Verantwortliche Stellen, die 10 oder mehr Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, sind verpflichtet einen betrieblichen Datenschutzbeauftragten zu bestellen. Eine Bestellpflicht besteht davon unabhängig, soweit die verantwortliche Stelle vorabkontrollpflichtige Verfahren zur Verarbeitung personenbezogener Daten einsetzt (siehe Vorabkontrolle) oder personenbezogene Daten für Zwecke der Markt- oder Meinungsforschung verarbeitet.
Auch ohne Bestellpflicht kann es sinnvoll sein, einen Datenschutzbeauftragten einzusetzen, z.B. um Meldepflichten für bestimmte Verarbeitungsverfahren zu vermeiden oder um ganz allgemein für eine optimale Compliance zu sorgen. Zu den Aufgaben des Datenschutzbeauftragten siehe Datenschutzbeauftragter.
Die Bestellpflicht für öffentliche Stellen der Länder ergibt sich aus den Landesdatenschutzgesetzen.