Volgens de GDPR is een gegevensverwerkingsovereenkomst (DPA) een schriftelijke overeenkomst tussen een voor de verwerking verantwoordelijke en een verwerker van persoonsgegevens. De voor de verwerking verantwoordelijke is de entiteit die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, terwijl de verwerker de entiteit is die namens de voor de verwerking verantwoordelijke persoonsgegevens verwerkt.
In een DPA worden de voorwaarden vastgesteld waaronder de verwerker namens de voor de verwerking verantwoordelijke persoonsgegevens zal verwerken. Dit omvat doorgaans bepalingen betreffende de omvang van de verwerking, de doeleinden waarvoor de persoonsgegevens zullen worden gebruikt, de beveiligingsmaatregelen die zullen worden genomen om de persoonsgegevens te beschermen, en de rechten van de betrokkenen.
Onder de GDPR is een DPA verplicht om een beroep te kunnen doen op een gegevensverwerker.