Gyors válasz: A GDPR értelmében az adatkezelő határozza meg, hogy miért és hogyan történik a személyes adatok feldolgozása, míg az adatfeldolgozó kizárólag az adatkezelő utasításai szerint kezeli az adatokat. A felelősség jelentősen eltér: az adatkezelők viselik a legszélesebb körű elszámoltathatóságot, míg az adatfeldolgozók csak akkor szembesülnek közvetlen felelősséggel, ha a jogszerű utasításokon kívül járnak el, vagy megszegik a kifejezetten rájuk vonatkozó GDPR kötelezettségeket.
Főbb tudnivalók
- Az adatkezelő dönti el a feldolgozás céljait és eszközeit; az adatfeldolgozó az adatkezelő nevében jár el.
- Az adatkezelők viselik az elsődleges GDPR felelősséget; az adatfeldolgozók csak különleges körülmények között szembesülnek közvetlen felelősséggel a 82. cikk szerint.
- Mindkét szerep létezhet egyszerre egy szervezeten belül, egy vállalat lehet adatkezelő a saját ügyfelei számára, és adatfeldolgozó egy másik vállalkozás számára.
- Jogi erejű adatfeldolgozási megállapodás (DPA) kötelező, amikor az adatkezelő adatfeldolgozót vesz igénybe.
- Az alfeldolgozókhoz előzetes írásbeli engedély szükséges az adatkezelőtől; a fő adatfeldolgozó továbbra is teljes mértékben felelős az alfeldolgozó magatartásáért.
- A szerep téves besorolása megfelelőségi kockázatot jelent, amely szabályozási szankcióknak teheti ki szervezetét.
- Azok az adatfeldolgozók, akik saját céljaikra használják a személyes adatokat, automatikusan adatkezelővé válnak az adott feldolgozási tevékenység tekintetében.
- Az Egyesült Királyság 2026. évi adatfelhasználási és hozzáférési törvénye (Data (Use and Access) Act 2026) további változásokat vezet be, amelyeket az Egyesült Királyság GDPR hatálya alá tartozó szervezeteknek haladéktalanul felül kell vizsgálniuk.
Mi a különbség az adatkezelő és az adatfeldolgozó között a GDPR értelmében?
Az adatkezelő minden olyan entitás, amely meghatározza a személyes adatok feldolgozásának céljait és eszközeit. Az adatfeldolgozó minden olyan entitás, amely személyes adatokat dolgoz fel az adatkezelő nevében, szigorúan az adatkezelő utasításait követve [1].
A különbség a döntéshozatali jogkörön múlik. Ha az Ön szervezete dönti el, hogy miért gyűjtik az adatokat és hogyan fogják felhasználni, Ön az adatkezelő. Ha az Ön szervezete csak azért kezeli az adatokat, mert egy másik entitás utasította erre, és nincs önálló beleszólása a célba, Ön az adatfeldolgozó.
Gyakorlati példák:
| Forgatókönyv | Szerep |
|---|---|
| Egy e-kereskedelmi kiskereskedő, amely ügyfélvásárlási adatokat gyűjt | Adatkezelő |
| Egy felhőalapú tárhelyszolgáltató, amely tárolja a kiskereskedő adatbázisát | Adatfeldolgozó |
| Egy bérszámfejtési SaaS platform, amely munkavállalói adatokat dolgoz fel egy munkáltató számára | Adatfeldolgozó |
| Egy marketingügynökség, amely saját potenciális ügyféllistát épít | Adatkezelő |
| Egy CRM-szolgáltató, amely hozzáfér az ügyféladatokhoz a támogatás nyújtásához | Adatfeldolgozó |
Az ICO hangsúlyozza, hogy a szerződésben szereplő megnevezés nem határozza meg a szerepet, hanem a tényleges magatartás [1]. Egy olyan szolgáltató, amelyet a szerződésben "adatfeldolgozónak" neveznek, de önálló döntéseket hoz az adatok felhasználásáról, jogilag adatkezelőnek minősül, függetlenül attól, hogy mit mond a megállapodás.
Melyek az adatkezelő fő felelősségi körei a GDPR értelmében?
Az adatkezelők viselik a legnehezebb megfelelőségi terhet a GDPR értelmében. Ők felelősek a teljes adatéletciklusért, és biztosítaniuk kell, hogy minden általuk igénybe vett adatfeldolgozó megfeleljen a GDPR szabványoknak [3].
