Die Regelung ob man einen internen oder externen Datenschutzbeauftragten benötigt, sind für viele Unternehmen noch nicht geläufig. Im Bundesdatenschutzgesetz (BDSG) wird festgehalten das, wenn mehr als 9 Mitarbeiter in ihrer normalen Tätigkeit mit der Verarbeitung von personenbezogenen Daten betraut sind, muss Datenschutzbeauftragter bestellt werden. Auch wenn Verfahren der Vorabkontrolle unterliegen, muss ein Datenschutzbeauftragter vorhanden sein. Weiterhin steht im BDSG "Das Gleiche gilt, wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden und damit in der Regel mindestens 20 Personen beschäftigt sind" - auch hier muss ein Datenschutzbeauftragter gestellt werden. Allerdings müssen die Unternehmen generell den Datenschutz sicherstellen, dieses ist unabhängig von der Unternehmensgröße, Mitarbeiteranzahl, Produkte oder Dienstleistungen. Somit ist das BDSG für alle Unternehmen verpflichtend.