Wanneer er eventuele subverwerkers ingeschakeld worden, en deze buiten de Europese Economische Ruimte (EER) gevestigd zijn, moeten de subverwerkers voldoen aan dezelfde waarborgen voor persoonsgegevens en bescherming hiervan als binnen de EER.
De EER bestaat uit alle landen van de Europese Unie, plus Liechtenstein, Noorwegen en IJsland.
Het is in 3 gevallen mogelijk om persoonsgegevens door te geven naar een land buiten de EER. Dit kan namelijk op basis van:
een adequaatheidsbesluit;
passende waarborgen, zoals een modelcontract, een gedragscode, certificering of ‘binding corporate rules’ (BCR);
specifieke uitzonderingen.
Voor sommige landen heeft de Europese Commissie bepaald dat hun nationale wetgeving een passend niveau van bescherming biedt. Voor dit soort landen is een adequaatheidsbesluit uitgegeven. De Commissie heeft bijvoorbeeld een adequaatheidsbesluit genomen voor het Verenigd Koninkrijk, Zweden en Japan. Voor deze landen is het dus niet nodig aanvullende waarborgen te treffen.