Die verantwortlichen Unternehmen bzw. Inhaber von Personengesellschaften oder Einzelunternehmen (Verantwortliche) müssen in jedem der folgenden Fälle eine/n Datenschutzbeauftragte/n (DSB) bestellen:
- Wenn regelmäßig mindestens 20 Personen mit Personendaten umgehen oder
- Behörden (außer Gerichte) oder
- wenn die Kerntätigkeit aus einer Datenverarbeitung besteht, die eine regelmäßige, umfangreiche und systematische Überwachung von betroffenen Personen erforderlich macht und die Erreichung der Unternehmensziele oder der Ziele eines Unternehmensbereiches ohne den Einsatz von IT nicht möglich ist oder
- wenn die Kerntätigkeit aus einer umfangreichen Verarbeitung von z. B. Gesundheitsdaten besteht und ohne den Einsatz von IT nicht möglich ist oder
- wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat

Zusammenfassend kann also festgehalten werden:
Wenn die Unterstützung des Verantwortlichen bei Umsetzung und Einhaltung der DSGVO durch einen Datenschutzbeauftragten geboten ist, dann liegt auch eine Bestellpflicht vor. Ich habe z. B. medizinische Labore mit weniger als 20 Beschäftigten kennengelernt, die keine/n Datenschutzbeauftragte/n bestellt hatten. Diese wären aber aufgrund der anderen o. g. Kriterien dennoch zur Bestellung einer/s Datenschutzbeauftragten verpflichtet gewesen, da nicht eine einzige Laborleistung ohne Anwendung von IT möglich wäre.