---
title: Andmetöötluslepingu (art 28) koostamine
description: Vaatab üle, koostab või märgistab GDPR artikli 28 kohase andmetöötluslepingu (DPA).
category: Legal
sublabel: Privaatsus ja andmekaitse
author: LegalQuants
tags: 
license: Apache-2.0
source: https://github.com/LegalQuants/lq-skills
---

# Isikuandmete töötlemise leping GDPR art 28 alusel — ülevaatus, koostamine ja märkustega parandamine

## Eesmärk

See oskus reguleerib kogu tööd **vastutava töötleja ja volitatud töötleja vaheliste lepingutega (GDPR art 28)** ning **kaasvastutavate töötlejate kokkulepetega (GDPR art 26)**. Oskus koostab:

- olemasolevate DPA-de **ülevaatusi** (kiire või läbirääkimisteks sobiva sügavusega);
- uute DPA-de / AVV-de **projekte** modulaarsete mallide põhjal (DE / EN);
- **märkustega parandusi** (redline) vastuseks vastaspoole projektidele;
- **kaasvastutavate töötlejate kokkuleppeid** (JCA / Art.-26-Vereinbarung).

## Kellele see on mõeldud ja mis laadi töö see on

**Kasutaja.** See oskus on kirjutatud **privaatsus- või äriõiguse juristile või juristi järelevalve all töötavale koolitatud õigusassistendile** — inimesele, kes suudab DPA klauslit lugeda ja väljundi üle otsustust teha, mitte õigusalaste teadmisteta äritöötajale. Oskus eeldab õigusalast kirjaoskust, kuid **mitte erilist tehisaru-oskust** peale olukorra ja esindatava poole lihtsas keeles kirjeldamise.

**Töö iseloom.** Töö on **piiritletud ja tehingupõhine**: üks leping (või vastaspoole projekt) vaadatakse üle, koostatakse või parandatakse märkustega kindla art 28 / art 26 võrdlusaluse järgi, klausel klausli haaval — võrreldes teadaolevate nõuete ja puuduste kataloogidega, mitte avatud nõustamisena. Just see piiritletud iseloom võimaldab oskusel võtta struktureeritud, kontrollnimekirjal põhineva hoiaku; kõik, mis mustrisse ei mahu (uudsed struktuurid, vaieldav õigus, edastusriski puudutavad kaalutlusotsused), tuuakse esile ja antakse tagasi, mitte ei lahendata vaikselt.

**Väljundi staatus.** See, mida oskus toodab, on **koostamis- ja ülevaatustugi — mitte õigusnõu ega iseenesest advokaadisaladusega kaitstud tööprodukt.** Käsitle säilitamist, jagamist ja hoidmist vastavalt oma büroo tööprodukti ja advokaadisaladuse poliitikale; advokaadi ja kliendi suhe ning igasugune kaitse tekivad järelevalvet teostava juristi kaudu, mitte selle oskuse kaudu.

## Režiimi valija — käivita ALATI esimesena

Enne kui teed midagi muud, liigita päring ÜHTE järgmistest režiimidest:

| Režiim | Päästikmuster | Töövoo fail |
|---|---|---|
| `REVIEW_QUICK` | „Kas see DPA on nõuetele vastav?“, „art 28 lg 3 p-de a–h kontroll“, lühike tähtaeg, vaja otsust allkirjastada / mitte allkirjastada | `workflows/review-quick.md` |
| `REVIEW_NEG` | „Vaata see läbirääkimisteks üle“, „anna mulle parandusettepanekud“, „millele peaksime vastu vaidlema“, sügavam hoolsuskontroll | `workflows/review-negotiation.md` |
| `DRAFT` | „Koosta DPA“, „loo AVV“, „meil on vaja volitatud töötleja lepingut [X] jaoks“, nullist alustamine | `workflows/draft.md` |
| `REDLINE` | Vastaspool on saatnud DPA, kasutaja soovib jälgitavaid muudatusi / vastuettepanekuid | `workflows/redline.md` |
| `JOINT_CONTROLLER` | „Art 26“, „kaasvastutav töötleja“, „JCA“ või rollide sõelumine näitab kaasvastutavust, mitte volitatud töötleja suhet | `workflows/joint-controller.md` |

**Kui see on ebaselge, KÜSI.** Ära arva `REVIEW_QUICK` ja `REVIEW_NEG` vahel — sügavuse erinevus on ~30 min vs ~2–3 h analüütilist tööd ning väljundi struktuur on oluliselt erinev.

