Als er persoonsgegevens tussen partijen worden uitgewisseld, moet rekening worden gehouden met Uitvoeringswet Algemene verordening gegevensbescherming (AVG).
Bij een uitwisseling van persoonsgegevens tussen partijen is een privacy-overeenkomst wettelijk noodzakelijk. Deze wordt als bijlage bij de aanbestedingsdocumenten gevoegd. Het is noodzakelijk om de privacy-officer in de voorbereidende fase van de aanbesteding om advies te vragen over de benodigde overeenkomsten. Iedere vastgestelde privacy-overeenkomst komt in beheer in het privacy-register overeenkomsten. De privacy-officer adviseert in de voorbereidende fase ook over het taxeren van het risico voor de bescherming van persoonsgegevens.