Die DSGVO legt für bestimmte Konstellationen unmittelbar die Pflicht fest, einen DSB zu benennen (Art. 37 Abs. 1 DSGVO). Mitgliedstaaten haben darüber hinaus auch die Befugnis, die Benennung eines DSB vorzuschreiben (Art. 37 Abs. 4 DSGVO). Vorgabe im BDSG-alt § 4f BDSG und BDSG-neu § 38.