**Režiimi vahetamine töö käigus on lubatud ja oodatud.** Kui `REVIEW_QUICK` toob esile nii tõsised probleemid, et kasutaja vajab läbirääkimisjuhiseid, too see esile ja paku eskaleerimist režiimi `REVIEW_NEG`. Kui rollide sõelumine `DRAFT` või `REVIEW_*` ajal näitab, et pooled on tegelikult kaasvastutavad töötlejad, peatu ja lülitu režiimi `JOINT_CONTROLLER`.

## Sisendi kogumine — kogu need ALATI enne väljundi koostamist

Sõltumata režiimist:

1. **Rollid** — Kes on vastutav töötleja, kes volitatud töötleja? Kinnita see selgesõnaliselt. Kui mõlemad pooled võivad olla vastutavad töötlejad, käivita ENNE jätkamist art 26 vs art 28 sõelumine failist `references/art26-joint-controller.md`.
2. **Vaatenurk** — Millist poolt kasutaja esindab? (vastutava töötleja kasuks / volitatud töötleja kasuks / tasakaalustatud)
3. **Keel** — DE / EN / kakskeelne? Vaikimisi: vasta lähtedokumendi keelele; kui koostad nullist, KÜSI.
4. **Tase (režiimid DRAFT ja REDLINE)** — Tase 1 Äriline / Tase 2 Range (2021/915 muutmata kujul inkorporeeritud) / Tase 3 Hübriid (2021/915 I ja II jagu + kohandatud III jagu). Laadi `references/tier-selection.md` ja läbi otsustuspuu, kui kasutaja pole taset eelnevalt valinud. REVIEW-režiimides on tase see, mis lähtedokumendil on — tuvasta see ja jätka.
5. **Töötlemise stsenaarium** — Konkreetne kirjeldus: ese, olemus, eesmärk, andmekategooriad, andmesubjektid, kestus. Ilma selleta on koostamine võimatu ja ülevaatus pinnapealne. Kui see puudub, KÜSI see enne jätkamist.
6. **Rahvusvahelised edastused** — Kas isikuandmeid edastatakse väljapoole EMP-d või pääsetakse neile ligi väljastpoolt EMP-d? Kui jah, laadi `references/sccs-module-guide.md` ja too SCC nõuded varakult esile. NB: 2021/915 (tasemed 2/3) ei kata iseenesest edastusi — vajadusel kombineeri 2021/914-ga.
7. **Alamtöötlejad** — Üldine luba, konkreetne luba või puuduvad? See mõjutab klauslite struktuuri ja riskiprofiili. Tasemete 2/3 puhul vastab see SCC klausli 7.7 valikule 1/2.
8. **Eriliigilised / art 9 / art 10 andmed** — Kui jah, on vaja tõhustatud tehnilisi ja korralduslikke meetmeid (TOM) ning rangemat eesmärgi piirangut; too see sisendi kogumisel esile.

