Wer ist der Adressat von DS-GVO-Geldbußen?

Vor einem knappen Jahr hat das In-Geltung-Treten der DS-GVO noch zu regem Treiben in der Beratungsbranche geführt. Allen voran Unternehmensberatungen und Rechtsanwaltskanzleien, aber auch IT-Unternehmen, haben sich dem Thema Datenschutz-Konformität gewidmet und unterschiedliche Lösungen bis hin zu eigenen Apps (Stichwort: "GDPR Support") entwickelt. Der große Hype war aber keineswegs der Tatsache geschuldet, dass erstmals ein europaweit einheitliches und unmittelbar anwendbares Datenschutzrecht gilt, sondern vielmehr der Strafbefugnis der Datenschutzbehörde (im Folgenden kurz "DSB"). Die exorbitante Höhe der Geldbußen von bis zu € 20 Mio oder 4 % des Umsatzes¹ bedarf keiner neuerlichen Erwähnung, führt aber zum verständlichen Ziel von Geschäftsführung und Vorstand, sich rechtskonform zu verhalten. Dass die Verhängung von derart hohen Verwaltungsstrafen durch eine Verwaltungsbehörde verfassungsrechtlich zulässig ist, steht inzwischen außer Frage.² Doch wie läuft so ein Verfahren ab und gegen wen werden die Geldbußen verhängt? Nur gegen das Unternehmen oder auch gegen die Geschäftsführer bzw Vorstände? Hat die DSB hier überhaupt ein Ermessen? Und wird bei einem erstmaligen Verstoß immer verwarnt?