Auftragsverarbeiter ist eine Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Zur Rechtmäßigkeit des Austausches von personenbezogenen Daten muss ein Vertrag zur Auftragsverarbeitung abgeschlossen werden.  

Es muss mit jedem Dienstleister ein Auftragsverarbeitungsvertrag abgeschlossen werden, soweit der Dienstleister potenziell Zugang zu personenbezogenen Daten haben kann. Wesensmerkmal der Auftragsverarbeitung ist, dass personenbezogene Daten ausschließlich auf Weisungen des Verantwortlichen und zu Zwecken des Verantwortlichen verarbeitet werden. Der Auftragsverarbeiter darf von Gesetzes wegen Daten nicht zu eigenen Zwecken (weiter)verarbeiten. 

Beispiel zur Auftragsverarbeitung: In dem Vertrag zur Auftragsverarbeitung wird geregelt, welche personenbezogenen Daten eine Newsletter-Versandanbieter erhält (z. B. E-Mail-Adresse), wofür diese Daten verwendet werden dürfen (Bspw. um Versand von Newsletter an die Abonnenten) und wie diese personenbezogenen Daten von dem Newsletter-Versandanbieter geschützt werden müssen.