Adatfeldolgozói szerződés a marketing-szolgáltatóval, mikor kell és mi legyen benne

Scheo · 2026-11-11 · olvasási idő ~10 perc · Szerző: Schmidt Péter

Ha a marketing-szolgáltatód hozzáfér a hírlevél-listádhoz, a beérkező leadekhez, a webshop vásárlói adataihoz vagy a CRM-edhez, akkor a GDPR szerint jó eséllyel adatfeldolgozóként dolgozik neked, és ehhez írásos adatfeldolgozói szerződés kell. Az alábbiakban azt nézzük meg, mikor áll fenn ez a helyzet, mit kér a rendelet, és mit ellenőrizz, mielőtt hozzáférést adsz.

Hivatalosan igazolt az, ami a GDPR szövegéből vagy hatósági útmutatóból következik. Saját tapasztalat az, amit marketing-rendszerek átvételénél és beállításánál látunk. Szakmai feltételezés az, ami szerintünk valószínű, de jogi értelemben nincs eldöntve.

A cikk általános tájékoztatás, és nem helyettesíti a jogi tanácsadást. A saját helyzetedre vonatkozó döntéshez adatvédelmi szakember vagy ügyvéd véleménye kell.

Mikor számít adatfeldolgozónak a marketing-szolgáltató?

Adatfeldolgozó az a szolgáltató, aki a te nevedben és a te utasításod szerint kezel személyes adatot, miközben a célt és a lényeges eszközöket te határozod meg. Ha az ügynökség a te hírlevél-listádat kezeli, a te leadjeidet tölti le, vagy a te vásárlóid adatait tölti fel egy hirdetési közönségbe, akkor ez a helyzet áll fenn.

Hivatalosan igazolt. A GDPR 4. cikkének 7. pontja határozza meg az adatkezelőt (aki az adatkezelés céljait és eszközeit meghatározza), a 8. pontja pedig az adatfeldolgozót (aki az adatkezelő nevében kezel személyes adatot). Az Európai Adatvédelmi Testület (EDPB) 07/2020-as iránymutatása szerint a minősítés a tényleges szerepen múlik, a szerződés címe ezt nem írja felül.

Ezekben a tipikus marketinges helyzetekben a szolgáltató jó eséllyel adatfeldolgozó.

• Hírlevélrendszert kezel a nevedben (listát importál, szegmentál, kampányt küld), és így látja a feliratkozók nevét, e-mail-címét, megnyitási adatait.
• Facebook- vagy Google-leadűrlapból letölti a jelentkezőket, és táblázatba vagy CRM-be teszi őket.
• Vásárlói listát tölt fel a hirdetési fiókba egyéni közönségnek vagy ügyféllista-alapú célzáshoz.
• Adminként belép a webshopod vagy a WordPress-oldalad felületére, ahol rendelések és felhasználói fiókok vannak.
• CRM-et épít vagy tart karban, automatizmusokat állít be, és ehhez a rekordokat is látja.
• Űrlapot, csevegőablakot vagy hívásmérést állít be, és a beérkező üzenetek nála is megjelennek.

Vegyünk egy általános példát. Egy webshop megbízza az ügynökségét, hogy a korábbi vásárlókból hasonmás közönséget építsen. Az ügynökség exportálja a vásárlói listát, a saját gépén megtisztítja, majd feltölti a hirdetési fiókba. Az export, a helyi másolat és a feltöltés mind a webshop céljára történik, ez tipikus adatfeldolgozás. Külön kérdés, hogy a helyi másolat mikor törlődik.

Ha a szolgáltató csak grafikát készít, posztszöveget ír, vagy kizárólag összesített, személyhez nem köthető riportot lát, akkor jó eséllyel nem kezel személyes adatot a nevedben, és adatfeldolgozói szerződés nem kötelező. Szakmai feltételezés. A webanalitika ebből a szempontból határeset, mert a GA4 és a hirdetési pixelek online azonosítókat és sütiadatokat is kezelnek. Ha a szolgáltató ezekben a fiókokban dolgozik, érdemes szerződéssel rendezni a viszonyt.

Mit ír elő a GDPR 28. cikke az adatfeldolgozói szerződésről?

A GDPR 28. cikkének (3) bekezdése szerint az adatfeldolgozást szerződésnek vagy más jogi aktusnak kell szabályoznia, a (9) bekezdés szerint pedig ennek írásban kell lennie, amibe az elektronikus forma is beletartozik. Szóbeli megállapodás vagy egy e-mailes „rendben, vigyázunk az adatokra” ezt nem váltja ki.

