Für die genannten privilegierten Zwecke schreibt Art. 85 Abs. 2 DSGVO den Mitgliedstaaten verpflichtend vor, unter Beachtung der Erforderlichkeit Abweichungen und Ausnahmen zu regeln. Betroffen sind die in der DSGVO genannten Kapitel II zu Grundsätzen, Kapitel III zu den Rechten der betroffenen Personen, Kapitel IV zu Verantwortlichen und Auftragsverarbeitern, Kapitel V zur Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen, Kapitel VI zu unabhängigen Aufsichtsbehörden, Kapitel VII zur Zusammenarbeit und Kohärenz sowie Kapitel IX zu Vorschriften für besondere Verarbeitungssituationen.
Ausnahmen führen dabei zur gänzlichen, Abweichungen zur partiellen Unanwendbarkeit bestimmter Vorschriften der genannten Kapitel. Sie sollen in Form von gesetzlichen Vorgaben im Rahmen der genannten privilegierten Zwecke Mindestschutzstandards gewährleisten. Den Mitgliedstaaten steht hierbei ein gewisser eigener Einschätzungsspielraum (zum „Wie“ der Regelung) zu.
