Bestimmte Unternehmen sind zur Bestellung eines (externen oder betrieblichen) Datenschutzbeauftragten verpflichtet. Die Datenschutzgrundverordnung (DSGVO) und das neue BDSG schreiben die Bestellung eines betrieblichen Datenschutzbeauftragten vor, wenn eine der folgenden Voraussetzungen vorliegt:
a) Es sind in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten im Unternehmen beschäftigt.
b) Die Kerntätigkeit des Unternehmens besteht in der Durchführung von Verarbeitungsvorgängen, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen (hierzu zählen z.B. Krankenhäuser und Apotheken).