# Σύμβαση εκτέλεσης επεξεργασίας: λίστα ελέγχου για εργαλεία ιστότοπου

> Πότε χρειάζεστε σύμβαση εκτέλεσης επεξεργασίας κατά το άρθρο 28 GDPR, ποιο είναι το υποχρεωτικό περιεχόμενο και τι προσέχετε σε εργαλεία ανάλυσης και μάρκετινγκ.

Quelle: https://whovisit.app/el/blog/symvasi-ektelesis-epexergasias-ergaleia-istoselidas
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Σχεδόν κάθε εργαλείο που χρησιμοποιείτε στον ιστότοπό σας επεξεργάζεται δεδομένα για λογαριασμό σας: ανάλυση ιστότοπου, ενημερωτικό δελτίο, CRM, heatmap, συνομιλία. Μόλις εμπλέκονται δεδομένα προσωπικού χαρακτήρα, ο GDPR απαιτεί σύμβαση με τον πάροχο. Λέγεται σύμβαση εκτέλεσης επεξεργασίας, με τη γερμανική συντομογραφία AV-Vertrag ή AVV. Το άρθρο αυτό εξηγεί πότε τη χρειάζεστε, τι πρέπει να περιέχει και τι να έχετε υπόψη στην επιλογή ενός εργαλείου.

## Πότε χρειάζεστε σύμβαση εκτέλεσης επεξεργασίας

Το άρθρο 28 GDPR ισχύει όταν ένας πάροχος υπηρεσιών επεξεργάζεται δεδομένα προσωπικού χαρακτήρα **για λογαριασμό σας** και σύμφωνα με τις οδηγίες σας. Τότε εσείς είστε ο υπεύθυνος επεξεργασίας και ο πάροχος ο εκτελών την επεξεργασία. Το κείμενο του νόμου θα βρείτε στο [GDPR στο EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679).

Δεν είναι κάθε σχέση εκτέλεση επεξεργασίας. Πρέπει να ξεχωρίζετε τρεις περιπτώσεις:

| Περίπτωση | Χαρακτηριστικό | Σύμβαση |
|---|---|---|
| Εκτέλεση επεξεργασίας | Ο πάροχος ενεργεί μόνο κατόπιν οδηγίας σας | Σύμβαση εκτέλεσης επεξεργασίας κατά το άρθρο 28 |
| Από κοινού ευθύνη | Εσείς και ο πάροχος αποφασίζετε από κοινού για τον σκοπό και τα μέσα | Συμφωνία κατά το άρθρο 26 |
| Ξεχωριστός υπεύθυνος επεξεργασίας | Ο πάροχος χρησιμοποιεί τα δεδομένα για δικούς του σκοπούς | Ανάλογα με την περίπτωση, δική του νομική βάση και διαβίβαση |

Αποφασιστικό είναι ποιος καθορίζει τον σκοπό και τα μέσα, και όχι πώς ονομάζεται η σύμβαση. Ένας πάροχος που χρησιμοποιεί τα δεδομένα και για δικούς του σκοπούς, για παράδειγμα για τη βελτίωση των δικών του προϊόντων πέρα από την υπηρεσία προς εσάς, δεν είναι πλέον εκτελών την επεξεργασία για αυτό το μέρος. Σύμφωνα με το άρθρο 28 παρ. 10, ο εκτελών την επεξεργασία που καθορίζει ο ίδιος σκοπό και μέσα θεωρείται για αυτή την επεξεργασία υπεύθυνος επεξεργασίας.

