Gemäss Art. 9 Abs. 1 revDSG kann die Bearbeitung von Personendaten vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn: a. die Daten so bearbeitet werden, wie der Verantwortliche, d.h. die VE, selbst es tun dürfte; und b. keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. Der Auftragsbearbeiter handelt auf Weisung und für die Zwecke des Verantwortlichen, d.h. der VE. Wenn kein Vertrag mit einem Auftragsbearbeiter unterzeichnet wird (und auch keine gesetzliche Bestimmung zur Auftragsbearbeitung zwingt), kommt das Auftragsrecht (Art. 394ff. OR) zur Anwendung. Dieses bestimmt, dass, Verträge über Arbeitsleistung, die keiner besonderen Vertragsart des Obligationenrechts (OR) unterstellt sind, unter den Vorschriften über den Auftrag stehen (Art. 394 Abs. 2 OR). Das Zustandekommen des Auftrags bedarf keiner besonderen Form, also auch nicht der Schriftlichkeit (/im-internet-praktisch-alle-vetraege-formlos/). Dabei gilt es jedoch zu beachten, dass nicht jeder Auftragnehmer automatisch als Auftragsbearbeiter qualifiziert.