Artikel 29 der Datenschutzgrundverordnung
Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.
Zur Übersicht aller Artikel des DSGVO Gesetzestextes
Mehr Details zur Datenschutzgrundverordnung - DSGVO