Der VCDPA verlangt, dass ein Verantwortlicher (z. B. die Entität, die den Zweck und die Mittel der Verarbeitung personenbezogener Daten bestimmt) und ein Datenverarbeiter (z. B. eine Entität, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet) eine Vereinbarung abschließen, die bestimmte Bedingungen für die Datenverarbeitung enthält. Die Bedingungen dieses Vertrags müssen bestimmte Bestimmungen enthalten, z. B.: Anweisungen zur Verarbeitung von Daten, Arten von datensubjekten Daten, Art und Zweck der Verarbeitung, Dauer der Verarbeitung sowie Rechte und Pflichten beider Parteien. Darüber hinaus muss der Vertrag Verpflichtungen im Zusammenhang mit Unteraufträgen, Bewertungen, Vertraulichkeitspflichten, Löschung oder Rückgabe personenbezogener Daten enthalten und die Einhaltung des VCDPA durch einen Auftragsverarbeiter nachweisen.
Microsoft kann unter bestimmten Umständen als Datenverarbeiter betrachtet werden, wenn dienste für unsere Kunden bereitgestellt werden. Wenn dies der Fall ist, erfüllen die Bedingungen des Microsoft Products and Services Data Protection Addendum (DPA) bereits die Anforderungen des VCDPA, da diese Anforderungen den vertraglichen Anforderungen der DSGVO ähneln; Es ist nicht erforderlich, den Vertrag Ihrer Organisation mit Microsoft zu aktualisieren. Wie in der Datenschutzbestimmungen dargelegt, hält Microsoft alle Gesetze und Vorschriften ein, die für die Bereitstellung der Onlinedienste gelten, einschließlich des VCDPA.