Az adatkezelő alapvető kötelezettségei a következők:
- Jogi alap megállapítása és dokumentálása minden feldolgozási tevékenységhez
- Átlátható adatvédelmi tájékoztatók biztosítása az érintettek számára
- Az érintetti jogok, hozzáférés, helyesbítés, törlés, adathordozhatóság és tiltakozás megkönnyítése
- Adatvédelmi hatásvizsgálatok (DPIA) elvégzése magas kockázatú feldolgozás esetén
- Adatvédelmi tisztviselő (DPO) kijelölése, ahol szükséges
- Átvilágítás elvégzése az adatfeldolgozók igénybevétele előtt és folyamatos megfelelőségük ellenőrzése
- Írásbeli adatfeldolgozási megállapodás megkötése minden igénybe vett adatfeldolgozóval [3]
Az adatkezelők nem ruházhatják át az elszámoltathatóságot. Még akkor is, ha egy adatfeldolgozó okoz jogsértést, az adatkezelő továbbra is felelős a felügyeleti hatóságok felé az adatfeldolgozó kiválasztásáért és a szerződéses biztosítékok megfelelőségéért.
Melyek az adatfeldolgozó fő felelősségi körei a GDPR értelmében?
Az adatfeldolgozóknak közvetlen GDPR kötelezettségeik vannak, nem csupán szerződésesek, és nem kezelhetik a megfelelést kizárólag az adatkezelő problémájaként [3].
Az adatfeldolgozó közvetlen kötelezettségei a GDPR értelmében a következők:
- Adatok feldolgozása kizárólag az adatkezelő dokumentált utasításai szerint
- Megfelelő technikai és szervezési biztonsági intézkedések bevezetése
- Az adatkezelők nevében végzett összes feldolgozási tevékenység nyilvántartása
- Az adatkezelő értesítése bármilyen adatvédelmi incidensről indokolatlan késedelem nélkül
- Az adatkezelő segítése az érintetti jogok gyakorlásával kapcsolatos kérelmek teljesítésében
- Az összes személyes adat törlése vagy visszaszolgáltatása a szerződés megszűnésekor
- Alfeldolgozók igénybevétele kizárólag az adatkezelő előzetes írásbeli engedélyével [3]
"Az adatfeldolgozóknak közvetlen kötelezettségeik vannak a GDPR értelmében, nem csupán szerződéses kötelezettségeik, és szabályozási kockázatokkal szembesülnek, ha az adatkezelő jogszerű utasításain kívül járnak el."
Ki a felelős adatvédelmi incidens esetén: az adatkezelő vagy az adatfeldolgozó?
Mindkettő felelős lehet, de a hatókör eltér. A GDPR 82. cikke szerint minden olyan személy, aki GDPR megsértéséből eredő kárt szenved, jogosult kártérítést követelni a felelős adatkezelőtől vagy adatfeldolgozótól [2].
Az adatkezelők felelősek a GDPR-t sértő feldolgozásból eredő károkért. Az adatfeldolgozók csak akkor felelősek, ha nem tartották be a kifejezetten az adatfeldolgozókra vonatkozó GDPR kötelezettségeket, vagy ha az adatkezelő jogszerű utasításain kívül vagy azokkal ellentétesen jártak el [2].
A felelősség megosztása a gyakorlatban:
- Ha egy adatfeldolgozó azért szenved el jogsértést, mert az adatkezelő nem megfelelő biztonsági utasításokat adott, az elsődleges felelősség valószínűleg az adatkezelőt terheli.
- Ha egy adatfeldolgozó figyelmen kívül hagyta az adatkezelő biztonsági követelményeit, az adatfeldolgozó viseli a közvetlen felelősséget.
- Mindkettő egyetemlegesen és együttesen felelősségre vonható, ami azt jelenti, hogy az érintett bármelyik felet perelheti a teljes kártérítési összegért, és ők utólag osztják meg egymás között a felelősséget.
Az adatfeldolgozó mentesülhet a felelősség alól, ha bizonyítja, hogy nem volt hibás a kárt okozó eseményért [2]. Ez magas léc: az adatfeldolgozónak bizonyítania kell a GDPR kötelezettségeinek teljes körű betartását.
