# Adatfeldolgozási szerződés: ellenőrző lista webes eszközökhöz

> Mikor szükséges a GDPR 28. cikke szerinti adatfeldolgozási szerződés, mi a kötelező tartalma, és mire kell figyelni elemző és marketingeszközöknél.

Quelle: https://whovisit.app/hu/blog/adatfeldolgozasi-szerzodes-webes-eszkozok
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

A weboldalon használt eszközök szinte mindegyike az Ön megbízásából dolgoz fel adatokat: webanalitika, hírlevél, CRM, hőtérkép, chat. Amint ennek során személyes adatok is szerepet kapnak, a GDPR szerződést ír elő a szolgáltatóval. Ezt adatfeldolgozási szerződésnek nevezik, röviden AV-szerződésnek vagy AVV-nek. Ez a cikk elmagyarázza, mikor van rá szükség, mit kell tartalmaznia, és mire érdemes gondolni egy eszköz kiválasztásakor.

## Mikor szükséges AV-szerződés

A GDPR 28. cikke akkor érvényes, ha egy szolgáltató személyes adatokat **az Ön megbízásából** és az Ön utasításai szerint dolgoz fel. Ekkor Ön az adatkezelő, a szolgáltató az adatfeldolgozó. A jogszabály szövege az [EUR-Lexen a GDPR-ben](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679) található.

Nem minden kapcsolat adatfeldolgozás. Három helyzetet érdemes megkülönböztetni:

| Helyzet | Ismertetőjegy | Szerződés |
|---|---|---|
| Adatfeldolgozás | A szolgáltató kizárólag az Ön utasítására jár el | AV-szerződés a 28. cikk szerint |
| Közös adatkezelés | Ön és a szolgáltató közösen döntenek a célról és az eszközökről | Megállapodás a 26. cikk szerint |
| Önálló adatkezelő | A szolgáltató a saját céljaira használja az adatokat | Esettől függően saját jogalap és adattovábbítás |

Az a döntő, hogy ki határozza meg a célt és az eszközöket, nem az, hogy minek nevezik a szerződést. Az a szolgáltató, amely az adatokat saját céljaira is használja, például a saját termékei fejlesztésére az Önnek nyújtott szolgáltatáson túl, ebben a részben már nem adatfeldolgozó. A 28. cikk (10) bekezdése szerint az az adatfeldolgozó, amely a célt és az eszközöket maga határozza meg, ennek a feldolgozásnak a tekintetében adatkezelőnek minősül.

## Kötelező tartalom a 28. cikk (3) bekezdése szerint

A szerződésnek meg kell határoznia a feldolgozás tárgyát és időtartamát, jellegét és célját, az adatok típusát és az érintettek kategóriáit. Ezenfelül elő kell írnia, hogy az adatfeldolgozó:

- **a)** az adatokat kizárólag dokumentált utasítás alapján dolgozza fel, harmadik országba történő továbbításnál is,
- **b)** titoktartásra kötelezett személyeket alkalmaz,
- **c)** meghozza a 32. cikk szerinti intézkedéseket,
- **d)** betartja a további adatfeldolgozók igénybevételének feltételeit,
- **e)** segíti Önt az érintettek kérelmeinél,
- **f)** segíti Önt a 32. és 36. cikk közötti kötelezettségeknél,
- **g)** a szolgáltatás végén az Ön választása szerint törli vagy visszaadja az adatokat,
- **h)** igazolásokat szolgáltat, és lehetővé teszi az ellenőrzéseket.

A szerződést írásba kell foglalni, elektronikus formátum is elegendő (9. bekezdés). Mintakeretet az Európai Bizottság kínál az [adatfeldolgozásra vonatkozó általános szerződési feltételekkel](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). A 28. cikk (6) bekezdése szerint a szerződés egészében vagy részben ezekre épülhet.

## Alvállalkozók

Ha a szolgáltató maga is igénybe vesz szolgáltatókat, például egy tárhelyszolgáltatót, a 28. cikk (2) és (4) bekezdéséből két szabály érvényes:

- Szüksége van az Ön előzetes, külön vagy általános írásbeli engedélyére. Általános engedély esetén minden tervezett változásról tájékoztatnia kell Önt. Ön ezután kifogást emelhet.
- Az alvállalkozókra ugyanazokat az adatvédelmi kötelezettségeket kell rónia. Ha egy alvállalkozó ezt nem teljesíti, az első adatfeldolgozó felel Ön felé.