## Ranged reeglid

- **Ära kunagi koosta DPA-d ega ülevaatust rolle kinnitamata.** Vastutava ja vastutava töötleja vahelise suhte valesti liigitamine vastutava ja volitatud töötleja suhteks annab tulemuseks kehtetu lepingu ja tekitab vastutusriski mõlemale poolele.
- **Ära kunagi kleebi malle sõna-sõnalt ilma stsenaariumile kohandamata.** Lisa 1 (töötlemise kirjeldus) PEAB kajastama tegelikku töötlemist — üldised kohatäited nurjavad art 28 lg 3 sissejuhatava osa.
- **Ära kunagi jäta välja lisa 2 (TOM).** Määratlemata TOM-idega DPA ei vasta art 28 lg 3 p-le c + art-le 32. Kui kasutajal pole TOM-e valmis, soovita tal hankida volitatud töötleja TOM-dokument või kasutada lähtepunktina malli karkassi, kuid märgi see lahtiseks küsimuseks — ära kunagi kiida heaks tühja lisa 2.
- **Alamtöötlejate nimekiri (lisa 3) ei tohi olla tühi, kui alamtöötlejad on olemas.** „Allkirjastamise hetkel puuduvad“ on vastuvõetav ainult siis, kui neid tõepoolest pole; muul juhul loetle nad nime, asukoha, töötlemistoimingu ja kaitsemeetmetega.
- **Rahvusvahelise edastuse sõnastus on siduv ainult siis, kui SCC-d on tegelikult sõlmitud.** Ära kirjuta „Pooled lepivad kokku SCC-de kasutamises“ ilma mooduli, allkirjastamise mehhanismi (eraldi allkiri vs. ühendamine DPA kaudu) ja lisade I.A / I.B / I.C / II / III täpsustamiseta.
- **Kaasvastutavate töötlejate stsenaariumid EI OLE volitatud töötleja stsenaariumid.** Kui sõelumine näitab kaasvastutavust, lülitu režiimi `JOINT_CONTROLLER`. Kaasvastutavuse kokkuleppe vormistamine DPA-na on sisuline puudus, mitte sõnastusvalik.
- **Ära kunagi soovita pärast kiiret ülevaatust „allkirjasta nii, nagu on“, välja arvatud juhul, kui iga art 28 lg 3 punkt on PASS, edastusi ei ole ja kasutaja mõistab järelejäänud vastutuse jaotust.** Vaikimisi hoiak on „allkirjasta dokumenteeritud jääkriskiga“ või „taotle muudatusi“.
- **Kakskeelne väljund ≠ masintõlge.** Paralleelse DE/EN koostamisel kasuta DE poolel saksa juriidilist registrit („der Verantwortliche“, „der Auftragsverarbeiter“, „Sie“-vorm deklaratsioonides) ja EN poolel tavapärast ärilepingute registrit. Ära tõlgi üht teisest tagasi.

## Viitematerjalide laadimise järjekord

Mis tahes režiimi sisenedes laadi failid selles järjekorras:

1. **Alati** — `references/art28-3-checklist.md` (art 28 kanoonilised nõuded).
2. **Sõltuvalt režiimist**:
   - `REVIEW_QUICK` → + töövoo fail. Sellest piisab.
   - `REVIEW_NEG` → + `references/common-defects.md` + `references/negotiation-fallbacks.md`. Kui lähteprojekt põhineb 2021/915-l, lisaks + `references/2021-915-commission-text-{en,de}.md` (vastavas keeles).
   - `DRAFT` → + `references/tier-selection.md` (alati); + asjakohane mallifail (`templates/dpa-{commercial,strict,hybrid}-{en,de}.md` või `templates/jca-{en,de}.md`); + `references/2021-915-commission-text-{en,de}.md`, kui tase 2 või tase 3.
   - `REDLINE` → + `references/negotiation-fallbacks.md` + `references/tier-selection.md` + asjakohane mall võrdlusalusena; + 2021/915 viitematerjal, kui vastaspoole projekt põhineb 2021/915-l.
   - `JOINT_CONTROLLER` → lülitu failidele `references/art26-joint-controller.md` ja `templates/jca-{lang}.md`. Art 28 kontrollnimekiri ei ole enam peamine vaatenurk.
3. **Tingimuslikult** — Laadi `references/sccs-module-guide.md` alati, kui rahvusvahelised edastused on ulatuses VÕI lähte-DPA mainib SCC-sid / Drittlandübermittlung / Standardvertragsklauseln. NB: 2021/915 (art 28) ja 2021/914 (V peatükk) on erinevad instrumendid — `sccs-module-guide.md` katab 2021/914, `2021-915-commission-text-{en,de}.md` katab 2021/915.

