# Pogodba o obdelavi podatkov: kontrolni seznam za spletna orodja > Kdaj potrebujete pogodbo o obdelavi podatkov po čl. 28 GDPR, katere obvezne vsebine ima in na kaj paziti pri orodjih za analitiko in trženje. Quelle: https://whovisit.app/sl/blog/pogodba-o-obdelavi-podatkov-spletna-orodja Veröffentlicht: 2026-11-07 Herausgeber: Whovisit (ARAVILO, Innsbruck) Skoraj vsako orodje, ki ga uporabljate na svoji spletni strani, obdeluje podatke po vašem naročilu: spletna analitika, novičnik, CRM, toplotni zemljevid, klepet. Brž ko so v igri osebni podatki, GDPR zahteva pogodbo s ponudnikom. Imenuje se pogodba o obdelavi podatkov, v nemščini Auftragsverarbeitungsvertrag, na kratko AV-Vertrag ali AVV. Ta članek pojasnjuje, kdaj jo potrebujete, kaj mora vsebovati in na kaj pomisliti pri izbiri orodja. ## Kdaj potrebujete pogodbo o obdelavi podatkov Čl. 28 GDPR velja, kadar ponudnik storitev obdeluje osebne podatke **po vašem naročilu** in po vaših navodilih. Vi ste potem upravljavec, ponudnik je obdelovalec. Besedilo zakona najdete v [GDPR na EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679). Vsako razmerje ni obdelava po naročilu. Razlikovati velja tri konstelacije: | Konstelacija | Značilnost | Pogodba | |---|---|---| | Obdelava po naročilu | Ponudnik ravna samo po vaših navodilih | Pogodba o obdelavi podatkov po čl. 28 | | Skupna odgovornost | Vi in ponudnik skupaj odločata o namenu in sredstvih | Dogovor po čl. 26 | | Lasten upravljavec | Ponudnik podatke uporablja za lastne namene | Glede na primer lastna pravna podlaga in prenos | Odločilno je, kdo določa namen in sredstva, ne, kako se pogodba imenuje. Ponudnik, ki podatke uporablja tudi za lastne namene, na primer za izboljšanje lastnih izdelkov onkraj storitve za vas, za ta del ni več obdelovalec. Po čl. 28 odst. 10 velja obdelovalec, ki sam določa namen in sredstva, za to obdelavo kot upravljavec. ## Obvezne vsebine po čl. 28 odst. 3 Pogodba mora določati predmet in trajanje obdelave, naravo in namen, vrsto podatkov ter kategorije posameznikov, na katere se podatki nanašajo. Poleg tega mora predvidevati, da obdelovalec: - **a)** podatke obdeluje samo po dokumentiranem navodilu, tudi pri prenosih v tretjo državo, - **b)** uporablja osebe, zavezane k zaupnosti, - **c)** sprejme ukrepe po čl. 32, - **d)** upošteva pogoje za nadaljnje obdelovalce, - **e)** vam pomaga pri zahtevah posameznikov, na katere se podatki nanašajo, - **f)** vam pomaga pri obveznostih iz čl. 32 do 36, - **g)** po koncu storitve podatke po vaši izbiri izbriše ali vrne, - **h)** predloži dokaze in omogoči preglede. Pogodba mora biti sestavljena pisno, zadošča elektronska oblika (odst. 9). Vzorčni okvir ponuja Evropska komisija s [standardnimi pogodbenimi določili za obdelavo po naročilu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Po čl. 28 odst. 6 lahko pogodba v celoti ali delno temelji nanje. ## Podizvajalci Če ponudnik sam uporablja izvajalce storitev, na primer ponudnika gostovanja, veljata dve pravili iz čl. 28 odst. 2 in 4: - Potrebuje vaše predhodno posebno ali splošno pisno dovoljenje. Pri splošnem dovoljenju vas mora obvestiti o vsaki načrtovani spremembi. Potem lahko ugovarjate. - Podizvajalcem mora naložiti enake obveznosti varstva podatkov. Če podizvajalec