Het komt vaak voor dat bij de gegevensverwerking externe partijen worden betrokken. In dat geval moeten er afspraken met deze partijen worden gemaakt over de omgang met persoonsgegevens, de beveiliging en de meldplicht datalekken. Hetzelfde geldt voor een verwerker die zelf ook weer een (sub)verwerker inschakelt. Voorbeelden van een verwerkersovereenkomst vind je in de FMB. Een (sub)verwerker mag alleen een persoon of bedrijf zijn die voldoende garanties biedt voor de beveiliging van de verwerking van persoonsgegevens. De (sub)verwerker is verplicht om aan te tonen dat de in de verwerkersovereenkomst vastgelegde verplichtingen ook worden nagekomen.
Worden met een partij gegevens uitgewisseld die ook deze partij voor eigen doelen gebruikt, dan is de verwerker ook verwerkingsverantwoordelijke. Extra onderlinge afspraken zijn dan nodig over de verdeling van de verantwoordelijkheden en over wie de betrokkenen informeert en verzoeken afhandelt.
