Unternehmen, in denen mindestens zwanzig Mitarbeiter personenbezogene Daten verarbeiten, müssen in der Regel einen Datenschutzbeauftragten bestellen. Unabhängig von der Mitarbeiterzahl trifft diese Bestellpflicht auch Unternehmen, die besondere Arten personenbezogener Daten (z. B. Gesundheitsdaten) verarbeiten oder wenn die Kerntätigkeit des Unternehmens die Erhebung, Verarbeitung, Nutzung oder Übermittlung personenbezogener Daten ist.