich können Betroffene Schadenersatz verlangen. Dies gilt für erlitterne materielle Schäden, etwa Zusatzkosten die durch Ausstellung neuer Dokumente oder Zahlungshilfsmittel (Kreditkarten) entstehen können.
Der Schadensersatzanspruch gilt jedoch auch für "immaterielle" Schäden, also für die Verunsicherungen und Sorgen die eine derartige Datenschutzverletzung auslösen. Im Gegensatz zu früher ist dabei eine "bloßstellende
Veröffentlichung" persönlicher Daten nicht mehr Erfordernis für den Schadensersatzanspruch.
Es gibt zwar keine Untergrenze in der Schadenshöhe, es gibt aber auch keine Obergrenze. Ein minimaler Pauschalwert von 1.000,- Euro für die erlittenen "immateriellen" Schäden je Person ist angesichts bisheriger OGH-Enscheidungen realistisch. Sind mehrere tausend Menschen davon betroffen, kann sich die
Schadensersatzforderung rasch in Millionenhöhe bewegen.