Art. 40 Sanktionen | Data act regulation | Data act

This article establishes the enforcement and penalty framework for the Data Act, placing the primary responsibility on Member States to define and implement penalties for infringements.

Rather than setting fixed EU-wide fines for most breaches, it delegates penalty-setting to national level while requiring that those penalties meet the standard of being effective, proportionate and dissuasive.

The article also connects the Data Act's enforcement to the existing GDPR enforcement machinery, meaning that where infringements touch on personal data obligations under certain chapters, data protection supervisory authorities can step in and apply GDPR-level fines.

Important points:

Member States are required to establish their own national penalty regimes and notify the Commission of these rules by 12 September 2025.
Member States must take into account a non-exhaustive list of criteria when imposing penalties, including the nature and duration of the infringement, any remedial action taken, prior infringements, financial gains made, and the infringing party's annual turnover in the Union.
Supervisory authorities responsible for GDPR application, and the European Data Protection Supervisor, are empowered to impose administrative fines for infringements of specific chapters, up to the amounts referenced in their respective data protection regulations.

1. Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen diese Verordnung zu verhängen sind, und treffen alle für die Anwendung der Sanktionen erforderlichen Maßnahmen. Die vorgesehenen Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.
1. Die Mitgliedstaaten teilen der Kommission diese Vorschriften und Maßnahmen bis zum 12. September 2025 mit und melden ihr unverzüglich alle späteren diesbezüglichen Änderungen. Die Kommission führt ein leicht zugängliches öffentliches Register dieser Maßnahmen und aktualisiert es regelmäßig.
1. Bei der Verhängung von Sanktionen aufgrund von Verstößen gegen diese Verordnung berücksichtigen die Mitgliedstaaten die Empfehlungen des EDIB und die folgenden nicht erschöpfenden Kriterien:
  1. Art, Schwere, Umfang und Dauer des Verstoßes;
  2. Maßnahmen, die die verstoßende Partei ergriffen hat, um den durch den Verstoß verursachten Schaden zu mindern oder zu beheben;
  3. frühere Verstöße der verstoßenden Partei;
  4. die finanziellen Vorteile, die die verstoßende Partei durch den Verstoß erzielt, oder die Verluste, die sie durch ihn vermieden hat, sofern diese Vorteile oder Verluste zuverlässig festgestellt werden können;
  5. sonstige erschwerende oder mildernde Umstände des jeweiligen Falls;
  6. den Jahresumsatz der verstoßenden Partei im vorangegangenen Geschäftsjahr in der Union.
1. Bei Verstößen gegen die Pflichten der Kapitel II, III und V dieser Verordnung können die für die Überwachung der Anwendung der Verordnung (EU) 2016/679 zuständigen Aufsichtsbehörden innerhalb ihres Zuständigkeitsbereichs Geldbußen im Einklang mit Artikel 83 der Verordnung (EU) 2016/679 bis zu dem in Artikel 83 Absatz 5 der Verordnung genannten Betrag verhängen.
1. Bei Verstößen gegen die Pflichten des Kapitels V dieser Verordnung kann der Europäische Datenschutzbeauftragte innerhalb seines Zuständigkeitsbereichs Geldbußen im Einklang mit Artikel 66 der Verordnung (EU) 2018/1725 bis zu dem in Artikel 66 Absatz 3 der Verordnung genannten Betrag verhängen.