Verantwortliche Stellen, die zur Bestellung eines Datenschutzbeauftragten verpflichtet sind (siehe Bestellpflicht), können alternativ zur Bestellung eines internen Datenschutzbeauftragten einen externen Datenschutzbeauftragten bestellen. Externer Datenschutzbeauftragter kann jede Person werden, die fachkundig und unabhängig ist.
Externer Datenschutzbeauftragter können nach ganz überwiegender Auffassung nur natürliche Personen sein. Die Bestellung einer juristischen Person oder einer Personenmehrheit zum (externen) Datenschutzbeauftragten ist nicht möglich; jedenfalls aber mit einem rechtlichen Risiko für die verantwortliche Stelle verbunden. Eine zulässige Gestaltung bei der Beauftragung von Rechtsanwaltskanzleien oder Beratungsgesellschaften ist der Abschluss eines Dienstvertrags mit der Gesellschaft und die separate Bestellung der Person, die tatsächlich die Aufgaben des Datenschutzbeauftragten übernimmt.
Bei der Entscheidung über die Bestellung eines externen Datenschutzbeauftragten sollten verantwortliche Stellen berücksichtigen, dass dieser Unterstützung braucht, um interne Prozesse, Zuständigkeiten und Strukturen zu verstehen. Dies kann durch interne Ansprechpartner und die Einbindung des externen Datenschutzbeauftragten in interne Prozesse meist ohne großen Aufwand erreicht werden. Der externe Datenschutzbeauftragte kann dann sein großes Erfahrungswissen aus anderen Mandaten einbringen und für die Datenschutzorganisation nutzbar machen.