1. De lidstaten schrijven voor dat, wanneer verwerking namens een verwerkingsverantwoordelijke wordt verricht, de verwerkingsverantwoordelijke uitsluitend een beroep doet op verwerkers die afdoende garanderen dat de passende technische en organisatorische maatregelen en procedures zodanig worden geïmplementeerd dat bij de verwerking aan de vereisten van deze richtlijn wordt voldaan en de bescherming van de rechten van de betrokkene wordt gewaarborgd.
2. De lidstaten schrijven voor dat de verwerker geen andere verwerker in dienst neemt zonder de voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. In het geval van een algemene schriftelijke toestemming licht de verwerker de verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van andere verwerkers, waarbij de verwerkingsverantwoordelijke de mogelijkheid wordt geboden tegen deze veranderingen bezwaar te maken.
3. De lidstaten schrijven voor dat de verwerking door een verwerker in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht wordt geregeld die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen en de verplichtingen en de rechten van de verwerkingsverantwoordelijke worden omschreven. In die overeenkomst of andere rechtshandeling wordt met name bepaald dat de verwerker:
a) uitsluitend volgens de instructies van de verwerkingsverantwoordelijke handelt;
b) ervoor zorgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verplicht vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid gebonden zijn;
c) de verwerkingsverantwoordelijke met passende middelen bijstaat om naleving van de bepalingen betreffende de rechten van de betrokkene te verzekeren;
d) na afloop van de gegevensverwerkingsdiensten, naargelang de keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens wist of hem deze terugbezorgt, en bestaande kopieën verwijdert, tenzij opslag van de persoonsgegevens bij het Unierecht of het lidstatelijke recht is verplicht;
e) de verwerkingsverantwoordelijke alle informatie ter beschikking stelt die nodig is om nakoming van dit artikel aan te tonen;
f) aan de in de leden 2 en 3 bedoelde voorwaarden voor indienstneming van een andere verwerker voldoet.
4. De in lid 3 bedoelde overeenkomst of andere rechtshandeling is gesteld in schriftelijke vorm, onder meer in elektronische vorm.
5. Indien een verwerker in strijd met deze richtlijn de doeleinden en middelen van de verwerking bepaalt, wordt die verwerker met betrekking tot die verwerking als de verwerkingsverantwoordelijke beschouwd.