Hivatalosan igazolt. A szerződésben szerepelnie kell az adatkezelés tárgyának, időtartamának, jellegének és céljának, a személyes adatok típusának, az érintettek kategóriáinak, valamint az adatkezelő kötelezettségeinek és jogainak. Emellett a szerződésnek a következő kötelezettségeket kell rögzítenie az adatfeldolgozóra.

1. Csak az adatkezelő írásos utasítása alapján kezeli az adatot, a harmadik országba továbbítást is beleértve (a pont).
2. Gondoskodik arról, hogy az adathoz hozzáférő munkatársai titoktartást vállaljanak (b pont).
3. Megteszi a 32. cikk szerinti biztonsági intézkedéseket (c pont).
4. További adatfeldolgozót csak a (2) és a (4) bekezdés feltételeivel vesz igénybe (d pont).
5. Segít az adatkezelőnek az érintetti kérelmek, például a hozzáférési, törlési vagy tiltakozási kérelmek teljesítésében (e pont).
6. Segít a biztonsági, incidenskezelési és hatásvizsgálati kötelezettségek teljesítésében a 32-36. cikk szerint (f pont).
7. A szolgáltatás végén az adatkezelő döntése szerint töröl vagy visszaad minden személyes adatot, és törli a meglévő másolatokat, kivéve ha jogszabály tárolást ír elő (g pont).
8. Átad minden információt, ami a megfelelés igazolásához kell, és lehetővé teszi az ellenőrzést, a helyszíni vizsgálatot is (h pont).

A 28. cikk (1) bekezdése azt is kimondja, hogy csak olyan adatfeldolgozót szabad igénybe venni, aki megfelelő garanciát nyújt a technikai és szervezési intézkedésekre. Az Európai Bizottság 2021/915-ös végrehajtási határozatában közzétett általános szerződési feltételek (a 28. cikk (7) bekezdése szerinti mintaszöveg) jó kiindulópont lehetnek, ha nincs saját sablonod.

Mi a jogszabályi kötelezettség, és mi csak jó szakmai gyakorlat?

Kötelező az írásos szerződés a 28. cikk (3) bekezdésében felsorolt tartalommal, az alvállalkozók engedélyhez kötése és az adatok sorsának rendezése a szerződés végén. A pontos határidők, a hozzáférési napló vagy a rendszeres jogosultság-ellenőrzés már a szakmai gyakorlat része, amit a felek szabadon vállalhatnak.

Hivatalosan igazolt kötelezettségek a rendelet szövege alapján.

• Írásos szerződés a 28. cikk (3) bekezdésének minimális tartalmával.
• Előzetes, eseti vagy általános írásos engedély a további adatfeldolgozókhoz, általános engedélynél pedig tájékoztatás a változásról és tiltakozási lehetőség (28. cikk (2) bekezdés).
• Az alvállalkozóra ugyanazok a kötelezettségek szállnak tovább, és ha ő nem teljesít, az eredeti adatfeldolgozó teljes felelősséggel tartozik (28. cikk (4) bekezdés).
• Az adatfeldolgozó indokolatlan késedelem nélkül értesíti az adatkezelőt, ha adatvédelmi incidenst észlel (33. cikk (2) bekezdés).
• Az adatfeldolgozó nyilvántartást vezet az adatkezelő nevében végzett tevékenységekről (30. cikk (2) bekezdés), bizonyos kivételekkel.
• Harmadik országba, például egy amerikai szerverre csak az V. fejezet (44-49. cikk) feltételeivel kerülhet adat.

Saját tapasztalat szerint hasznos, de nem kötelező elemek.

• Órában megadott incidens-értesítési határidő, mert a rendelet az adatfeldolgozónál csak annyit mond, hogy „indokolatlan késedelem nélkül”.
• Névre szóló hozzáférések közös belépő helyett, kétlépcsős azonosítással.
• Melléklet arról, melyik rendszerben milyen jogosultsági szintje van a szolgáltatónak.
• Dátummal ellátott, írásos törlési nyilatkozat a megbízás végén.

Ha a szerződésből a 28. cikk kötelező pontjai hiányoznak, azt semmilyen szakmai szokás nem pótolja.

Mikor lesz a szolgáltatóból önálló vagy közös adatkezelő?

