Ein Auftragsverarbeiter ist eine dritte Partei, die zum Beispiel organisatorische, logistische oder technische Prozesse für ein anderes Unternehmen übernimmt und dadurch Kenntnis über personenbezogene Daten erhält und diese verarbeitet. Ein wichtiges Kriterium für Auftragsverarbeiter ist, dass sie bei der Durchführung ihrer Aufträge weisungsgebunden sind. Beispiele für Auftragsverarbeiter sind IT-Systemhäuser, Software-Anbieter, die Wartungsarbeiten durchführen, Cloud-Anbieter, Software as a Service-Anbieter, Callcenter, die Bestandskunden anrufen oder auch Druckereien, sofern sie für ihren Auftrag Listen mit Namen erhalten, um zum Beispiel personalisierte Einladungen zu versenden.

Alle Berufe, die weisungsfrei agieren, sind im Übrigen keine Auftragsverarbeiter. Beispiele sind Steuerberater, Rechtsanwälte oder Datenschutzbeauftragte.

Zu den Pflichten und Rechten des Auftragsverarbeiters gehören unter anderem Kontrollpflichten, Vertraulichkeitsvereinbarungen, Rechte zur Beauftragung von Subunternehmern sowie Datenrückübertragungs- und Löschverfahren. Durch einen Auftragsverarbeitungsvertrag stellt der Auftraggeber sicher, dass der Auftragsverarbeiter seinen vertraglichen und gesetzlichen Verpflichtungen nachkommt.