Die Geschäftsführung kann einem internen Mitarbeiter die Aufgabe des Datenschutzbeauftragten (kurz DSB) übergeben, wenn dieser entsprechend geeignet und qualifiziert ist. Außerdem kann durch einen außenstehenden Dienstleister ein externer DSB beauftragt werden.

Der Datenschutzbeauftragte ist der Geschäftsleitung direkt unterstellt. Er ist zur Verschwiegenheit verpflichtet und muss stets seine Neutralität wahren.

Die zentralen Aufgaben des DSB sind die Überwachung der Einhaltung der Datenschutzgrundsätze bei der Verarbeitung personenbezogener Daten, die Funktion als Ansprechpartner für die Geschäftsführung und allen Mitarbeitern zu Fragen des Datenschutzes, sowie die Kooperation mit den Aufsichtsbehörden.

Sind in einem Unternehmen mindestens 20 Mitarbeiter regelmäßig mit der Datenverarbeitung beschäftigt, muss das Unternehmen laut DSGVO einen Datenschutzbeauftragten benennen. 

Wenn ein Unternehmen sensible Daten (z.B. politische Meinung, Religionszugehörigkeit, Gesundheitsdaten) verarbeitet oder wenn die Kerntätigkeit eines Unternehmens in der Verarbeitung personenbezogener Daten liegt, muss unabhängig von der Mitarbeiterzahl ebenfalls ein Datenschutzbeauftragter ernannt werden.

Die Unterschiede zwischen einem internen und einem externen Datenschutzbeauftragten sind folgende: 

- Interessenskonflikt: Ein interner Mitarbeiter könnte bei seiner Arbeit als DSB in einen Interessenskonflikt geraten, wohingegen ein externer Beauftragter eine neutralere Sichtweise auf das Unternehmen hat, 

- Kündigungsschutz: Als interner DSB steht der Mitarbeiter unter besonderem Kündigungsschutz. Deshalb sollten Sie als Verantwortlicher großes Vertrauen zu diesem Mitarbeiter haben. Wenn Sie mit der Arbeit eines externen Beauftragten nicht zufrieden sind, können Sie den abgeschlossenen Dienstleistungsvertrag einfach kündigen. 

- Kosten: Auch wenn auf den ersten Blick die Benennung eines externen DSB mit höheren Kosten verbunden zu sein scheint, ist dies in der Praxis nicht immer richtig. Denn die Ernennung eines internen DSB bedeutet für Sie als Verantwortlicher, dass die Ausbildungen und Fortbildungen für diesen Mitarbeiter finanziert werden müssen (und er während diesen Zeiten nicht seiner Haupttätigkeit nachgehen kann). Somit ist ein interner Datenschutzbeauftragter unter Umständen teurer als ein externer.

- Erfahrung: Ein Mitarbeiter, der seine Ausbildung zum Datenschutzbeauftragten binnen weniger Tage absolviert, verfügt in der Regel nicht über die Erfahrung, die ein externer Beauftragter durch seine oft jahrelange Praxiserfahrungen mit anderen Unternehmen aus den verschiedensten Branchen besitzt.

- Haftung: Nicht abschließend geklärt ist, in welchem Umfang ein Datenschutzbeauftragter auch haftbar gemacht werden kann. Wegen dieser Unsicherheit scheuen sich die Mitarbeiter oftmals davor, eine solche Verantwortung als interner DSB auf sich zu nehmen.