Ein Dritter i.S.v. Art. 4 Abs. 10 DSGVO ist jede natürliche Person, Behörde oder sonstige Stelle, welche nicht die betroffene Person selbst, der Verantwortliche, der Auftragsverarbeiter oder ein zur Verarbeitung der betroffenen personenbezogenen Daten Befugter ist. Unter Letztere fallen vor allem Mitarbeiter des Verantwortlichen oder Auftragsverarbeiter.
Bei der Figur des „Dritten" handelt es sich vor allem um ein Abgrenzungskriterium, um zu ermitteln, wer zur Einhaltung der DSGVO-Bestimmungen verpflichtet ist.