在几乎每家企业中，都会处理员工、客户或其他个人数据。因此，当员工人数达到10人时，必须任命一名数据保护官。
《通用数据保护条例》（DSGVO）主要面向决定如何处理个人数据的企业（即数据控制者）。根据企业规模不同，企业家不必也不可能独自承担所有责任，部分商家可以甚至必须自行任命一名数据保护官。
企业中的数据保护官
个人数据保护在互联网和电子商务中尤为重要。立法者在某些情况下要求提供数据保护官，这已是现状且随新DSGVO实施保持不变。每位在线商家现在应自行厘清是否有义务正式任命数据保护官。
《通用数据保护条例》（DSGVO）中的规定
根据DSGVO，若企业核心业务涉及因目的或规模需对相关人员进行广泛、定期和系统性监控的数据处理（如市场研究公司），则强制要求任命数据保护官。仅处理本公司员工数据等支持核心业务的职能不在此列。
对于小型和中型在线零售商而言，若未在主要任务中系统性或大规模监控客户数据，可能无需任命数据保护官。
德国法律比《通用数据保护条例》（DSGVO）更严格
即使DSGVO未产生强制性义务，企业家也不应过早乐观。除DSGVO外，德国还适用联邦数据保护法（BDSG）。与奥地利类似，德国制定了补充DSGVO的自身规定，且标准比欧盟更为严格。
在德国，只要企业中通常满足以下条件，数据控制者需负责任命一名数据保护官：
- 至少十名员工
- 持续从事个人数据的自动化处理工作
在此语境下，“持续”并不意味着数据处理必须是相关员工的主要职责，只要属于常规工作任务范围即可（即使程度较低）。
示例（前提是这些员工确实能够访问或处理个人数据）：
兼职人员、学生、实习生和临时工也算作员工。
反例：清洁人员、物业管理员。
示例：一家IT系统在线零售商共有14名员工，其中8名从事销售和订单处理，4名在客服部门，另有1名邮件营销经理和1名系统管理员。该公司已达到“持续有10名员工从事个人数据自动化处理”的门槛，必须任命数据保护官。
数据保护官可以是企业内部雇员，也可基于服务合同履行外部职责。巴伐利亚州数据保护监督局建议进行书面任命。关于其地位、权利和职责，请参阅相关规定。
10名员工门槛通常导致法定义务
几乎所有企业都会以自动化方式处理员工、客户或其他个人数据（如销售合作伙伴、网站访客数据）。拥有10名或以上员工的商家，若设有计算机工作站或以其他方式处理存储在计算机中的个人数据（包括最初手工接收订单的外勤销售人员），通常负有任命数据保护官的法定义务。
提示：即使您的企业目前尚未产生法定义务，GDPR及其他数据保护法规仍适用。您应指定专人负责确保合规，并评估该角色在企业组织结构中的定位。