Nach dem  § 38 BDSG-neu haben Unternehmen wie nach bisherigem Recht einen Datenschutzbeauftragten zu bestellen, wenn mindestens 10 Personen ständig mit der Datenverarbeitung beschäftigt sind. Darüber hinaus ist aber unabhängig von der Personenzahl ein Datenschutzbeauftragter zu bestellen, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vorgenommen werden muss. Dies ist der Fall bei  Videoüberwachung oder der Verarbeitung von Gesundheitsdaten.