Die Übergangsfrist, innerhalb derer ein Datenschutzbeauftragter hätte bestellt werden müssen, ist bereits im Mai 2004 abgelaufen. Die Unternehmen haben einen Beauftragten zu benennen, wenn sie bei der automatisierten Datenverarbeitung mindestens fünf Arbeitnehmer oder bei Verarbeitung auf andere Weise mindestens 20 Personen beschäftigen.
Der PC-Feuerwehr zufolge muss der betriebliche Datenschutzbeauftragte nicht unbedingt hauptberuflich beschäftigt werden. Erst Firmen, die eine gewisse Größe erreicht haben und daher in erheblichem Umfang personenbezogene Daten verarbeiten, benötigen einen solchen.