## Υποχρεωτικό περιεχόμενο κατά το άρθρο 28 παρ. 3

Η σύμβαση πρέπει να καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό, το είδος των δεδομένων και τις κατηγορίες των υποκειμένων. Επιπλέον πρέπει να προβλέπει ότι ο εκτελών την επεξεργασία:

- **α)** επεξεργάζεται τα δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών, και σε περίπτωση διαβίβασης σε τρίτη χώρα,
- **β)** χρησιμοποιεί πρόσωπα που δεσμεύονται από εμπιστευτικότητα,
- **γ)** λαμβάνει τα μέτρα του άρθρου 32,
- **δ)** τηρεί τους όρους για περαιτέρω εκτελούντες την επεξεργασία,
- **ε)** σας συνδράμει σε αιτήματα των υποκειμένων,
- **στ)** σας συνδράμει στις υποχρεώσεις των άρθρων 32 έως 36,
- **ζ)** μετά το τέλος της παροχής διαγράφει ή επιστρέφει τα δεδομένα κατά την επιλογή σας,
- **η)** παρέχει αποδείξεις και επιτρέπει ελέγχους.

Η σύμβαση καταρτίζεται γραπτώς, αρκεί ηλεκτρονική μορφή (παρ. 9). Ένα υπόδειγμα πλαισίου προσφέρει η Ευρωπαϊκή Επιτροπή με τις [τυποποιημένες συμβατικές ρήτρες για την εκτέλεση επεξεργασίας](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Σύμφωνα με το άρθρο 28 παρ. 6, η σύμβαση μπορεί να βασίζεται σε αυτές εν όλω ή εν μέρει.

## Υπεργολάβοι

Αν ο ίδιος ο πάροχος χρησιμοποιεί παρόχους υπηρεσιών, για παράδειγμα έναν πάροχο φιλοξενίας, ισχύουν δύο κανόνες από το άρθρο 28 παρ. 2 και 4:

- Χρειάζεται την προηγούμενη ειδική ή γενική γραπτή άδειά σας. Σε περίπτωση γενικής άδειας πρέπει να σας ενημερώνει για κάθε σχεδιαζόμενη αλλαγή. Τότε μπορείτε να αντιτεθείτε.
- Πρέπει να επιβάλλει στους υπεργολάβους τις ίδιες υποχρεώσεις προστασίας δεδομένων. Αν ένας υπεργολάβος δεν το κάνει, ο πρώτος εκτελών την επεξεργασία ευθύνεται απέναντί σας.

Ζητήστε γι' αυτό από τον πάροχο μια ενημερωμένη λίστα των υπεργολάβων του, με έδρα και καθήκοντα.

## Τρίτη χώρα

Αν δεδομένα επεξεργάζονται εκτός ΕΕ και ΕΟΧ ή είναι προσβάσιμα από εκεί, ισχύουν επιπλέον οι κανόνες για διαβιβάσεις σε τρίτες χώρες (Κεφάλαιο V, άρθρα 44 επ. GDPR). Συνηθισμένοι είναι τρεις δρόμοι: απόφαση επάρκειας της Επιτροπής, τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση ή δεσμευτικοί εταιρικοί κανόνες. Για τις ΗΠΑ υπάρχει από το 2023 μια [απόφαση επάρκειας για το EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Ισχύει μόνο για εταιρείες που συμμετέχουν στο Framework. Αμφισβητείται δικαστικά, ελέγξτε την τρέχουσα κατάσταση. Ένας διακομιστής στην ΕΕ λύνει το θέμα, αν ούτε ο πάροχος ούτε ένας υπεργολάβος από τρίτη χώρα μπορεί να έχει πρόσβαση στα δεδομένα.

