Die DSGVO verpflichtet nur bestimmte Unternehmen wie z. B. Auskunfteien zur Bestellung eines Datenschutzbeauftragten. Bei diesen Unternehmen besteht die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung der Daten von betroffenen Personen. Die DSGVO enthält aber eine sog. Öffnungsklausel für Mitgliedstaaten. Deutschland hat diese Klausel genutzt, auch für andere Unternehmen die Bestellung eines Datenschutzbeauftragten zur Pflicht zu machen.
In dem neuen Datenschutzgesetz (DSAnpUG-EU) ist für Unternehmen eine Bestellungspflicht vorgesehen, wenn sie „in der Regel mindestens zehn Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigten“. Damit wird der Betroffenenkreis der von der Bestellungspflicht betroffenen Unternehmen sehr stark vergrößert.
