Merz-Datenschutz, Verantwortung ohne Datrenschutzbeauftragten