Beschäftigte sind im Sinne des BDSG Arbeitnehmerinnen und Arbeitnehmer, einschließlich Leiharbeitnehmer. Zusätzlich auch Auszubildende, Rehabilitanden, Beschäftigte in anerkannten Werkstätten für behinderte beeinträchtigte Menschen, Aushilfen, Praktikanten, in Heimarbeit Beschäftigte, Freiwillige nach dem Jugendfreiwilligendienste- und Bundesfreiwilligendienste-Gesetz, ehrenamtliche Helfer und Angehörige. Bewerber und Personen, deren Beschäftigungsverhältnis beendet ist, gelten ebenfalls als Beschäftigte.

Durch die sogenannte Öffnungsklausel in Artikel 88 der DSGVO können einzelne Mitgliedstaaten den Beschäftigtendatenschutz durch eigene Rechtsvorschriften konkretisieren. In Deutschland regelt den Schutz von Beschäftigtendaten § 26 BDSG.

In Artikel 9 Absatz 1 DSGVO sind neben den "normalen" persönlichen Daten zusätzlich Informationen besonderer Art definiert, denen ein außerordentliches Schutzbedürfnis zugeschrieben wird. Hierzu zählen besonders sensible Daten zu einer Person, wie etwa Rasse und ethnische Herkunft, politische, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeiten, genetische Daten oder biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten sowie Daten zur sexuellen Orientierung.

Für nicht-öffentliche Stellen in Deutschland wurde Artikel 37 DSGVO (Benennung eines Datenschutzbeauftragten) durch Artikel 38 BDSG-neu erweitert und konkretisiert: Der Verantwortliche und der Auftragsverarbeiter müssen jeweils einen Datenschutzbeauftragten (DSB) benennen, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Zu diesen Zehn Personen zählen beispielsweise auch Teilzeitkräfte, Auszubildende, Aushilfen, Praktikanten, Leiharbeiter, ehrenamtliche Helfer und Angehörige, die mitarbeiten. Bedenkt man, dass bereits eine gemeinsame Adressdatei auf dem Computer eine automatisierte Verarbeitung sein kann, bedeutet dies für viele Unternehmen und Einrichtungen jeglicher Größe, dass sie längst einen DSB schriftlich bestellt haben müssten.

Die Benennung hat schriftlich zu erfolgen. Der Verantwortliche oder der Auftragsverarbeiter sind zudem verpflichtet, den bestellten DSB der zuständigen Datenschutz-Aufsichtsbehörde zu melden. Die meisten Aufsichtsbehörden der einzelnen Bundesländer stellen für diese Meldepflicht ein Online-Formular zur Verfügung.

Ein Datenschutzbeauftragter muss beim Verantwortlichen bzw. Auftragsverarbeiter immer dann und unabhängig von der Beschäftigtenzahl bestellt werden,

- wenn die Voraussetzungen für eine Datenschutz-Folgeabschätzung (DSFA) erfüllt sind oder

- wenn die Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- und Meinungsforschung verarbeitet werden.

Unterliegt Ihr Unternehmen der DSB-Bestellpflicht nicht, befreit Sie dieser Umstand jedoch nicht von Ihrer Pflicht, für ein angemessenes Datenschutzniveau zu sorgen. Die Verantwortung liegt in jedem Fall bei der vertretungsberechtigten Position (z.B. Geschäftsführer).

Betroffene Aufsichtsbehörde ist eine Aufsichtsbehörde, die von der Verarbeitung personenbezogener Daten betroffen ist, weil

a) der Verantwortliche oder der Auftragsverarbeiter im Hoheitsgebiet des Mitgliedstaats dieser Aufsichtsbehörde niedergelassen ist. In Deutschland sind das die Aufsichtsbehörden der einzelnen Bundesländer,

b) diese Verarbeitung erhebliche Auswirkungen auf betroffene Personen mit Wohnsitz im Mitgliedstaat (Bundesland) dieser Aufsichtsbehörde hat oder haben kann oder

c) eine Beschwerde bei dieser Aufsichtsbehörde eingereicht wurde.

Gem. Artikel 4 Abs. 1 DSGVO ist jede bestimmte oder bestimmbare natürliche Person (Mensch), zu der personenbezogene Daten gespeichert oder genutzt werden, eine betroffene Person („Betroffener).

Der Begriff impliziert, dass ein Betroffener, wenn seine Daten aus seiner Hand gegangen sind, nicht mehr vollumfänglich steuern kann, was mit solchen Informationen gemacht wird. Es ist das Ziel der DSGVO, die Betroffenen und ihre Daten und somit ihre Grundrechte und Grundfreiheiten zu schützen.

Biometrische Daten sind mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische (biometrische) Daten.

Biometrische Daten gelten als besondere Kategorie personenbezogener Daten  und unterliegen als solche besonders strengen Sicherheitsanforderungen.

Seit ihrer Einführung im Mai 2016 ersetzt die DSGVO das bisherige, zuletzt 2009 novellierte Bundesdatenschutzgesetz (BDSG). Die DSGVO regelt nun die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten für öffentliche Stellen und die Privatwirtschaft EU-weit einheitlich. Sie enthält jedoch einige Öffnungsklauseln, die eine detaillierte Regulierung ausgewählter Bereiche der nationalen Gesetzgebung überlässt. Da die alte Fassung des BDSG nicht mehr benötigt wird, wurden diese Änderungsregelungen, welche die BRD national definieren wollte, in eine Neufassung des BDSG überführt. Hierin ist zum Beispiel für in Deutschland ansässige Unternehmen die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses genauer festgeschrieben.