Strafen müssen Bezug auf den tatsächlichen oder potentiellen Schaden bezogen sein
Nach welchem Recht?
In Deutschland hilft dir potentieller Schaden afaik gar nicht, da muss es sogar ein tatsächlicher Schaden sein (zumindest im Zivilrecht).
In USA dagegen kann man auch potentiellen Schaden anmelden. Das ist teils ganz amüsant, weil die Argumentation dann ja ist, das wenn du dabei erwischt wirst, wie du ein Musikstück in einer Tauschbörse anbietest, wird der Schaden so berechnet, das das Musikstück normalerweise 2€ kostet und es POTENTIELL 1 Mio mal von dir runtergeladen werden könnte und somit dem Urheber 2Mio€ Umsatz entgehen, also darfst du 2Mio € Schadensersatz zahlen und dabei interessiert es noch nichtmal ob das Musikstück überhaupt ein einziges mal von irgendjemandem von dir kopiert wurde.
Da stellt sich schon die Frage wie man auf 1 Mio Kopien kommt. Warum nicht gleich 10Mio? Oder nur 20.000? Immerhin steht der Wert des Gegenstands mit 2€ fest.
Wenn man Meta jetzt belangt, weil es persönliche Daten nicht geschützt hat, dann hat man weder eine Anzahl, noch einen konkreten Wert des Gegenstands. Wieviel sind meine Daten denn so Wert? Von welchen und wievielen Daten pro Person reden wir überhaupt? Wenn jemand meine Postanschrift rauskriegt, stört mich das weit weniger, wie wenn er meine Kreditkartennummer rauskriegt. Wieviel ist da jetzt was genau wert?
Und dann weiß ich ja noch nichtmal wieviele Leute meine Daten denn jetzt haben? Hat die nur einer geklaut und dann behalten? Oder haben jetzt Millionen Haker meine Daten?