Was Betriebe und Einrichtungen hauptsächlich leisten z. B. Gebäude planen, Waren verkaufen, Heizungen und Bäder installieren, Studierende ausbilden, Klienten beraten oder vor Gericht vertreten, ambulante Hilfen bereitstellen, Wohn- und Gewerberäume vermieten, Kurse und Seminare anbieten, … bestimmt, was sie sind und was ihre Kerntätigkeit ausmacht. Auch Betriebe und Einrichtungen sammeln, speichern, verwenden, aktualisieren und löschen die Daten ihrer Mitarbeiter, ihrer Kunden/Klienten oder Lieferanten. Die Verarbeitung von personenbezogenen Daten stellt in der Regel nicht das Kerngeschäft dar (Ausnahmen: Dedekteien, Auskunfteien, Rating-Agenturen, … ).

Sobald ein Betrieb oder Einrichtung Personendaten erhebt, sammelt, auswertet, weitergibt, löscht, speichert, kurz verarbeitet, hat die Betriebsleitung den Nachweis zu führen, das sie das verbriefte Recht der betreffenden Personen auf Schutz der Daten umsetzt¹. Datenschutzverletzungen bergen unterschiedliche Gefahren für die betroffenen Personen. Jede Verarbeitungstätigkeit stellt ein potenzielles Risiko dar.