Neben den Vertragverhältnissen zwischen Auftraggeber und Dienstleiter und etwaigen Dritten (Rechenzentrumsbetreiber, Cloud Anbieter, ...) müssen unter Umständen auch datenschutzrechtliche Aspekte berücksichtigt werden. Insbesondere dort, wo sensible Daten natürlicher Personen verarbeitet werden. Dabei gibt es teilweise sehr unterschiedliche Ansichten von Datenschützer, ob ein Penetrationstest selbst eine Form der Auftragsdatenverarbeitung darstellt oder nicht. In jedem Fall sollte man bei oder besser vor der Auftragsvergabe die jeweiligen Datenschutbeauftragten einbinden.

Insbesondere bei Tests mit Social Engineering Anteilen sollte man auch im Vorfeld das Gespräch mit dem Betriebsrat suchen. In der Regel lassen sich im Vorfeld etwaige Bedenken in Bezug auf Mitarbeiter- und Leistungsbewertung ausräumen. Etwaige im Rahmen der Tests erhobene personenbezogene oder personenbeziehbare Daten sollten von den Tester soweit wie möglich nicht erfasst oder umgehend anonymisiert werden. Im Bericht haben solche Informationen nichts verloren.