Op grond van de AVG is een verwerkersovereenkomst vereist wanneer gegevens worden verwerkt door een verwerker namens de verwerkingsverantwoordelijke. Een verwerker is iemand die in opdracht van een andere organisatie persoonsgegevens verwerkt, maar niet gebruikt voor eigen doeleinden.
Een voorbeeld van een verwerker is een administratiekantoor dat wordt ingeschakeld om salarisuitbetalingen te verwerken of een clouddienst die persoonsgegevens opslaat voor een zorgaanbieder.
Wanneer sprake is van hoofd- en onderaannemerschap, is het alleen verplicht om een verwerkersovereenkomst af te sluiten als de onderaannemer persoonsgegevens verwerkt. De verwerkersovereenkomst vult de overeenkomst voor hoofd- en onderaannemerschap aan en vervangt deze niet. Beide overeenkomsten kunnen dus naast elkaar bestaan.