Lehet-e egy vállalat egyszerre adatkezelő és adatfeldolgozó?
Igen. Egy szervezet egyszerre járhat el adatkezelőként bizonyos feldolgozási tevékenységek esetében, és adatfeldolgozóként mások esetében, akár ugyanazon üzleti kapcsolaton belül is [1].
Például egy digitális marketingügynökség adatkezelőként járhat el, amikor saját alkalmazottai HR adatait kezeli, és adatfeldolgozóként, amikor ügyfeleinek adatait felhasználva hirdetési kampányokat futtat. A szerepet tevékenységenként, nem pedig cégenként határozzák meg.
Lehet-e az adatfeldolgozó adatkezelővé, ha saját céljaira használja az adatokat?
Az adatfeldolgozó automatikusan adatkezelővé válik abban a pillanatban, amikor a személyes adatokat az adatkezelő utasításain kívüli célokra használja [1]. Ez az egyik legjelentősebb téves besorolás a gyakorlatban.
Ha egy felhőalapú analitikai szolgáltató engedély nélkül kezdi el bányászni az ügyféladatokat saját AI modelljeinek képzésére, akkor kilépett az adatfeldolgozói szerepből, és adatkezelői státuszt vett fel az adott tevékenységre vonatkozóan, az összes ezzel járó GDPR kötelezettséggel és felelősségi kockázattal együtt. Semmilyen szerződéses záradék nem akadályozhatja meg ezt az átminősítést; ez ténykérdés, nem megállapodás.
Hogyan védik az adatfeldolgozási megállapodások az adatfeldolgozókat a felelősségtől?
Az adatfeldolgozási megállapodás (DPA) kötelező jogi eszköz a GDPR értelmében, amikor az adatkezelő adatfeldolgozót vesz igénybe [3]. Az adatfeldolgozók számára egy jól megfogalmazott DPA az elsődleges mechanizmus a felelősségi kockázat korlátozására.
Egy megfelelő DPA-nak meg kell határoznia:
- A feldolgozás tárgyát, időtartamát, jellegét és célját
- Az érintett személyes adatok típusát és az érintettek kategóriáit
- Az adatkezelő kötelezettségeit és jogait
- A felhatalmazott személyzet titoktartási követelményeit
- A bevezetendő biztonsági intézkedéseket
- Az alfeldolgozók igénybevételének feltételeit
- Az adatok visszaszolgáltatásának vagy törlésének eljárásait a szerződés végén [3]
Ha egy adatfeldolgozó szigorúan a DPA hatályán belül jár el, az ebből eredő károkért való felelősség túlnyomórészt az adatkezelőre hárul. Ezzel szemben, ha egy adatfeldolgozó túllépi ezeket az utasításokat, a DPA a eltérés bizonyítékává válik, nem pedig pajzsává.
Mi történik, ha egy adatfeldolgozó megsérti a GDPR szabályait?
A GDPR-t megsértő adatfeldolgozók szabályozási bírságokkal és polgári jogi felelősséggel is szembesülnek a károkért. A felügyeleti hatóságok közvetlenül szabhatnak ki közigazgatási bírságokat az adatfeldolgozókra, akár 20 millió euróig vagy a globális éves forgalom 4%-áig a legsúlyosabb jogsértések esetén, attól függően, melyik a magasabb [2].
A bírságokon túl az adatfeldolgozók a 82. cikk szerinti követelésekkel szembesülnek az érintettektől, akik kárt szenvedtek. A DPA értelmében szerződéses felelősséggel is szembesülhetnek az adatkezelő felé, beleértve a kártalanítási kötelezettségeket is.
Szüksége van-e az adatfeldolgozóknak saját adatvédelmi tisztviselőre?
Az adatfeldolgozókra ugyanazok a DPO kijelölési küszöbök vonatkoznak, mint az adatkezelőkre. Az adatfeldolgozónak DPO-t kell kijelölnie, ha nagyszabású, szisztematikus megfigyelést végez magánszemélyek felett, vagy különleges kategóriájú adatokat vagy bűnügyi ítéletekre vonatkozó adatokat dolgoz fel nagyszabású módon [1].