Ha a szolgáltató a te adataidat a saját céljaira is felhasználja, például saját adatbázist épít belőlük, más ügyfélnek is hasznosítja, vagy maga dönt arról, kiket és miért gyűjt, akkor a 28. cikk (10) bekezdése szerint az adott adatkezelés tekintetében adatkezelőnek minősül. Ez a te kockázatodat is növeli.

Hivatalosan igazolt. A 26. cikk szerint, ha két vagy több adatkezelő közösen határozza meg a célt és az eszközöket, közös adatkezelőnek számítanak, és egymás közötti megállapodásban kell rendezniük a felelősséget.

Saját tapasztalat. Marketingben a leggyakoribb szürke zóna a leadgenerálás. Ha a szolgáltató a saját nevében futtat kampányt, a saját űrlapján gyűjt jelentkezőket, és utána átadja őket neked, akkor a gyűjtés pillanatában valószínűleg ő az adatkezelő, és az átadáshoz külön jogalap és tájékoztatás kell. Ezt a szerződéskötés előtt tisztázd.

A nagy platformok (Meta, Google, hírlevélküldők) adatfeldolgozási feltételei a te és a platform viszonyát rendezik. A fiókodba belépő ügynökség ettől független szereplő, vele külön szerződés kell.

Mit nézz meg a megbízás előtt?

A megbízás előtt három kérdést tisztázz írásban. Milyen adathoz fér hozzá a szolgáltató, kik a további adatfeldolgozói, és mi történik az adattal, amikor a szerződés véget ér. Az alábbi ellenőrzőlista ezeket bontja ellenőrizhető pontokra.

1. Milyen adathoz fér hozzá?

• Mely rendszerekbe kap belépést (hírlevél, CRM, webshop, WordPress, hirdetési fiók, Analytics, Search Console, tárhely)?
• Milyen adatkategóriákat lát (név, e-mail-cím, telefonszám, postai cím, vásárlási előzmény, IP-cím, üzenetek tartalma)?
• Van-e köztük különleges adat a 9. cikk szerint, például egészségügyi információ egy rendelő űrlapján?
• Minden hozzáférés kell-e a munkához, vagy elég egy szűkebb szerepkör, például szerkesztői jog admin helyett?
• Letölt-e adatot a saját gépére vagy felhőtárhelyére, és ha igen, hova?

2. Kik a további adatfeldolgozók?

• Kapsz-e listát a szolgáltató által használt eszközökről és külsős munkatársakról (táblázatkezelő, automatizáló, CRM, AI-eszköz, szabadúszó)?
• Hol működnek ezek a szolgáltatók és a szervereik, és EU-n kívüli továbbításnál mire alapoznak (megfelelőségi határozat, például az EU-USA adatvédelmi keretrendszer, vagy általános szerződési feltételek)?
• Általános vagy eseti engedélyt adsz az alvállalkozókhoz, és hogyan értesít a változásról?
• Bekerülhet-e az ügyfeleid adata AI-eszközbe, és ha igen, milyen beállítással (például kikapcsolt tanítási felhasználással)?

Szakmai feltételezés. Az AI-eszközök használata jó eséllyel az egyik leggyakoribb rejtett alvállalkozói kérdés, mert ha valaki egy leadlistát egy csevegőfelületen „gyorsan megtisztít”, az már továbbítás egy újabb adatfeldolgozónak.

3. Mi történik a szerződés végén?

• Törlés vagy visszaadás történik, és ki dönt róla? A rendelet szerint te.
• Milyen formátumban kapod vissza az adatot, például CSV-exportként a listákról és a CRM-ről?
• Mennyi időn belül törli a saját példányait, a letöltéseket és a biztonsági mentéseket?
• Ki vonja vissza a hozzáféréseket, és ki ellenőrzi, hogy tényleg megtörtént?

4. Mi történik incidens esetén?

• Kinek, milyen csatornán és mennyi időn belül jelez, ha például elveszett egy laptop vagy feltörtek egy fiókot?
• Milyen adatokat ad át ahhoz, hogy szükség esetén határidőben bejelenthesd az incidenst a hatóságnak?

Hivatalosan igazolt. Az adatkezelőnek a 33. cikk (1) bekezdése szerint az incidensről való tudomásszerzéstől számított 72 órán belül kell bejelentést tennie a felügyeleti hatóságnak (Magyarországon a NAIH-nak), kivéve ha az incidens valószínűleg nem jár kockázattal az érintettekre.

Hogyan készíts hozzáférési leltárt a mostani szolgáltatóidról?

