Externe Dienstleister wie Werbeagenturen oder ITPartner dürfen personenbezogene Daten nur unter bestimmten Bedingungen verarbeiten. So muss neben der Genehmigung durch den zentralen Einkauf und die zuständige Fachbereichsleitung geprüft werden, ob der Partner die Daten zuverlässig und sicher verarbeiten kann, welches Risiko für die Betroffenen dabei entstehen kann und ein schriftlicher Vertrag oder mindestens eine Vertraulichkeitserklärung vorliegen.