tega ne stori, prvi obdelovalec do vas odgovarja. Ponudnika zato vprašajte po aktualnem seznamu podizvajalcev s sedežem in nalogo. ## Tretja država Če se podatki obdelujejo zunaj EU in EGP ali so od tam dostopni, dodatno veljajo pravila za prenose v tretje države (poglavje V, čl. 44 in naslednji GDPR). Običajne so tri poti: sklep Komisije o ustreznosti, standardna pogodbena določila za prenos ali zavezujoča poslovna pravila. Za ZDA obstaja od leta 2023 [sklep o ustreznosti glede okvira EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Velja samo za podjetja, ki sodelujejo v okviru. Sodno je izpodbijan, preverite aktualno stanje. Strežnik v EU reši to vprašanje, če do podatkov ne more dostopati niti ponudnik niti podizvajalec iz tretje države. ## Kontrolni seznam za orodja za analitiko in trženje 1. **Pojasnite vlogo.** Ali ponudnik obdeluje samo za vas ali tudi za lastne namene? 2. **Preverite pogodbo.** Ali so v njej vse točke iz čl. 28 odst. 3? 3. **Opišite podatke.** Ali sta vrsta podatkov in kategorije posameznikov konkretno navedeni? 4. **Poglejte podizvajalce.** Ali obstaja seznam in postopek pri spremembah? 5. **Vprašajte po lokaciji strežnika.** Kje so podatki, kdo lahko dostopa? 6. **Dokumentirajte pot za tretjo državo.** Katera podlaga nosi prenos? 7. **Uredite izbris.** Kaj se zgodi s podatki po koncu pogodbe? 8. **Preberite tehnične ukrepe.** Šifriranje, pravice dostopa, beleženje. Pogodbo shranite v svojo dokumentacijo in orodje vključite v evidenco dejavnosti obdelave po čl. 30 GDPR. Pri orodjih, ki se naložijo šele po privolitvi, je pogodba druga, ločena predpostavka. Privolitev na napravi je ne nadomešča, kot kaže članek [§ 25 TDDDG: piškotki in sledenje v Nemčiji](https://whovisit.app/blog/tdddg-paragraf-25-cookies). ## Kaj grozi ob kršitvah Če pogodbe ni ali je nepopolna, lahko nadzorni organ to graja. Za kršitve obveznosti iz čl. 28 čl. 83 odst. 4 GDPR predvideva globe do 10 milijonov evrov ali do 2 odstotkov svetovnega letnega prometa, odvisno od tega, kateri znesek je višji. To je okvir, ne napoved za posamezen primer. ## In v Švici? Švicarski zakon o varstvu podatkov ureja obdelavo po naročilu v čl. 9 DSG. Zamisel je podobna, formulacija drugačna. Kdor v EU nagovarja posameznike, običajno potrebuje pogodbo po GDPR. Ali to velja za vašo ponudbo, pojasnjuje članek [Sledenje na spletni strani v Švici: revDSG in FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg). ## Pogosta vprašanja **Ali potrebujem pogodbo o obdelavi podatkov, če orodje prikazuje samo imena podjetij?** To je odvisno od tega, ali ponudnik pri tem za vas obdeluje osebne podatke, na primer naslove IP, tudi če le kratek čas. V dvomu pogodbo sklenite, skoraj nič ne stane. Ali je naslov IP osebni podatek, pojasnjuje članek [Naslov IP in GDPR: ali je osebni podatek?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo). **Ali zadošča, da sprejmem splošne pogoje ponudnika?** Samo če so v njih vse obvezne vsebine in je ureditev jasno prepoznavna kot pogodba ali dodatek. Številni ponudniki pogodbo o obdelavi podatkov dajo na voljo kot samostojen dokument za sklenitev. **Ali moram pogodbo podpisati?** Sestavljena mora biti pisno. Elektronska oblika po čl. 28 odst. 9 zadošča, sklenitev s klikom je zato običajna.