Ezért érdemes a szolgáltatótól az alvállalkozói naprakész listáját kérni, székhellyel és feladattal.

## Harmadik ország

Ha az adatokat az EU-n és az EGT-n kívül dolgozzák fel, vagy onnan elérhetők, ezenfelül a harmadik országokba történő továbbításra vonatkozó szabályok is érvényesek (V. fejezet, GDPR 44. cikk és köv.). Három út szokásos: a Bizottság megfelelőségi határozata, a továbbításra vonatkozó általános szerződési feltételek, vagy kötelező erejű vállalati szabályok. Az USA-ra 2023 óta van [megfelelőségi határozat az EU és az USA közötti adatvédelmi keretrendszerről (Data Privacy Framework)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Ez csak a keretrendszerben részt vevő vállalkozásokra érvényes. Bírósági támadás alatt áll, ezért érdemes ellenőrizni az aktuális állást. Az EU-ban lévő szerver megoldja a kérdést, ha sem a szolgáltató, sem egy alvállalkozó nem fér hozzá az adatokhoz harmadik országból.

## Ellenőrző lista elemző és marketingeszközökhöz

1. **A szerep tisztázása.** A szolgáltató kizárólag Önnek dolgoz fel, vagy saját céljaira is?
2. **A szerződés ellenőrzése.** Szerepel benne a 28. cikk (3) bekezdésének minden pontja?
3. **Az adatok leírása.** Konkrétan megnevezett az adatok típusa és az érintettek kategóriái?
4. **Az alvállalkozók áttekintése.** Van lista és eljárás a változásokra?
5. **A szerver helyének megkérdezése.** Hol vannak az adatok, ki férhet hozzájuk?
6. **A harmadik országos út dokumentálása.** Mi a továbbítás alapja?
7. **A törlés szabályozása.** Mi történik az adatokkal a szerződés megszűnése után?
8. **A műszaki intézkedések elolvasása.** Titkosítás, hozzáférési jogok, naplózás.

A szerződést érdemes a dokumentációhoz csatolni, az eszközt pedig felvenni a GDPR 30. cikke szerinti adatkezelési tevékenységek nyilvántartásába. Különösen az olyan eszközöknél, amelyek csak hozzájárulás után töltődnek be, a szerződés második, különálló előfeltétel. Az eszközön megadott hozzájárulás nem helyettesíti, ahogyan azt a [§ 25 TDDDG: sütik és követés Németországban](https://whovisit.app/blog/tdddg-paragraf-25-cookies) mutatja.

## Mi fenyeget jogsértés esetén

Ha a szerződés hiányzik vagy hiányos, a felügyeleti hatóság kifogásolhatja. A 28. cikkből eredő kötelezettségek megsértése esetén a GDPR 83. cikk (4) bekezdése legfeljebb 10 millió euró vagy a világszintű éves árbevétel legfeljebb 2 százaléka közötti bírságot ír elő, attól függően, hogy melyik összeg magasabb. Ez a keret, nem előrejelzés az egyedi esetre.

## És Svájcban?

A svájci adatvédelmi törvény az adatfeldolgozók általi kezelést a DSG 9. cikkében szabályozza. A gondolat hasonló, a megfogalmazás más. Aki az EU-ban érintetteket szólít meg, az esetek többségében a GDPR szerinti szerződésre szorul. Hogy ez az Ön ajánlatára érvényes-e, azt a [Weboldal-követés Svájcban: revDSG és FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg) magyarázza.

## Gyakori kérdések

**Szükségem van AV-szerződésre, ha az eszköz csak cégneveket jelenít meg?** Ez attól függ, hogy a szolgáltató eközben személyes adatokat dolgoz-e fel Önnek, például IP-címeket, akár csak rövid ideig. Kétség esetén érdemes megkötni a szerződést, szinte semmibe sem kerül. Hogy az IP-cím személyes adat-e, azt az [IP-cím és GDPR: személyes adat-e?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo) magyarázza.

**Elég elfogadni a szolgáltató ÁSZF-jét?** Csak akkor, ha abban minden kötelező tartalom szerepel, és a szabályozás szerződésként vagy kiegészítésként egyértelműen felismerhető. Sok szolgáltató az AV-szerződést külön dokumentumként bocsátja megkötésre.

**Alá kell írnom a szerződést?** Írásba kell foglalni. A 28. cikk (9) bekezdése szerint elektronikus formátum elegendő, ezért szokásos a kattintással történő megkötés.