De uitvoering van verwerkingen door de verwerker wordt geregeld in een overeenkomst waardoor een verbintenis ontstaat tussen de verwerker en de verwerkingsverantwoordelijke.1 Er dient derhalve alleen een verwerkersovereenkomst te worden gesloten tussen de verwerkingsverantwoordelijke en verwerker en tussen de verwerker en subverwerkers. In het geval dat een organisatie als verwerker wordt bestempeld en niet als verwerkingsverantwoordelijke, om vervolgens een verwerkersovereenkomst te sluiten met een andere verwerkingsverantwoordelijke, kan zich in een hoek klemzetten.
In een relatie tussen twee verwerkingsverantwoordelijken rijst bijvoorbeeld de vraag voor beide partijen wat de grondslag van verwerking is voor de wederpartij. In het geval de ene verwerkingsverantwoordelijke zijn grondslag mist, is de andere verwerkingsverantwoordelijke niet gerechtvaardigd om de gegevens naar de andere verwerkingsverantwoordelijke te sturen. Voorts zal de verwerkingsverantwoordelijke die als verwerker een bewerkingsovereenkomst heeft getekend met een andere verwerkingsverantwoordelijke , zijn eigen verplichtingen wellicht niet na kunnen komen. Hij zegt immers als verwerker toe de gegevens niet voor eigen doeleinden te verwerken.