## Λίστα ελέγχου για εργαλεία ανάλυσης και μάρκετινγκ

1. **Διευκρινίστε τον ρόλο.** Επεξεργάζεται ο πάροχος μόνο για εσάς ή και για δικούς του σκοπούς;
2. **Ελέγξτε τη σύμβαση.** Περιέχονται όλα τα σημεία του άρθρου 28 παρ. 3;
3. **Περιγράψτε τα δεδομένα.** Ονομάζονται συγκεκριμένα το είδος των δεδομένων και οι κατηγορίες των υποκειμένων;
4. **Δείτε τους υπεργολάβους.** Υπάρχει λίστα και διαδικασία για αλλαγές;
5. **Ρωτήστε για την τοποθεσία των διακομιστών.** Πού βρίσκονται τα δεδομένα, ποιος έχει πρόσβαση;
6. **Τεκμηριώστε τη διαδρομή για τρίτη χώρα.** Ποια βάση στηρίζει μια διαβίβαση;
7. **Ρυθμίστε τη διαγραφή.** Τι γίνεται με τα δεδομένα μετά τη λήξη της σύμβασης;
8. **Διαβάστε τα τεχνικά μέτρα.** Κρυπτογράφηση, δικαιώματα πρόσβασης, καταγραφή.

Προσθέστε τη σύμβαση στην τεκμηρίωσή σας και συμπεριλάβετε το εργαλείο στο αρχείο των δραστηριοτήτων επεξεργασίας κατά το άρθρο 30 GDPR. Ειδικά στα εργαλεία που φορτώνονται μόνο μετά από συγκατάθεση, η σύμβαση είναι δεύτερη, ξεχωριστή προϋπόθεση. Η συγκατάθεση στη συσκευή δεν την αντικαθιστά, όπως δείχνει το [§ 25 TDDDG: cookies και tracking στη Γερμανία](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

## Τι απειλεί σε περίπτωση παραβάσεων

Αν η σύμβαση λείπει ή είναι ελλιπής, η εποπτική αρχή μπορεί να το αμφισβητήσει. Για παραβάσεις των υποχρεώσεων του άρθρου 28, το άρθρο 83 παρ. 4 GDPR προβλέπει πρόστιμα έως 10 εκατομμύρια ευρώ ή έως 2 τοις εκατό του παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο ποσό είναι υψηλότερο. Αυτό είναι το πλαίσιο και όχι πρόβλεψη για τη συγκεκριμένη περίπτωση.

## Και στην Ελβετία;

Ο ελβετικός νόμος για την προστασία δεδομένων ρυθμίζει την επεξεργασία από εκτελούντες την επεξεργασία στο άρθρο 9 DSG. Η σκέψη είναι παρόμοια, η διατύπωση διαφορετική. Όποιος απευθύνεται σε υποκείμενα στην ΕΕ χρειάζεται κατά κανόνα τη σύμβαση σύμφωνα με τον GDPR. Αν αυτό ισχύει για την προσφορά σας, το εξηγεί το [Tracking ιστότοπου στην Ελβετία: revDSG και FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Συχνές ερωτήσεις

**Χρειάζομαι σύμβαση εκτέλεσης επεξεργασίας, αν το εργαλείο δείχνει μόνο ονόματα εταιρειών;** Εξαρτάται από το αν ο πάροχος επεξεργάζεται σε αυτή τη διαδικασία δεδομένα προσωπικού χαρακτήρα για εσάς, για παράδειγμα διευθύνσεις IP, έστω και για λίγο. Αν έχετε αμφιβολία, συνάψτε τη σύμβαση, δεν κοστίζει σχεδόν τίποτα. Το αν μια διεύθυνση IP είναι προσωπικό δεδομένο, το εξηγεί το [Διεύθυνση IP και GDPR: είναι προσωπικό δεδομένο;](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Αρκεί να αποδεχτώ τους γενικούς όρους του παρόχου;** Μόνο αν περιέχουν όλα τα υποχρεωτικά στοιχεία και η ρύθμιση είναι σαφώς αναγνωρίσιμη ως σύμβαση ή παράρτημα. Πολλοί πάροχοι διαθέτουν τη σύμβαση εκτέλεσης επεξεργασίας ως ξεχωριστό έγγραφο προς σύναψη.

**Πρέπει να υπογράψω τη σύμβαση;** Πρέπει να καταρτιστεί γραπτώς. Σύμφωνα με το άρθρο 28 παρ. 9 αρκεί ηλεκτρονική μορφή, γι' αυτό είναι συνηθισμένη η σύναψη με ένα κλικ.