Datenverantwortliche haben unter den Voraussetzungen des Art. 37 Abs. 1 DSGVO einen Datenschutzbeauftragten zu benennen. Dazu gehören insbesondere Behörden oder öffentliche Stellen, Unternehmen oder Organisationen, deren Kerngeschäft in der Verarbeitung personenbezogener Daten besteht oder von denen personenbezogene Daten in großem Umfang verarbeitet werden.
Die Aufgaben des Datenschutzbeauftragten ergeben sich aus Art. 39 DSGVO. Er ist insbesondere für die Überwachung der Einhaltung der DSGVO zuständig. Daneben zählen zu den Kernaufgaben die Unterrichtung und Beratung des Unternehmens zu Datenschutzfragen, die Zusammenarbeit mit Datenschutzbehörden sowie die Überwachung der Sicherheitsmaßnahmen und die Erstellung von Risikoanalysen und Schulungen.
Aus Art. 38 DSGVO geht hervor, dass Datenschutzbeauftragte die Stellung eines unabhängigen Beraters einnehmen. Es ist für Unternehmen und Organisationen möglich, externe oder interne Datenschutzbeauftragte zu benennen. Zur Sicherstellung der Weisungsfreiheit ergeben sich für interne Datenschutzbeauftragte besondere Kündigungsvorschriften, vgl. § 38 Abs. 2 BDSG und § 6 Abs. 4 BDSG.