Le fondement juridique d'un accord de traitement des données est le Règlement général sur la protection des données (RGPD) de l'UE, entré en vigueur le 25 mai 2018. Ce règlement actualise et complète la législation précédente en matière de protection des données, qui était inscrite dans la loi fédérale allemande sur la protection des données (BDSG). La nouvelle BDSG intègre les dispositions du RGPD dans le droit national. Le traitement des données par un sous-traitant doit être fondé sur un contrat ou un autre instrument juridique qui décrit et définit les modalités de ce traitement ; celles-ci comprennent notamment les obligations et les droits du responsable du traitement et du sous-traitant, ainsi que les modalités de traitement des données à caractère personnel.
L’article 28 du RGPD – Sous-traitants – stipule notamment que le traitement de données pour le compte d’un responsable du traitement ne peut être effectué que par des sous-traitants qui apportent des garanties suffisantes quant à la protection des droits des personnes concernées. À cette fin, le sous-traitant doit mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir que le traitement des données transférées est conforme aux exigences du présent règlement.