La base jurídica para un acuerdo de tratamiento de datos es el Reglamento General de Protección de Datos (RGPD) de la UE, que entró en vigor el 25 de mayo de 2018. Este reglamento actualiza y complementa la legislación anterior en materia de protección de datos, recogida en la Ley Federal Alemana de Protección de Datos (BDSG). La nueva BDSG incorpora las normas establecidas en el RGPD al derecho nacional. El tratamiento de datos por parte de un encargado del tratamiento debe basarse en un contrato u otro instrumento jurídico que describa y acuerde los requisitos adicionales para dicho tratamiento; estos incluyen, entre otros, las obligaciones y los derechos del responsable y del encargado del tratamiento, así como el tratamiento de los datos personales.
El artículo 28 del RGPD – Encargados del tratamiento – estipula, en particular, que el tratamiento de datos por cuenta del responsable del tratamiento solo podrá ser realizado por encargados del tratamiento que ofrezcan garantías suficientes de la protección de los derechos de los interesados. A tal efecto, el encargado del tratamiento deberá aplicar medidas técnicas y organizativas adecuadas para asegurar que el tratamiento de los datos transferidos cumpla con los requisitos del presente Reglamento.