Ein Unternehmen muss einen Datenschutzbeauftragten (DSB) haben, wenn mindestens 20 Mitarbeiter regelmäßig automatisiert mit personenbezogenen Daten arbeiten. Die DSGVO gibt darüber hinaus Unternehmen auch die Möglichkeit, freiwillig einen DSB zu benennen. Dies ist zu empfehlen, da jedes Unternehmen die Anforderungen aus der DSGVO einhalten muss (z.B. Verarbeitungsverzeichnis, TOM, Informationspflichten, Löschkonzept, Berechtigungskonzept usw.). Darüber hinaus gibt es für die Bestellung eines Datenschutzbeauftragten in der DSGVO auch Ausnahmeregelungen, die unabhängig von Mitarbeiteranzahl greifen. Diese gelten vor allem dann, wenn in Unternehmen Verarbeitungen vorgenommen werden, die mit einer Datenschutz-Folgenabschätzung (nach Art. 35 DSGVO) einhergehen oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. In diesen Fällen ist die Bestellung eines DSBs unabhängig von der Mitarbeiteranzahl Pflicht.