Die Grundsätze der allgemeinen Haftung nach Verstößen gegen den Datenschutz werden in Art. 82 DSGVO geregelt. Demnach hat jeder an einer Datenverarbeitung beteiligte Verantwortliche für den Schaden einzustehen, der durch eine unrechtmäßige Verarbeitung entsteht. Primärer Anspruchsgegner ist demnach der Verantwortliche. Ein Auftragsverarbeiter haftet nur dann, wenn er speziell auferlegten datenschutzrechtlichen Pflichten nicht nachgekommen ist oder er rechtmäßigen Anweisungen nicht gefolgt ist.
Eine Haftungsbefreiung kommt in Betracht, wenn nachgewiesen werden kann, dass der Verantwortliche oder Auftragsverarbeiter nicht für den schadensträchtigen Umstand verantwortlich ist.
Die Haftungsverantwortlichkeit kann zur Zahlungsverpflichtung eines Schadensersatzes führen.