Nach § 38 BDSG muss ein Unternehmen einen betrieblichen Datenschutzbeauftragten benennenn, soweit es in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.

Unter personenbezogenen Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person zu verstehen (z.B. Adressen, andere Kontaktdaten, Kontodaten). Typischerweise damit beschäftigt sind Sachbearbeiter, Vertriebsmitarbeiter, Callcenter-Mitarbeiter, IT-Personal sowie Mitarbeiter der Personal- und Finanzabteilung. Zum Datenschutzbeauftragten darf nur bestellt werden, wer die zur Erfüllung dieser Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt.

ABER: Ein betrieblicher Datenschutzbeauftragter ist unabhängig von der Anzahl der mit der Verarbeitung von Daten beschäftigten Personen zu bestellen, wenn:

• im Unternehmen Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen
• personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.
• die Kerntätigkeit des Unternehmens in der Durchführung von Verarbeitungsvorgängen besteht, die eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen.
• die Kerntätigkeit des Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 DSGVO (z.B. Gesundheitsdaten) besteht.