Az adatfeldolgozói státusz nem mentesíti a szervezetet a DPO követelmény alól. Sok nagy felhőszolgáltató és SaaS platform, amely adatfeldolgozóként működik, éppen az általuk kezelt adatok mennyisége és érzékenysége miatt köteles DPO-t fenntartani.
Mi a különbség a GDPR bírságok között az adatkezelők és az adatfeldolgozók esetében?
A GDPR kétszintű bírságrendszere egyaránt vonatkozik az adatkezelőkre és az adatfeldolgozókra. Az első szint az enyhébb jogsértéseket fedi le (legfeljebb 10 millió euró vagy a globális forgalom 2%-a); a második szint a legsúlyosabb jogsértéseket, beleértve a jogellenes feldolgozást és az érintetti jogok tiszteletben tartásának elmulasztását (legfeljebb 20 millió euró vagy a globális forgalom 4%-a) [2].
Az adatfeldolgozókra nincs törvényes kedvezmény. A gyakorlatban azonban a felügyeleti hatóságok a bírság összegének meghatározásakor értékelik a bűnösséget, az együttműködést és a jogsértés jellegét, olyan tényezőket, amelyek eltérő eredményekhez vezethetnek az adatkezelők és az adatfeldolgozók esetében ugyanabban az incidensben.
Az alfeldolgozóknak eltérő felelősségük van-e, mint a fő adatfeldolgozóknak?
Az alfeldolgozókra ugyanazok a GDPR kötelezettségek vonatkoznak, mint a fő adatfeldolgozókra, de szerződésileg a fő adatfeldolgozóhoz kötődnek, nem pedig közvetlenül az adatkezelőhöz. A kritikus különbség: a fő adatfeldolgozó továbbra is teljes mértékben felelős az adatkezelő felé az alfeldolgozó teljesítményéért [3].
Ha egy alfeldolgozó jogsértést okoz, az adatkezelő jogi igénye a fő adatfeldolgozóval szemben érvényesül. A fő adatfeldolgozónak ezután külön kell fellépnie az alfeldolgozóval szemben. Az alfeldolgozók közvetlen szabályozási intézkedésekkel is szembesülhetnek a felügyeleti hatóságok részéről saját GDPR megsértéseik miatt.
Az alfeldolgozói szabályok röviden:
- Előzetes írásbeli engedély szükséges az adatkezelőtől bármely alfeldolgozó igénybevétele előtt
- A fő adatfeldolgozónak egyenértékű adatvédelmi kötelezettségeket kell előírnia az alfeldolgozóra
- A fő adatfeldolgozó nem mentesülhet a felelősség alól az alfeldolgozó hibájára hivatkozva
Hogyan határozza meg, hogy Ön adatkezelő vagy adatfeldolgozó a vállalkozása számára?
A meghatározás egyetlen kérdésen múlik: az Ön szervezete önállóan dönti el, hogy miért dolgozzák fel a személyes adatokat? Ha igen, Ön adatkezelő. Ha csak azért dolgoz fel adatokat, mert egy másik entitás utasította erre, és nincs önálló célja, Ön adatfeldolgozó [1].
Gyakorlati döntési ellenőrzőlista:
- Ki döntött először az adatok gyűjtéséről?
- Ki határozta meg, mire használják fel az adatokat?
- Az Ön szervezete rendelkezik-e diszkrécióval az adatok feldolgozásának módjáról, vagy egy másik fél specifikációit követi?
- Megállna-e a feldolgozás, ha a másik fél visszavonná az utasításait?
- Használja-e az adatokat bármilyen olyan célra, amely önállóan az Ön szervezetének előnyére válik?
Ha a válaszai eltérő irányba mutatnak ezekre a kérdésekre, akkor Ön közös adatkezelő lehet, ami külön átláthatósági megállapodást igényel a másik féllel [1].
Melyek a leggyakoribb hibák, amelyeket a vállalatok elkövetnek az adatkezelői és adatfeldolgozói szerepekkel kapcsolatban?
A téves besorolás a leggyakoribb hiba, és valós megfelelőségi következményekkel jár. A szervezetek gyakran feltételezik, hogy a "szállító" vagy "szolgáltató" megnevezés a szerződésben adatfeldolgozóvá teszi őket, holott tényleges magatartásuk adatkezelőnek minősíti őket.
