Merz-Datenschutz, Pflichten Auftragsverarbeiter