A legegyszerűbb kezdés egy táblázat, amelyben rendszerenként felsorolod, kinek van belépése, milyen szinten, és van-e mögötte szerződés. Ebből világosan látszik, hol hiányzik szerződés, és hol maradt bent felesleges hozzáférés.

Egy lehetséges oszlopszerkezet pontosvesszővel tagolva, amit bármelyik táblázatkezelőbe beilleszthetsz.

rendszer;szolgáltató;fiók neve;jogosultsági szint;látható személyes adat;mióta;adatfeldolgozói szerződés;alvállalkozók;teendő a megbízás végén;utolsó ellenőrzés

Egy kitöltött sor például így nézhet ki.

Hírlevélrendszer;Külső ügynökség;ugynokseg-admin;Admin;név, e-mail, megnyitás, kattintás;2024-03;nincs;nem ismert;admin jog visszavonása, export ellenőrzése;2026-11

A jogosultságokat a legtöbb rendszerben (Meta Business Suite, Google Ads, Analytics, Search Console, WordPress, hírlevél- és CRM-rendszer) a felhasználói vagy csapatkezelési menüben találod. A Meta és a Google felületén azt is nézd meg, hogy egy ügynökség teljes cégfiókként, partnerként van-e hozzáadva.

Saját tapasztalat. Rendszerek átvételénél rendszeresen találunk olyan admin-fiókot, amely egy évek óta nem aktív szolgáltatóhoz tartozik, és olyan API-kulcsot vagy összekapcsolt automatizmust, amelyről a tulajdonos nem tud. Ezek ritkán látszanak a felhasználói listában, ezért az integrációkat külön nézd át.

Mikor kell adatvédelmi szakembert kérdezni?

Adatvédelmi szakemberhez vagy ügyvédhez akkor fordulj, ha a szerepek nem egyértelműek, ha különleges adatot kezeltek, ha EU-n kívülre kerül az adat, vagy ha már történt incidens. Ilyenkor egy marketinges ellenőrzőlista nem elég alap a döntéshez.

• Nem tudod eldönteni, hogy a szolgáltató adatfeldolgozó, önálló vagy közös adatkezelő, például leadgenerálásnál vagy partnerprogramnál.
• Egészségügyi, gyermekekre vonatkozó vagy más különleges adat érintett.
• A szolgáltató saját sablont küld, amely korlátozza a felelősségét, vagy kizárja az ellenőrzési jogodat.
• Kérdéses, hogy kell-e adatvédelmi tisztviselő a 37. cikk szerint, vagy hatásvizsgálat a 35. cikk szerint.

A GDPR 82. cikke szerint az adatfeldolgozó is felelhet a kárért, ha nem tartja be a rá vonatkozó kötelezettségeket vagy az utasításaidat, a 83. cikk pedig a bírságokat szabályozza. Adatkezelőként ettől még neked kell igazolnod a megfelelést, ezt az 5. cikk (2) bekezdése, az elszámoltathatóság elve mondja ki.

Hogyan kezdj hozzá, ha most nem tudod, ki mihez fér hozzá?

Kezdd egy felméréssel arról, hogy a jelenlegi szolgáltatóid milyen rendszerekhez és milyen személyes adatokhoz férnek hozzá, és melyik hozzáférés mögött van szerződés. Erre építve kötheted meg a hiányzó szerződéseket, és vonhatod vissza a felesleges hozzáféréseket.

Ha a leltárt nem szeretnéd egyedül összerakni, kérhetsz tőlünk hozzáférés-felmérést. Végignézzük veled a hírlevél-, CRM-, webshop-, analitikai és hirdetési fiókjaidat, összeírjuk, kinek milyen jogosultsága van, és jelezzük, hol hiányzik szerződés, és hol maradt bent régi belépés. A jogi minősítést és a szerződés szövegét az adatvédelmi szakemberedre bízzuk, mi a marketing-rendszerek oldalát tesszük átláthatóvá.

Források és további olvasnivalók

• Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), különösen a 4., 5., 26., 28., 30., 32., 33., 44-49., 82. és 83. cikk
• Európai Adatvédelmi Testület (EDPB), 07/2020. számú iránymutatás az adatkezelő és az adatfeldolgozó fogalmáról
• Az Európai Bizottság (EU) 2021/915 végrehajtási határozata az adatkezelők és adatfeldolgozók közötti általános szerződési feltételekről
• Az Európai Bizottság (EU) 2021/914 végrehajtási határozata a harmadik országokba irányuló adattovábbítás általános szerződési feltételeiről
• Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) tájékoztatói és állásfoglalásai
• 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról (Infotv.)