# Ugovor o obradi podataka: kontrolni popis za web alate

> Kada Vam je potreban ugovor o obradi podataka prema čl. 28. GDPR-a, koji su mu obvezni sadržaji i na što paziti kod alata za analitiku i marketing.

Quelle: https://whovisit.app/hr/blog/ugovor-o-obradi-podataka-web-alati
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Gotovo svaki alat koji upotrebljavate na svojoj web stranici obrađuje podatke u Vaše ime: web analitika, newsletter, CRM, toplinska karta, chat. Čim su pritom u igri osobni podaci, GDPR zahtijeva ugovor s pružateljem. Zove se ugovor o obradi podataka, na njemačkom Auftragsverarbeitungsvertrag, skraćeno AV-Vertrag ili AVV. Ovaj članak objašnjava kada Vam je potreban, što mora sadržavati i na što trebate misliti pri odabiru alata.

## Kada Vam je potreban ugovor o obradi podataka

Čl. 28. GDPR-a primjenjuje se kada pružatelj usluge obrađuje osobne podatke **u Vaše ime** i prema Vašim uputama. Vi ste tada voditelj obrade, a pružatelj je izvršitelj obrade. Tekst zakona nalazite u [GDPR-u na EUR-Lexu](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679).

Nije svaki odnos obrada u ime voditelja. Treba razlikovati tri konstelacije:

| Konstelacija | Obilježje | Ugovor |
|---|---|---|
| Obrada u ime voditelja | Pružatelj djeluje samo prema Vašim uputama | Ugovor o obradi podataka prema čl. 28. |
| Zajednička odgovornost | Vi i pružatelj zajedno odlučujete o svrsi i sredstvima | Dogovor prema čl. 26. |
| Vlastiti voditelj obrade | Pružatelj upotrebljava podatke u vlastite svrhe | Ovisno o slučaju, vlastita pravna osnova i prijenos |

Odlučujuće je tko određuje svrhu i sredstva, a ne kako se ugovor zove. Pružatelj koji podatke upotrebljava i u vlastite svrhe, primjerice za poboljšanje vlastitih proizvoda mimo usluge za Vas, za taj dio više nije izvršitelj obrade. Prema čl. 28. st. 10. izvršitelj obrade koji sam određuje svrhu i sredstva smatra se za tu obradu voditeljem obrade.

## Obvezni sadržaji prema čl. 28. st. 3.

Ugovor mora odrediti predmet i trajanje obrade, vrstu i svrhu, vrstu podataka i kategorije ispitanika. Osim toga mora predvidjeti da izvršitelj obrade:

- **a)** podatke obrađuje samo prema dokumentiranim uputama, i kod prijenosa u treću zemlju,
- **b)** angažira osobe obvezane na povjerljivost,
- **c)** poduzima mjere prema čl. 32.,
- **d)** poštuje uvjete za daljnje izvršitelje obrade,
- **e)** pomaže Vam kod zahtjeva ispitanika,
- **f)** pomaže Vam kod obveza iz čl. 32. do 36.,
- **g)** nakon završetka usluge briše ili vraća podatke prema Vašem izboru,
- **h)** dostavlja dokaze i omogućuje provjere.

Ugovor se sastavlja u pisanom obliku, a dovoljan je elektronički format (st. 9.). Okvirni uzorak nudi Europska komisija sa [standardnim ugovornim klauzulama za obradu podataka](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Prema čl. 28. st. 6. ugovor se može u cijelosti ili djelomično temeljiti na njima.

## Podizvršitelji

Ako pružatelj sam angažira pružatelje usluga, primjerice davatelja hostinga, vrijede dva pravila iz čl. 28. st. 2. i 4.:

- Potrebno mu je Vaše prethodno posebno ili opće pisano odobrenje. Kod općeg odobrenja mora Vas obavijestiti o svakoj planiranoj promjeni. Tada možete uložiti prigovor.
- Podizvršiteljima mora nametnuti iste obveze zaštite podataka. Ako podizvršitelj to ne poštuje, prvi izvršitelj obrade odgovara Vama.