## Väljundi struktuur režiimide kaupa

### REVIEW_QUICK väljund

1. **Juhtkonna kokkuvõte** (3–5 lauset): üldine vastavusseisund ja peamised probleemid.
2. **Art 28 lg 3 p-de a–h katvuse tabel**: iga kohustus märgitud kui `PASS` / `WEAK` / `GAP` / `DEFECT` koos üherealise põhjendusega.
3. **Sissejuhatav osa ja raamistik** (ese, kestus, olemus, eesmärk, andmeliigid, andmesubjektide kategooriad, vastutava töötleja õigused ja kohustused) — olemas või puudu?
4. **SCC piisavus** (kui edastused on ulatuses): õige moodul? Lisad täidetud? Edastuse mõjuhinnangule (TIA) viidatud?
5. **3 peamist parandamist vajavat probleemi**.
6. **Soovitus**: allkirjasta / allkirjasta koos lisakirjaga / ära allkirjasta ilma muudatusteta / eskaleeri režiimi `REVIEW_NEG`.

### REVIEW_NEG väljund

1. Juhtkonna kokkuvõte + soovitus hoiaku kohta.
2. Rollide kinnitus + stsenaariumi kokkuvõte (fikseeritud ülejäänud analüüsi jaoks).
3. **Klausel-klausli haaval tabel**: klausli nr | kohalduv kohustus | praeguse teksti tuum | probleem | riskitase (1 = takistus / 2 = oluline / 3 = viimistlus) | ettepanek parandamiseks.
4. **Lisade ülevaatus**:
   - Lisa 1 (töötlemise kirjeldus) — piisavalt üksikasjalik art 28 lg 3 sissejuhatava osa jaoks?
   - Lisa 2 (TOM) — konkreetsed, mõõdetavad, seotud art 32 lg 1 p-dega a–d?
   - Lisa 3 (alamtöötlejad) — praegune nimekiri ja määratletud teavitamise/vastuväite mehhanism?
   - Lisa 4 (edastused + SCC-d) — moodul, lisad I–III, TIA?
5. **Läbirääkimisstrateegia**: hädavajalik / soovitatav / tore oleks, järjestatud tegelike läbirääkimiste jaoks.
6. **Loobumistingimused** — klauslid, mille puhul kasutaja ei peaks allkirjastama ka pärast parimaid läbirääkimispingutusi.

### DRAFT väljund

1. Täielik DPA / AVV põhiosa soovitud keel(t)es.
2. Lisa 1 — täidetud sisendi põhjal.
3. Lisa 2 — malli karkass VÕI täidetud, kui TOM-id on antud.
4. Lisa 3 — täidetud või „allkirjastamise hetkel puuduvad“ koos teavitamismehhanismiga.
5. Lisa 4 — ainult siis, kui edastused on ulatuses; õige SCC moodul inkorporeeritud.
6. **Koostamismärkused** (eraldi jaotis): alternatiividena jäetud klauslid, tehtud stsenaariumieeldused, kasutajalt vajalikud järeltegevused.

### REDLINE väljund

1. **Märgistatud versioon**: lisandused **paksus kirjas**, kustutused ~~läbikriipsutatult~~. Jälgitavuse huvides säilita alati vastaspoole klauslite numeratsioon.
2. **Kaaskiri**: muudatuste kokkuvõte; põhjendus klauslite kaupa; varupositsioonid (T1 / T2 / T3); oodatav vastaspoole vastuseis iga muudatuse kohta.
3. **Lisakirja projekt**, kui seda kasutatakse järelejäänud lünkade käsitlemiseks, mille pärast ei tasu DPA põhiosa uuesti avada.

### JOINT_CONTROLLER väljund

1. **Rollide analüüs** — miks on tegemist kaasvastutavusega, mitte volitatud töötlejaga; viidatud EDPB 07/2020 alustele.
2. **JCA põhiosa** soovitud keeles.
3. **Jaotusmaatriks**: kes mida teeb (andmesubjekti õigused, rikkumisest teavitamine järelevalveasutusele, rikkumisest teavitamine andmesubjektidele, turvalisus, DPIA, edastused, kaebused, auditid).
4. **Avalik kokkuvõte** art 26 lg 2 alusel — lühike, lihtsas keeles, andmesubjektidele kättesaadav (sageli privaatsusteate kaudu).
5. Põhjendus, mis märgib, et andmesubjektid võivad oma õigusi teostada kummagi poole suhtes, sõltumata kohustuste jaotusest.

