Die verantwortliche Stelle muss Dienstleister vor der Beauftragung zur Verarbeitung personenbezogener Daten sorgfältig und unter besonderer Berücksichtigung der von ihnen getroffenen technischen und organisatorischen Maßnahmen sorgfältig auswählen. Die getroffenen technischen und organisatorischen Maßnahmen muss die verantwortliche Stelle während der Dauer des Auftrags fortlaufend kontrollieren und das Ergebnis dokumentieren. In der Praxis sind gesetzlich vorgeschriebene dokumentierte Dienstleisterkontrollen eher die Ausnahme als die Regel.