De verwerking door een verwerker wordt geregeld in een overeenkomst, die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin m.b.t. de verwerking worden omschreven:

• Het onderwerp.
• De duur.
• De aard.
• Het doel.
• Het soort persoonsgegevens.
• De categorieën van betrokkenen.
• De rechten en verplichtingen van de verwerkingsverantwoordelijke.

Die verwerkersovereenkomst bepaalt met name dat de verwerker:

• De persoonsgegevens uitsluitend verwerkt op basis van schriftelijke instructies van de verwerkingsverantwoordelijke.
• Waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.
• Passende technische en organisatorische maatregelen neemt om een op het risico afgestemd beveiligingsniveau te waarborgen.
• Wanneer een verwerker een andere verwerker in dienst neemt om voor rekening van de verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten te verrichten, worden aan deze andere verwerker dezelfde verplichtingen inzake gegevensbescherming opgelegd.
• De verwerkingsverantwoordelijke bijstand verleent bij het vervullen van diens plicht om verzoeken om uitoefening van de vastgestelde rechten van de betrokkene te beantwoorden.
• Na afloop van de verwerkingsdiensten, naargelang de keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens wist of deze aan hem terugbezorgt, en bestaande kopieën verwijdert, tenzij opslag van de persoonsgegevens Unierechtelijk of lidstaatrechtelijk verplicht is.

De verwerkingsverantwoordelijke alle informatie ter beschikking stelt die nodig is om de nakoming van de verplichtingen aan te tonen en audits, waaronder inspecties, door de verwerkingsverantwoordelijke of een door de verwerkingsverantwoordelijke gemachtigde controleur mogelijk maakt en eraan bijdraagt.