Grundsätzlich ist die Datenverarbeitung verboten. Erhält jemand Daten so dürfen diese nicht an Dritte weitergegeben werden, es sei denn, der Betroffene hat einer Weitergabe seiner Daten an Dritte ausdrücklich zugestimmt. Das macht es in der Praxis jedoch fast unmöglich einen Auftragsverarbeiter zu wechseln, da mit jedem Wechsel der Auftragsverarbeiters von dem Betroffenen eine Einwilligung eingeholt werden müsste.
Da dies in der Praxis nicht zumutbar wäre gibt es die Institution der Auftragsverarbeitung. In einem Auftragsverarbeitungsvertrag wird dem Verantwortlichen die Weitergabe der Daten des Betroffenen an Dritte gestattet. Der Auftragsverarbeitungsvertrag gibt dem Auftragsverarbeiter das Recht die Daten des Auftragsgebers für die im Vertrag geregelten Zwecke zu verarbeiten.