Der Auftragsverarbeiter und jede der EUStA oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu operativen personenbezogenen Daten hat, dürfen diese Daten nur auf Weisung der EUStA verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht eines Mitgliedstaats der Europäischen Union zur Verarbeitung verpflichtet sind.