De AVG verplicht de verwerkersverantwoordelijke om een overeenkomst of een andere rechtshandeling aan te gaan met de verwerker. Hierin worden afspraken vastgelegd.
In de overeenkomst staan in ieder geval afspraken over de verwerking, zoals het doel van de verwerking, de categorie persoonsgegevens, de vereiste certificeringen, termijnen, een datalekprotocol, maar ook de rechten en plichten uit de AVG voor beide partijen.
Deze afspraken kunnen apart in een verwerkersovereenkomst staan, maar kunnen ook onderdeel worden van een andere overeenkomst.