Grundlage ist das erste Gesetz zum Abbau bürokratischer Hemmnisse insbesondere in der mittelständischen Wirtschaft. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Peter Schaar, kritisiert diesen „Abbau von Schutzvorschriften, die die Einhaltung von Bürgerrechten gewährleisten.“ Es habe Alternativen gegeben, die für die mittelständische Wirtschaft die gleiche oder sogar noch größere Entlastung bei der Umsetzung des Datenschutzrechts gebracht hätten, zum Beispiel die Verlagerung der Aufgabe des betrieblichen Datenschutzbeauftragten auf Berufsverbände oder Kammern für ihre Mitglieder, sagte er.
Weite Teile des Handels, des Handwerks und der freien Berufe seien künftig ohne interne Datenschutzkontrolle bei einer weiter ansteigender Datenflut, etwa durch Einsatz von Kundenkarten und elektronischen Zahlungsmitteln, erklärte der Bundesdatenschutzbeauftragte. Schaar zufolge bleiben bei der neuen Rechtslage die inhaltlichen Anforderungen an den Datenschutz bei nicht-öffentlichen Stellen, also Unternehmen der Privatwirtschaft, bei Handel, Handwerk und freien Berufen unverändert und gelten für diese Stellen weiterhin in vollem Umfang.
Alle Stellen, die personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung (Adresshandel, Auskunfteien etc.) oder zum Zwecke der anonymisierten Übermittlung (zum Beispiel Markt- und Meinungsforschung) automatisiert verarbeiten, müssen unabhängig von ihrer Beschäftigtenzahl nach wie vor immer einen betrieblichen Datenschutzbeauftragten bestellen. Das gilt auch, wenn automatisierte Verarbeitungen besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen und deshalb eine Vorabkontrolle durchzuführen ist (§ 4 d Abs. 5 BDSG).
In den übrigen Fällen besteht für nicht-öffentliche Stellen künftig erst dann die Pflicht, einen betrieblichen Datenschutzbeauftragten zu bestellen, wenn in der Regel mehr als neun Personen (bisher vier) ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Werden personenbezogene Daten nicht automatisiert, sondern in anderer Weise erhoben, verarbeitet oder genutzt, ist weiterhin ein betrieblicher Datenschutzbeauftragter zu bestellen, wenn damit in der Regel mindestens zwanzig Personen beschäftigt sind. Besteht keine Verpflichtung zur Bestellung eines betrieblichen Datenschutzbeauftragten mehr, hat muss in anderer Weise sichergestellt werden, dass die gesetzlichen Aufgaben des betrieblichen Datenschutzbeauftragten erfüllt werden. Darauf weist der Bundesdatenschutzbeauftragte ausdrücklich hin.