Natürlich ist die Datenschutzgrundverordnung längst in Kraft getreten.
Und als Unternehmer weißt Du sicher auch, dass Cookies und irgendwelche Werbemails lediglich einen Bruchteil von dem, um was es da geht, ausmachen.
Du hast doch auch mit Kunden- und wahrscheinlich auch Mitarbeiterdaten zu tun und dementsprechend ein passables Verarbeitungsverzeichnis, etc. pp. erstellt.

Insofern: So wenig, wie das Strafrecht sämtliche Banküberfälle vermeiden kann, so wenig schützt die DSGVO vor Spammern, die sie bewusst umgehen.