Die Regelungen zur Bestellpflicht für einen Datenschutzbeauftragten sind in Art. 37 DSGVO und § 38 BDSG (n.F.) enthalten. Die Pflicht zur Bestellung eines Datenschutzbeauftragten ergibt sich grundsätzlich aus 3 Punkten:
- Besondere Kategorien von Daten gemäß Artikel 9 der DSGVO werden verarbeitet oder
- Die „Kerntätigkeit“ macht eine „umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen“ erforderlich
- es sind (als Angestellte oder auch freie Mitarbeiter) mehr als 9 Personen mit der automatisierten Verarbeitung personenbezogener Daten befasst.
Wenn einer der Punkte zutrifft, wird ein Datenschutzbeauftragter benötigt.