Egyéb gyakori hibák:
- A DPA kihagyása: Az adatkezelők, akik írásbeli DPA nélkül vesznek igénybe adatfeldolgozókat, közvetlenül megsértik a GDPR-t, függetlenül attól, hogy az adatfeldolgozó rendszerei mennyire biztonságosak.
- Az alfeldolgozók ellenőrzésének elmulasztása: Az adatkezelők gyakran figyelmen kívül hagyják, hogy adatfeldolgozójuk engedély nélkül vagy egyenértékű szerződéses védelem nélkül vett igénybe alfeldolgozókat.
- Feltételezés, hogy az adatfeldolgozók kezelik az érintetti jogokat: Az adatkezelők továbbra is felelősek az érintetti kérelmek megválaszolásáért; az adatfeldolgozók csak segítenek.
- Az átminősítési kockázat figyelmen kívül hagyása: Azok az adatfeldolgozók, akik bővítik szolgáltatásaikat, és ügyféladatokat kezdenek használni elemzésre, modellképzésre vagy benchmarkingra, akaratlanul is adatkezelővé válhatnak anélkül, hogy felismernék a változást.
Azoknak a szervezeteknek, amelyek weboldalakon és digitális tulajdonokon keresztül kezelik a hozzájárulásokat és az adatfolyamokat, egy hozzájárulás-kezelő platform, mint például a Biscotti CMP segíthet az adatkezelőknek a jogszerű alapok dokumentálásában és a hozzájárulási nyilvántartások kezelésében, ami az adatkezelői elszámoltathatóság alapvető eleme a GDPR értelmében.
Hogyan kezelje egy kisvállalkozás az adatkezelői vs. adatfeldolgozói felelősségeket?
A kisvállalkozások sem mentesülnek a GDPR adatkezelő-adatfeldolgozó keretrendszere alól. Ha egy kisvállalkozás ügyféladatokat gyűjt, akár csak e-mail címeket egy hírlevélhez, akkor adatkezelő, és meg kell felelnie minden adatkezelői kötelezettségnek.
Gyakorlati lépések kisvállalkozások számára:
- Térképezze fel az összes eszközt vagy szolgáltatót, amely személyes adatokat kezel az Ön nevében (e-mail platformok, analitikai eszközök, fizetésfeldolgozók, CRM-ek).
- Győződjön meg arról, hogy minden szolgáltatóval aláírt DPA van érvényben.
- Ellenőrizze, hogy minden szolgáltató DPA-ja megfelel-e a GDPR minimális követelményeinek.
- Tegyen közzé egy megfelelő adatvédelmi tájékoztatót, amely pontosan leírja az Ön feldolgozási tevékenységeit.
- Hozzon létre egy folyamatot az érintetti kérelmek megválaszolására a 30 napos törvényi határidőn belül.
Az Egyesült Királyság 2026. évi adatfelhasználási és hozzáférési törvénye (Data (Use and Access) Act 2026), amelyet 2026. június 19-én királyi jóváhagyással láttak el, további módosításokat vezet be az adatvédelmi jogba, amelyeket az Egyesült Királyságban működő kisvállalkozásoknak jogi tanácsadóval felül kell vizsgálniuk, hogy biztosítsák adatkezelői kötelezettségeik aktualitását [1].
Gyakran Ismételt Kérdések
K: Egy SaaS vállalat mindig adatfeldolgozó? Egy SaaS vállalat csak akkor adatfeldolgozó, ha szigorúan ügyfelei nevében és önálló cél nélkül dolgoz fel személyes adatokat. Ha ügyféladatokat használ saját elemzésre, termékfejlesztésre vagy marketingre, akkor adatkezelővé válik ezekre a tevékenységekre vonatkozóan.
K: Szükséges-e az adatfeldolgozónak regisztrálnia egy felügyeleti hatóságnál? A regisztrációs követelmények EU-tagállamonként eltérőek. Az adatfeldolgozóknak azonban belső adatfeldolgozási nyilvántartást (RoPA) kell vezetniük a GDPR 30. cikke szerint, ha 250 vagy több embert foglalkoztatnak, vagy ha a feldolgozás valószínűleg kockázatot jelent az érintettek számára.
