Wenn im Rahmen eines Auftrags personenbezogenen Daten an Dritte weitergegeben und diese dort verarbeitet und genutzt werden, muss mit diesen Dritten ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden. Festgehalten wird diese Pflicht in Art. 28 DSGVO.