Das Bundesdatenschutzgesetz verpflichtet ein Unternehmen zur Bestellung eines betrieblichen Datenschutzbeauftragten grundsätzlich dann, wenn mindestens zehn Arbeitnehmer mit der automatisierten Datenerhebung, -verarbeitung oder –nutzung beschäftigt sind, d.h. Zugang zu einem PC besitzen. Dies stellt in der Praxis den weitaus häufigsten Fall der Verpflichtung zur Bestellung eines Datenschutzbeauftragten dar.

Werden die Daten im Unternehmen noch nicht automatisiert (ohne PC) verarbeitet oder genutzt, so ist ein Datenschutzbeauftragter zu bestellen, sofern mindestens 20 Arbeitnehmer im Unternehmen tätig sind.

Unabhängig von der Anzahl der Arbeitnehmer ist ein Datenschutzbeauftragter außerdem zu bestellen, wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der anonymisierten Übermittlung erhoben, verarbeitet oder genutzt werden (z.B.: Auskunfteien, Adresshändler / -verlage, Markt- und Meinungsforschungsinstitute) oder automatisierte Datenverarbeitungsvorgänge vorgenommen werden, die eine Vorabkontrolle verlangen (z.B.: Scoringverfahren).

Ein betrieblicher Datenschutzbeauftragter ist stets schriftlich, bestenfalls unter Angabe des Aufgabenkreises oder eines Hinweises auf §§ 4f und g BDSG zu bestellen.

Falls ein Unternehmen in Anbetracht des BDSG nicht verpflichtet ist einen Datenschutzbeauftragten zu berufen, hat es trotzdem die Einhaltung des BDSG und der sonstigen einschlägigen Datenschutzgesetze sicherzustellen.