Öffentliche Stellen sind unabhängig von ihrer Beschäftigtenzahl immer zur Bestellung eines Datenschutzbeauftragten verpflichtet.

Nichtöffentliche Stellen ...

Jedes Unternehmen, das mehr als neun Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, sind gesetzlich verpflichtet, einen Datenschutzbeauftragten zu bestellen. (§ 4f BDSG)

oder

Jedes Unternehmen, in dem in der Regel mindestens 20 Personen damit beschäftigt sind, personenbezogene Daten auf andere weise zu erheben, zu verarbeiten oder zu nutzen (§ 4f BDSG)

oder (unabhängig von der Anzahl der Personen)

Jedes Unternehmen, in dem automatisierte Verarbeitung vorgenommen wird, die einer Vorabkontrolle unterliegt. (§ 4d Abs.5 BDSG) 

oder (unabhängig von der Anzahl der Personen)

Jedes Unternehmen, das personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der anonymisierten Übermittlung automatisiert verarbeitet.