In den meisten Fällen greift bei Unternehmen eher die 20-Mitarbeiterregel. Wenn Sie um diese 20 Mitarbeiter herum liegen, sollten Sie genau prüfen, welche Mitarbeiter davon tatsächlich "ständig automatisiert personenbezogene Daten" verarbeiten. Auch die Einschränkung "in der Regel" kann (falls es Spitz-auf-Knopf steht) für Sie ausschlaggebend sein.

Machen Sie sich lieber erstmal selber ein Bild davon, ob Sie diese Grenze reißen. Denn Sie kennen Ihr Unternehmen am besten. Wenn Sie einen externen Datenschutzbeauftragten fragen, wird der Ihnen mit Sicherheit sagen, dass Sie ihn definitiv benennen müssen! Oder Sie fragen mich und Sie erhalten eine wertneutrale Einschätzung.

Anders ausgedrückt müssen Sie nach europäischen Recht einen Datenschutzbeauftragten benennen, falls Sie ein Altersheim betreiben, eine Arztpraxis führen, zu anderen Dienstleistern im Gesundheitssektor gehören (z. B. Apotheke, Hospiz, Fitnessstudio), wenn Sie klinische Studien durchführen, wenn Sie eine Gewerkschaft managen oder wenn Sie ein Strafverteidiger mit eigener Kanzlei sind.

Auch müssen Sie einen Datenschutzbeauftragten benennen, falls Sie eine Profilbildung von Personen (analog oder digital) vornehmen bzw. wenn Sie Videoüberwachung oder GPS-Tracking vornehmen. Also wenn Sie eine Auskunftei betreiben, wenn Sie Apps mit Standortdatenverarbeitung anbieten, als Detektei, als Personenschützer oder als Personalvermittler bzw. Partnervermittlungsagentur.

Falsch dagegen ist die Definition einer Datenpanne (nach DSGVO), welche Sie in Wikipedia finden. Da ist nur die Rede von einer Datenpanne als "ein Vorfall, bei dem Unberechtigte Zugriff auf eine Datensammlung erhalten".