Zunächst müssen Unternehmen und Behörden vor der Verarbeitung personenbezogener Daten zwar die Zustimmung einzelner Nutzer einholen, das gilt jedoch nicht, wenn eine „gesetzliche Grundlage“ dafür besteht - wobei nicht angegeben wird, welche Gesetze diese Grundlage bilden.
For starters, although it requires businesses and government agencies to obtain individual consent before processing personal information, it exempts them from doing so when there is a “statutory basis” – while failing to specify which statutes qualify.