Bij verwerking in opdracht verwerkt een externe dienstverlener persoonsgegevens namens een bedrijf, bijvoorbeeld via een tool voor webanalyse of tracking zoals Google Analytics of Trackboxx voor de websitebeheerder.
Zodra een tool gegevens zoals IP-adressen of gebruikersgedrag verzamelt, is volgens de AVG een verwerkersovereenkomst vereist. Daarin worden het doel en de omvang van de verwerking en de technische beveiligingsmaatregelen vastgelegd.
Belangrijk: de websitebeheerder blijft verantwoordelijk voor gegevensbescherming, ook wanneer de verwerking wordt uitbesteed.