Richtig ist: Sie müssen einen (externen) Datenschutzbeauftragten erst ab „mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten“ Beschäftigten benennen (§ 38 Abs. 1 BDSG).
Falsch ist: Sie müssen sich nicht weiter um den Datenschutz kümmern. Denn in dieser Pflciht stehen die Unternehmen unabhängig von der Beschäftigtenzahl.