Databehandleren må kun behandle personoplysninger efter den dataansvarliges dokumenterede instruks. Det gælder også overførsel til tredjelande, medmindre EU-ret eller national ret kræver andet.
En mundtlig aftale om hvad leverandøren må. Instruksen skal være dokumenteret, og selve aftalen er som regel den vigtigste del af dokumentationen.