Die DSGVO sieht zur Überwachung der Einhaltung der DSGVO und zur Untersützung des Verantwortlichen bzw. Auftragsbearbeiters die Rolle des "Datenschutzbeauftragten" vor (oft nach dem englischen "Data Protection Officer" als DPO abgekürzt). Das revDSG nimmt diese Idee auf und kennt den "Datenschutzberater" (DSB).  DPO und DSB sind als unabhängige Stellen innerhalb der Organisation des Unternehmens gedacht. Sie sind als Arbeitnehmer zwar den Weisungen des Unternehmens unterstellt, aber nicht in Bezug auf ihre Funktion als DPO und DSB. Das Unternehmen darf ihnen deshalb nicht vorschreiben, welche Bearbeitungen sie prüfen oder wie sie die Einhaltung des Datenschutzrechts beurteilen.  Damit ihre Unabhängigkeit nicht gefährdet wird, dürfen sie keine Rollen oder Aufgaben haben, bei denen sie selbst über Datenbearbeitungen entscheiden würden. Sie können deshalb im Rechtsdienst oder der Compliance angesiedelt sein, oder eine eigene Stelle bilden, oder auch in der IT arbeiten, aber nicht als Leiter solcher Funktionen, auch nicht als Leiter des Marketing.  Zudem sind DPO und DSB Ansprechpersonen für Betroffene und Behörden. Ihre Kontaktangaben müssen deshalb veröffentlicht werden, z.B. in einer Datenschutzerklärung.