K: Megtagadhatja-e az adatfeldolgozó az adatkezelő utasítását? Igen, ha az utasítás követése a GDPR megsértését jelentené az adatfeldolgozó számára. Ilyen esetekben az adatfeldolgozónak értesítenie kell az adatkezelőt, és ha az utasítás nem kerül kijavításra, szükség lehet a kapcsolat megszüntetésére.
K: Mi a közös adatkezelői megállapodás? Közös adatkezelők akkor léteznek, ha két vagy több entitás közösen határozza meg a feldolgozás céljait és eszközeit. Meg kell dokumentálniuk a felelősségi köreiket egy átlátható megállapodásban, és annak lényegét hozzáférhetővé kell tenniük az érintettek számára [1].
K: Meddig kell érvényben maradnia egy DPA-nak? Egy DPA-nak a feldolgozási kapcsolat időtartama alatt érvényben kell maradnia. A megszűnéskor szabályozza az adatfeldolgozó kötelezettségét az összes személyes adat törlésére vagy visszaszolgáltatására.
K: Az adatfeldolgozók felelősek-e az adatkezelőkre kiszabott bírságokért? Nem. A bírságokat az a jogalany ellen szabják ki, amelyik elkövette a jogsértést. Az adatfeldolgozók azonban külön bírságokkal szembesülhetnek saját jogsértéseik miatt, és kártalanítási igényekkel szembesülhetnek az adatkezelőktől a DPA értelmében.
K: A GDPR vonatkozik-e az EU-n kívüli adatfeldolgozókra? Igen. A GDPR vonatkozik az EU-n kívüli adatfeldolgozókra, ha EU-ban lakóhellyel rendelkező személyek személyes adatait dolgozzák fel EU-ban székhellyel rendelkező adatkezelők nevében, vagy ha egyébként a GDPR területi hatálya alá tartoznak a 3. cikk szerint.
K: Mi a különbség a DPA és a Standard Szerződéses Klauzula között? A DPA szabályozza az adatkezelő-adatfeldolgozó kapcsolatot belföldön. A Standard Szerződéses Klauzulák (SCC-k) specifikus szerződéses mechanizmusok a személyes adatok harmadik országokba történő továbbítására az EU/EGT-n kívül, amelyek nem rendelkeznek megfelelőségi határozattal.
Összefoglalás
Adatkezelő vs. adatfeldolgozó: A GDPR szerinti felelősség megértése nem elvont jogi gyakorlat, hanem meghatározza, hogy ki szembesül szabályozási bírságokkal, ki kártalanítja az érintetteket, és ki felelős a felügyeleti hatóságoknak, ha valami rosszul sül el. A különbség a döntéshozatali jogkörre vonatkozó ténykérdésen alapul, nem pedig a szerződéses megnevezéseken.
Cselekvési lépések:
- Végezzen adatfeltérképezési gyakorlatot az összes feldolgozási tevékenység és szervezete szerepének azonosítására mindegyikben.
- Ellenőrizze a meglévő szolgáltatói szerződéseket, hogy megbizonyosodjon arról, hogy minden igénybe vett adatfeldolgozóval érvényben van-e megfelelő DPA.
- Vizsgálja felül az alfeldolgozói megállapodásokat, hogy biztosítsa az előzetes engedély meglétét és az egyenértékű kötelezettségek előírását.
- Ha különböző tevékenységek során adatkezelőként és adatfeldolgozóként is működik, dokumentálja külön-külön mindkét szerepet.
- Az Egyesült Királyságban működő szervezetek számára vizsgálják felül a 2026. évi adatfelhasználási és hozzáférési törvény (Data (Use and Access) Act 2026) következményeit képzett jogi tanácsadóval.
- Telepítsen egy hozzájárulás-kezelő megoldást, mint például a Biscotti CMP, hogy fenntartsa az ellenőrizhető hozzájárulási nyilvántartásokat és támogassa adatkezelői kötelezettségeit.
A téves besorolás nem technikai részlet, hanem megfelelőségi hiányosság, amely közvetlen pénzügyi és hírnévbeli következményekkel jár. A szerepek helyes meghatározása a kezdetektől fogva a legköltséghatékonyabb GDPR befektetés, amelyet bármely szervezet megtehet.
Hivatkozások
[1] Mik az adatkezelők és adatfeldolgozók - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] GDPR 82. cikk - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Adatkezelői és adatfeldolgozói kapcsolatok - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai