Ein Datenschutzbeauftragter muss bestellt werden, wenn:

• personenbezogene Daten automatisiert verarbeitet werden (d.h. unter dem Einsatz von Computern) und mindestens 10 Personen Zugriff auf diese Daten haben. Dabei spielt es keine Rolle, ob es sich um Geschäftsführer, Auszubildende oder festangestellte Mitarbeiter handelt.
  
  
• personenbezogene Daten manuell verarbeitet werden (z.B. Karteikarten) und mindestens 20 Personen Zugriff auf diese Daten haben.
  
  
• das Unternehmen (oder  Behörde, Verein, Institution) automatisierte Verarbeitung personenbezogener Daten durchführt, die einer sogenannten Vorabkontrolle unterliegen.
  
  
• personenbezogene Daten geschäftsmäßig an Dritte weitergegeben werden (wie z.B. beim Adresshandel). Hier spielt die Anzahl der Mitarbeiter keine Rolle.
  
  

Ein Konzernprivileg gibt es nicht! Jedes rechtlich eigenständige Unternehmen muss daher getrennt betrachtet werden. Ob die Firmen unternehmerisch miteinander verflochten sind, oder nicht, spielt keine Rolle. In einem Unternehmen mit mehreren Tochterfirmen kann es also vorkommen, dass für jedes Tochterunternehmen ein eigener Datenschutzbeauftragter bestellt werden muss.