# Smlouva o zpracování osobních údajů: kontrolní seznam pro webové nástroje > Kdy potřebujete smlouvu o zpracování podle čl. 28 GDPR, jaké má povinné náležitosti a na co dbát u analytických a marketingových nástrojů. Quelle: https://whovisit.app/cs/blog/smlouva-o-zpracovani-osobnich-udaju-webove-nastroje Veröffentlicht: 2026-11-07 Herausgeber: Whovisit (ARAVILO, Innsbruck) Téměř každý nástroj, který na webu používáte, zpracovává údaje z vašeho pověření: webová analytika, newsletter, CRM, heatmapa, chat. Jakmile jsou ve hře osobní údaje, GDPR vyžaduje smlouvu s poskytovatelem. Nazývá se smlouva o zpracování osobních údajů, německy Auftragsverarbeitungsvertrag, zkráceně AV-Vertrag nebo AVV. Tento článek vysvětluje, kdy ji potřebujete, co musí obsahovat a na co myslet při výběru nástroje. ## Kdy potřebujete smlouvu o zpracování Čl. 28 GDPR platí, pokud poskytovatel služeb zpracovává osobní údaje **z vašeho pověření** a podle vašich pokynů. Vy jste pak správce, poskytovatel je zpracovatel. Znění právního předpisu najdete v [GDPR na EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679). Ne každý vztah je zpracování z pověření. Rozlišujte tři konstelace: | Konstelace | Znak | Smlouva | |---|---|---| | Zpracování z pověření | Poskytovatel jedná jen podle vašich pokynů | Smlouva o zpracování podle čl. 28 | | Společná odpovědnost | Vy a poskytovatel rozhodujete společně o účelu a prostředcích | Ujednání podle čl. 26 | | Vlastní správce | Poskytovatel používá údaje k vlastním účelům | Podle případu vlastní právní základ a předání | Rozhodující je, kdo určuje účel a prostředky, nikoli název smlouvy. Poskytovatel, který údaje využívá i k vlastním účelům, například ke zlepšování vlastních produktů nad rámec služby pro vás, už pro tuto část není zpracovatelem. Podle čl. 28 odst. 10 se zpracovatel, který sám určuje účel a prostředky, pro toto zpracování považuje za správce. ## Povinné náležitosti podle čl. 28 odst. 3 Smlouva musí stanovit předmět a dobu trvání zpracování, povahu a účel, druh údajů a kategorie subjektů údajů. Dále musí stanovit, že zpracovatel: - **a)** zpracovává údaje jen na základě zdokumentovaných pokynů, i při předání do třetí země, - **b)** používá osoby zavázané k mlčenlivosti, - **c)** přijímá opatření podle čl. 32, - **d)** dodržuje podmínky pro další zpracovatele, - **e)** pomáhá vám při žádostech subjektů údajů, - **f)** pomáhá vám při plnění povinností podle čl. 32 až 36, - **g)** po skončení služby podle vaší volby údaje vymaže nebo vrátí, - **h)** poskytuje doklady a umožňuje kontroly. Smlouva musí být uzavřena písemně, elektronická forma postačí (odst. 9). Vzorový rámec nabízí Evropská komise v podobě [standardních smluvních doložek pro zpracování](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Podle čl. 28 odst. 6 se na ně smlouva může opírat zcela nebo zčásti. ## Subdodavatelé Pokud poskytovatel sám využívá další dodavatele, například hostingovou firmu, platí dvě pravidla z čl. 28 odst. 2 a 4: - Potřebuje vaše předchozí zvláštní nebo obecné písemné povolení. Při obecném povolení vás musí informovat o každé plánované změně. Pak můžete vznést námitku. - Musí subdodavatelům uložit stejné povinnosti v oblasti ochrany údajů. Pokud to subdodavatel nesplní, odpovídá vám první zpracovatel. Požádejte proto poskytovatele o aktuální seznam jeho subdodavatelů se sídlem a úkolem. ## Třetí země Pokud se údaje zpracovávají mimo EU a EHP nebo jsou odtud dostupné, platí navíc pravidla pro předání do třetích zemí (kapitola V, čl. 44 a násl. GDPR). Obvyklé jsou tři cesty: rozhodnutí Komise o odpovídající ochraně, standardní smluvní doložky pro předání, nebo závazná podniková pravidla. Pro USA existuje od roku 2023 [rozhodnutí o odpovídající ochraně k rámci EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Platí jen pro podniky, které se do rámce zapojily. Je soudně napadáno, ověřte si aktuální stav. Server v EU téma vyřeší, pokud k údajům nemůže přistupovat ani poskytovatel, ani subdodavatel ze třetí země. ## Kontrolní seznam pro analytické a marketingové nástroje 1. **Ujasnit roli.** Zpracovává poskytovatel jen pro vás, nebo i k vlastním účelům? 2. **Zkontrolovat smlouvu.** Jsou v ní všechny body z čl. 28 odst. 3? 3. **Popsat údaje.** Jsou druh údajů a kategorie subjektů uvedeny konkrétně? 4. **Prohlédnout subdodavatele.** Existuje seznam a postup při změnách? 5. **Zjistit umístění serverů.** Kde údaje leží, kdo k nim může přistupovat? 6. **Zdokumentovat cestu pro třetí zemi.** Jaký základ nese předání? 7. **Upravit výmaz.** Co se s údaji stane po skončení smlouvy? 8. **Přečíst technická opatření.** Šifrování, přístupová práva, protokolování. Uložte smlouvu k dokumentaci a zahrňte nástroj do záznamů o činnostech zpracování podle čl. 30 GDPR. Právě u nástrojů, které se načítají až po souhlasu, je smlouva druhým, samostatným předpokladem. Souhlas na zařízení ji nenahrazuje, jak ukazuje článek [§ 25 TDDDG: cookies a tracking v Německu](https://whovisit.app/blog/tdddg-paragraf-25-cookies). ## Co hrozí při porušení Pokud smlouva chybí nebo je neúplná, může to dozorový úřad vytknout. Za porušení povinností podle čl. 28 stanoví čl. 83 odst. 4 GDPR pokuty až do výše 10 milionů eur nebo až 2 procent celosvětového ročního obratu, podle toho, která částka je vyšší. To je rámec, nikoli prognóza pro jednotlivý případ. ## A ve Švýcarsku? Švýcarský zákon o ochraně údajů upravuje zpracování zpracovatelem v čl. 9 DSG. Myšlenka je podobná, formulace jiná. Kdo v EU oslovuje subjekty údajů, zpravidla potřebuje smlouvu podle GDPR. Zda se to týká vaší nabídky, vysvětluje článek [Webový tracking ve Švýcarsku: revDSG a FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg). ## Časté otázky **Potřebuji smlouvu o zpracování, když nástroj zobrazuje jen názvy firem?** Záleží na tom, zda poskytovatel přitom pro vás zpracovává osobní údaje, například IP adresy, byť jen krátce. V případě pochybností smlouvu uzavřete, stojí téměř nic. Zda je IP adresa osobním údajem, vysvětluje článek [IP adresa a GDPR: je osobním údajem?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo). **Stačí přijmout obchodní podmínky poskytovatele?** Jen pokud jsou v nich všechny povinné náležitosti a úprava je jasně rozpoznatelná jako smlouva nebo dodatek. Mnoho poskytovatelů nabízí smlouvu o zpracování k uzavření jako samostatný dokument. **Musím smlouvu podepsat?** Musí být uzavřena písemně. Elektronická forma podle čl. 28 odst. 9 postačí, proto je běžné uzavření kliknutím.