Verantwortlich ist die Stelle oder Person, die entscheidet, dass personenbezogene Daten erhoben werden und zu welchem Zweck. In einer Kapitalgesellschaft ist das die juristische Person, also das Unternehmen selbst. Bei einem Einzelunternehmen oder einer Privatperson, deren Verarbeitung unter die Verordnung fällt, ist die natürliche Person verantwortlich.