Die DSGVO verlangt die Benennung eines Datenschutzbeauftragten, wenn:
die Kerntätigkeit des Unternehmens eine umfangreiche, regelmäßige und systematische Überwachung von betroffenen Personen erfordert, z.B. bei Krankenhäusern;
besondere Kategorien von Daten nach Artikel 9 DSGVO oder Artikel 10 DSGVO verarbeitet werden, wie Gesundheitsdaten, Daten zur ethnischen Herkunft, genetische Daten, Daten über strafrechtliche Verurteilungen und Straftaten.
Darüber hinaus enthält das BDSG in § 38 weitere Vorgaben in Bezug auf die Benennungspflicht, und zwar wenn:
das Unternehmen mindestens 20 Mitarbeiter beschäftigt, die kontinuierlich personenbezogene Daten verarbeiten;
eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich ist, also ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht;
personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung, anonymisierten Übermittlung oder für Zwecke der Markt- und Meinungsforschung verarbeitet werden.
Bei der Auswahl eines Datenschutzbeauftragten sollten Qualifikation, Erfahrung und Vertrauenswürdigkeit im Vordergrund stehen. Fundierte Kenntnisse und Zertifikate im Datenschutz sowie einschlägige Projekterfahrung können bei der Auswahl des Datenschutzbeauftragten von Bedeutung sein.