Wenn ein Dritter für den Verantwortlichen die Datenverarbeitung vornimmt, handelt es sich um eine sogenannte Datenverarbeitung im Auftrag bzw. Auftragsverarbeitung. In diesem Fall sind die Vorgaben von Art. 28 DSGVO zu beachten. U.a. darf nur mit solchen Diensleistern bzw. Auftragsverarbeitern zusammengerarbitet werden, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet. Außerdem muss die Verarbeitung auf der Grundlage eines sogenannten Auftragsverarbeitungsvertrags erfolgen, der streng vorgegebene Regeln enthalten muss.