Hvis en privat virksomhed (en dataansvarlig) bruger en ekstern leverandør (en databehandler) til at holde styr på, behandle eller opbevare sine kundeinformationer, er det et krav, at de to virksomheder indgår en skriftlig aftale om, hvordan leverandøren må og skal behandle virksomhedens personoplysninger. Det kaldes en databehandleraftale.

Databehandleraftalerne skal overholde visse minimumskrav, som fremgår af forordningens artikel 28, stk. 3.

I persondatauniverset finder du også en model for en databehandleraftale, der ud over at leve op til forordningens minimumskrav, foreslår nogle vilkår, der afbalancerer hensynet mellem den dataansvarlige og databehandleren.