Wird eine Person zum Datenschutzbeauftragten bestellt, bedeutet dies, dass sie gesetzlich definierte Datenschutzaufgaben für das bestellende Unternehmen übernehmen muss. Diese Aufgaben sind insbesondere:

1. Beratung des Unternehmens und seiner Beschäftigten bzgl. bestehender Datenschutzpflichten
2. Hinwirken auf die Einhaltung von Datenschutzvorschriften, Sensibilisierung und Schulung der Beschäftigten
3. Beratung und Prüfung der Datenschutzfolgenabschätzung
4. Anlaufstelle für die Datenschutzaufsicht.

Ein Datenschutzbeauftragter muss in folgenden Fällen bestellt werden:

1. Kerntätigkeit des Unternehmens beinhaltet umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen
2. Kerntätigkeit des Unternehmens beinhaltet umfangreichen Verarbeitung besonderer Kategorien von Daten nach Art. 9 oder Daten nach Art. 10
3. Anlaufstelle für die Datenschutzaufsicht
4. Datenverarbeitung wird von einer Behörde / öffentlichen Stelle durchgeführt (Ausnahme: Gerichte).

Bei der Person des Datenschutzbeauftragten kann es sich entweder um einen Mitarbeiter des Unternehmens handeln (dann spricht man von einem „internen Datenschutzbeauftragten“) oder es wird eine externe ExpertIn, also eine sogenannte externe Datenschutzbeauftragte bestellt. HIER sind die Vor- und Nachteile der Bestellung eines internen bzw. externen Datenschutzbeauftragten abgebildet.

Bei der Auswahl eines/einer Datenschutzbeaufragten ist darauf zu achten, dass diese/dieser über eine ausreichende juristische, technische und organisatorische Qualifikation verfügt. Darüber hinaus darf der Datenschutzbeauftragte in keinem Interessenkonflikt mit anderen von ihm im Unternehmen ausgeübten Tätigkeiten stehen. Ein Interessenkonflikt liegt insbesondere dann vor, wenn die Person Entscheidungen bzgl. des Bestehens oder der Ausgestaltung einer Datenverarbeitung treffen kann, wie dies bei Leitungspersonen regelmäßig der Fall ist. Die Aufgabe des Datenschutzbeauftragten ist es nämlich gerade nicht, organisatorische Verantwortung für eine Datenverarbeitung zu übernehmen, sondern vielmehr darauf hinzuwirken, dass diese im Einklang mit einschlägigen Datenschutzgesetzen erfolgt.