Demnach muss ein DSB bestellt werden, wenn:
- in der Regel mehr als zwanzig Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden.
- unabhängig von der Anzahl der beschäftigten Personen – Personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung automatisiert verarbeitet werden.
- unabhängig von der Anzahl der Beschäftigten – Eine Folgeabschätzung zum Verzeichnis der Verarbeitungstätigkeit besteht. Die Geschäftsleitung kann dabei diese Position nicht einnehmen.
- uabhängig davon, ob ein DSB bestellt werden muss, besteht jedoch für jedes Unternehmen die Pflicht, datenschutzrelevante Regelungen zu beachten und umzusetzen.
