Grundsätzlich steht es dem Verantwortlichen frei, seine Datenverarbeitung an eine oder mehrere Auftragsverarbeiter auszulagern. Er ist jedoch verpflichtet sicherzustellen, dass die von ihm ausgewählten Auftragsverarbeiter hinreichend Garantien dafür bieten, dass die Verarbeitung im Einklang mit der DSGVO durchgeführt werden kann (Art 28 Abs 1).
