Die Mitgliedstaaten legen fest, dass Personen, die dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter unterstellt sind und Zugang zu personenbezogenen Daten haben, sowie der Auftragsverarbeiter selbst personenbezogene Daten nur auf Weisung des für die Verarbeitung Verantwortlichen oder nur dann verarbeiten dürfen, wenn das Unionsrecht oder das mitgliedstaatliche Recht dies vorschreibt.
De lidstaten bepalen dat de verwerker en eenieder die handelt onder het gezag van de voor de verwerking verantwoordelijke of van de verwerker en toegang heeft tot de persoonsgegevens, deze slechts mag verwerken in opdracht van de voor de verwerking verantwoordelijke, of wanneer hij op grond van de EU-wetgeving of de nationale wetgeving tot de verwerking verplicht is.
