Schließlich ist es denkbar, dass der Dritte sämtliche Aspekte des Betriebs eines IAM selbst erbringt, z.B. im Rahmen eines Identity & Access Management as a Service (IAMaas). Dann ergeben sich keine Unterschiede zu den Konstellationen 2 und 3. Es besteht ein umfangreiches Vertragsverhältnis zwischen dem Unternehmen und dem Dritten. Aus diesem Vertragsverhältnis kann der Unternehmen im Falle von Schlechtleistungen gegen den Dritten vorgehen (Nachbesserung, Minderung, Rücktritt oder Schadensersatz). Welche Ansprüche bestehen, ist schließlich erneut eine Frage des Einzelfalls.