Die Verpflichtung zur Bestellung eines DSB gilt, wenn ein Unternehmen eine Tätigkeit nach Art. 37 (1) DSGVO ausübt. Diese Tätigkeiten erfordern eine besondere Kontrolle des Datenschutzes. Art. 37 (1) Abs. a-c DSGVO regelt die Bedingungen, unter denen eine solche besondere Kontrolle erforderlich ist. Die Bestellung eines DSB ist obligatorisch: wenn die Verarbeitung durch eine öffentliche Behörde oder Einrichtung erfolgt, wenn die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfassende, regelmäßige und systematische Überwachung der betroffenen Personen erfordern, oder wenn die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters darin besteht, in großem Umfang besondere Kategorien von Daten im Sinne von Art. 9 DSGVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO. In Deutschland zum Beispiel muss nach § 38 Bundesdatenschutzgesetz (BDSG) ein DSB bestellt werden, wenn: in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind, die verantwortliche Stelle oder der Auftragsverarbeiter einer Datenschutzfolgenabschätzung nach Art. 35 DSGVO unterliegt, oder personenbezogene Daten zum Zwecke der Übermittlung, der anonymen Übermittlung oder zu Zwecken der Markt- und Meinungsforschung verarbeitet werden.