Правовой основой для соглашения об обработке данных является Общий регламент ЕС по защите данных (GDPR), вступивший в силу 25 мая 2018 года. Этот регламент обновляет и дополняет предыдущий закон о защите данных, закрепленный в Федеральном законе Германии о защите данных (BDSG). Новый BDSG включает в национальное законодательство правила, установленные в GDPR. Обработка данных обработчиком данных должна основываться на договоре или другом правовом документе, который описывает и согласовывает дальнейшие требования к обработке данных; к ним относятся, помимо прочего, обязанности и права контролера и обработчика данных, а также порядок обработки персональных данных.
Статья 28 GDPR – «Обработчики данных» – предусматривает, в частности, что обработка данных от имени контролера может осуществляться только обработчиками данных, которые предоставляют достаточные гарантии защиты прав субъектов данных. С этой целью обработчик данных должен внедрить соответствующие технические и организационные меры для обеспечения соответствия обработки передаваемых данных требованиям настоящего Регламента.