Zato od pružatelja zatražite aktualni popis njegovih podizvršitelja, sa sjedištem i zadaćom.

## Treća zemlja

Ako se podaci obrađuju izvan EU-a i EGP-a ili su odande dostupni, dodatno vrijede pravila o prijenosu u treće zemlje (poglavlje V., čl. 44. i dalje GDPR-a). Uobičajena su tri puta: odluka Komisije o primjerenosti, standardne ugovorne klauzule za prijenos ili obvezujuća korporativna pravila. Za SAD od 2023. postoji [odluka o primjerenosti za okvir EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Vrijedi samo za tvrtke koje sudjeluju u okviru. Osporava se pred sudom, provjerite aktualno stanje. Poslužitelj u EU-u rješava tu temu ako ni pružatelj ni podizvršitelj iz treće zemlje ne mogu pristupiti podacima.

## Kontrolni popis za alate za analitiku i marketing

1. **Razjasniti ulogu.** Obrađuje li pružatelj samo za Vas ili i u vlastite svrhe?
2. **Provjeriti ugovor.** Sadrži li sve točke iz čl. 28. st. 3.?
3. **Opisati podatke.** Jesu li vrsta podataka i kategorije ispitanika konkretno navedene?
4. **Pogledati podizvršitelje.** Postoji li popis i postupak u slučaju promjena?
5. **Raspitati se o lokaciji poslužitelja.** Gdje se podaci nalaze, tko im može pristupiti?
6. **Dokumentirati put za treću zemlju.** Koja osnova nosi prijenos?
7. **Urediti brisanje.** Što se događa s podacima nakon završetka ugovora?
8. **Pročitati tehničke mjere.** Šifriranje, prava pristupa, bilježenje.

Ugovor priložite svojoj dokumentaciji, a alat uvrstite u svoju evidenciju aktivnosti obrade prema čl. 30. GDPR-a. Osobito kod alata koji se učitavaju tek nakon privole ugovor je drugi, zaseban preduvjet. Privola na uređaju ne zamjenjuje ga, kako pokazuje članak [§ 25 TDDDG: kolačići i praćenje u Njemačkoj](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

## Što prijeti kod povreda

Ako ugovora nema ili je nepotpun, nadzorno tijelo to može prigovoriti. Za povrede obveza iz čl. 28. čl. 83. st. 4. GDPR-a predviđa novčane kazne do 10 milijuna eura ili do 2 posto ukupnog svjetskog godišnjeg prometa, ovisno o tome koji je iznos viši. To je okvir, a ne prognoza za pojedinačni slučaj.

## A u Švicarskoj?

Švicarski zakon o zaštiti podataka uređuje obradu u ime voditelja u čl. 9. DSG-a. Misao je slična, formulacija drukčija. Tko se obraća ispitanicima u EU-u, u pravilu treba ugovor prema GDPR-u. Odnosi li se to na Vašu ponudu, objašnjava članak [Praćenje web stranica u Švicarskoj: revDSG i FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Često postavljana pitanja

**Trebam li ugovor o obradi podataka ako alat prikazuje samo nazive tvrtki?** To ovisi obrađuje li pružatelj pritom za Vas osobne podatke, primjerice IP adrese, makar i kratkotrajno. U sumnji sklopite ugovor, košta gotovo ništa. Je li IP adresa osobni podatak, objašnjava članak [IP adresa i GDPR: je li osobni podatak?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Je li dovoljno prihvatiti opće uvjete pružatelja?** Samo ako u njima stoje svi obvezni sadržaji, a uređenje je jasno prepoznatljivo kao ugovor ili dodatak. Mnogi pružatelji ugovor o obradi podataka stavljaju na raspolaganje kao zaseban dokument za sklapanje.

**Moram li ugovor potpisati?** Mora biti sastavljen u pisanom obliku. Elektronički format dovoljan je prema čl. 28. st. 9., pa je sklapanje klikom uobičajeno.