Nach der Entscheidung des EuGH bleiben nun auch deutsche Datenschutzbehörden an das Rechtstaats- und das Schuldprinzip gebunden und können gegen Unternehmen keine Bußgelder ohne einen Nachweis von fehlerhaftem bzw. schuldhaftem Verhalten verhängen. Allerdings entschied der EUGH auch, dass es nach der DSGVO nicht nötig ist, den Verstoß zuvor einer identifizierten natürlichen Person zuzurechnen, um ein Bußgeld zu verhängen. Das bedeutet, dass die Datenschutzbehörden im Ermittlungsverfahren nicht mehr klären müssen, welche Person den Datenschutzverstoß begangen oder eine Untätigkeit zu verantworten hat.