Die Zwischenbilanz zur Umsetzung und Anwendung der DSGVO in Deutschland fällt in dem Gutachten »überwiegend negativ« aus. Bund und Länder hätten die Öffnungsklauseln »teilweise überstrapaziert« und teilweise »Bestimmungen unter Verstoß gegen das unionsrechtliche Wiederholungsverbot schlicht in das deutsche Recht übernommen«. Zum Teil seien die Gesetzgebungsaufträge schlicht nicht erfüllt worden.
»Das Hauptanliegen des Bundesgesetzgebers war und ist es offenbar, den rechtlichen Status quo in Sachen Datenschutz in Deutschland auch nach dem Inkrafttreten der Grundverordnung soweit wie möglich unverändert zu lassen. Diesem unambitionierten Beispiel sind die Landesgesetzgeber weitgehend gefolgt«, schreiben Schaar und Dix, die allerdings auch Kritik an der DSGVO selbst üben. Dort seien beispielsweise die automatisierte Entscheidungsfindung und das Profiling nur unzureichend regelt. Sie fordern etwa eine »Pflicht zur Aufklärung über die involvierte Logik bei Systemen der künstlichen Intelligenz und des maschinellen Lernens« und dass »derartige Systeme nicht eingesetzt werden dürfen, wenn der Verantwortliche die involvierte Logik selbst nicht versteht und sie deshalb der betroffenen Person nicht erklären kann«. Zudem mache auch der zunehmende Einsatz von Sensorik etwa im Internet der Dinge und die wachsende Bedeutung von Big-Data-Anwendungen eine Überarbeitung der DSGVO notwendig, weil sie die garantierten Grundsätze des Datenschutzes auszuhöhlen drohten.