(1) Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen die für die Übertragung nicht personenbezogener Daten in Drittländer gemäß Artikel 5 Absatz 14 und Artikel 31 geltenden Verpflichtungen, die nach Artikel 11 für Anbieter von Datenvermittlungsdiensten geltende Mitteilungspflicht, die gemäß Artikel 12 für die Erbringung von Datenvermittlungsdiensten geltenden Bedingungen und die gemäß den Artikeln 18, 20, 21 und 22 für die Eintragung als anerkannte datenaltruistische Organisation geltenden Bedingungen zu verhängen sind, und treffen alle für die Anwendung der Sanktionen erforderlichen Maßnahmen. Die vorgesehenen Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein. In ihren Sanktionsvorschriften tragen die Mitgliedstaaten den Empfehlungen des Europäischen Dateninnovationsrats Rechnung. Die Mitgliedstaaten teilen der Kommission diese Vorschriften und Maßnahmen bis zum 24. September 2023 mit und melden ihr unverzüglich alle späteren diesbezüglichen Änderungen.

(2) Bei der Verhängung von Sanktionen aufgrund von Verstößen gegen diese Verordnung gegen Anbieter von Datenvermittlungsdiensten und anerkannte datenaltruistische Organisationen berücksichtigen die Mitgliedstaaten, gegebenenfalls die folgenden nicht erschöpfenden und indikativen Kriterien:

1. a. Art, Schwere, Umfang und Dauer des Verstoßes;
2. b. Maßnahmen, die der Anbieter von Datenvermittlungsdiensten oder die anerkannte datenaltruistische Organisation zur Minderung oder Behebung des durch den Verstoß bedingten Schadens ergreifen;
3. c. frühere Verstöße des Anbieters von Datenvermittlungsdiensten oder der anerkannten datenaltruistischen Organisation;
4. d. die durch den Verstoß bedingten finanziellen Gewinne oder Verluste des Anbieters von Datenvermittlungsdiensten oder der anerkannten datenaltruistischen Organisation, sofern diese Gewinne oder Verluste zuverlässig festgestellt werden können;
5. e. sonstige erschwerende oder mildernde Umstände im jeweiligen Fall.