Nicht ganz sauber recherchiert..

"Wenn in einem Unternehmen mehr als zehn Personen hauptsächlich damit
beschäftigt sind, personenbezogene Daten automatisiert zu erheben, zu
verarbeiten oder zu nutzen, muss ein Datenschutzbeauftragter berufen
werden."

Im Gesetz heisst es:
"Die Sätze 1 und 2 [Pflicht zur Bestellung eines
Datenschutzbeauftragten] gelten nicht für die nichtöffentlichen
Stellen, die in der Regel höchstens neun Personen ständig mit der
automatisierten Verarbeitung personenbezogener Daten beschäftigen."

D.h. ein Datenschutzbeauftragter muss *ab 10* Beschäftigten die
personenbezogene Daten verarbeiten bestellt werden.

Das Gleiche gilt, wenn personenbezogene Daten auf andere Weise [nicht
automatisiert] erhoben, verarbeitet oder genutzt werden und damit in
der Regel mindestens 20 Personen beschäftigt sind.