Ein Dritter i.S.v. Art. 4 Abs. 10 DSGVO ist jede natürliche Person, Behörde oder sonstige Stelle, welche nicht die betroffene Person selbst, der Verantwortliche, der Auftragsverarbeiter oder jeder, der zur Verarbeitung der betroffenen personenbezogenen Daten befugt ist, ist. Unter Letztere fallen vor allem Mitarbeiter des Verantwortlichen oder Auftragsverarbeiter.
Bei der Figur des „Dritten" handelt es sich vor allem um ein Abgrenzungskriterium, um zu ermitteln, wer zur Einhaltung der DSGVO-Bestimmungen verpflichtet ist.