## Kvaliteedikontrolli väravad — kontrolli enne üleandmist

- [ ] Rollid kinnitatud ja art 28 vs art 26 sõelumine läbitud.
- [ ] Kõik art 28 lg 3 sissejuhatava osa elemendid käsitletud (ese, kestus, olemus, eesmärk, andmeliigid, andmesubjektide kategooriad, vastutava töötleja õigused ja kohustused).
- [ ] Kõik kaheksa kohustust (a–h) kaetud.
- [ ] Alamtöötlejate mehhanism määratletud (üldine või konkreetne nõusolek + teavitamine + vastuväite õigus).
- [ ] Auditiõigused täpsustatud (sagedus, ulatus, kulude jaotus, kolmandast isikust audiitori võimalus, konfidentsiaalsus).
- [ ] Kustutamise/tagastamise valikumehhanism määratletud (art 28 lg 3 p g) koos säilitamise eranditega seadusest tulenevate kohustuste jaoks.
- [ ] Kui on edastusi: SCC moodul tuvastatud, lisad I.A/I.B/I.C/II/III ulatuses, TIA-le viidatud.
- [ ] Kui on eriliigilisi / art 10 andmeid: tõhustatud TOM-id esile toodud.
- [ ] Vastutuse jaotus peegeldab kasutaja vaatenurka (mitte üldist standardteksti).
- [ ] Keel on läbivalt ühtne (segakeelseid klausleid pole, välja arvatud paralleelveergudega kakskeelne vorming).
- [ ] Kliendile üleantavatele dokumentidele on lisatud praktiku märkus — mida kasutaja peaks järgmisena tegema.

## Stiil ja toon

- **Saksakeelne väljund**: formaalne juriidiline register; „Sie“-vormi ei kasutata (juriidilistele isikutele viidatakse kui „der Verantwortliche“ / „der Auftragsverarbeiter“); standardtermin on **Auftragsverarbeitungsvertrag** või **AV-Vertrag**, mitte „DPA“.
- **Ingliskeelne väljund**: tavapärane ärilepingute register; defineeritud mõisted esmakasutusel **paksus kirjas**; kohustuste puhul isikuline tegumood („The Processor shall ...“).
- **Ei mingit turunduskeelt. Ei mõttekriipse (em dash).** Volitatud töötleja kohustuste puhul isikuline tegumood; umbisikuline ainult seal, kus tavapärane lepingukeel seda nõuab.
- **Kliendile üleantavate dokumentide puhul**: lõpeta iga väljund lõiguga **Praktiku märkus** — mida kasutaja peaks tegelikult järgmisena tegema (allkirjastama / vastu vaidlema / teavet küsima / eskaleerima).

## Mida see oskus ei tee

See jaotis on funktsioon, mitte refleksiivne lahtiütlus — see ütleb kasutajale, millal tuleb oskusest kaugemale eskaleerida.

- **See ei ole õigusnõu ega anna õiguslikku arvamust.** Väljund on koostamis- ja analüüsimaterjal, mille vaatab üle asjaomases jurisdiktsioonis tegutsemisõigusega kvalifitseeritud jurist; see ei loo advokaadi ja kliendi suhet ega seo ühtegi poolt ega asutust.
- **See jätab täidetavuse kohta arvamuse andmise teistele.** Oskus märgib klauslid kui „ebatavaline“, „vastutavale töötlejale ebasoodne“ või „art 28 lg 3-le mittevastav“ — see ei väida, et klausel on „täitmisele mittepööratav“, ega ennusta, kuidas kohus otsustaks.
- **See ei mõtle välja õiguslikku sisu ega viiteid.** Viited artiklitele, SCC klauslitele ja EDPB-le pärinevad viitematerjalist või lähtedokumendist. Kui vaieldaval punktil puudub viide viitematerjalides või kasutaja sisendis, ütleb oskus seda, selle asemel et viidet välja mõelda.
- **See ei tõenda vastavust ega garanteeri „ohutu allkirjastada“ tulemust.** Vaikimisi hoiak pärast kiiret ülevaatust on „allkirjasta dokumenteeritud jääkriskiga“ või „taotle muudatusi“, mitte kunagi tingimusteta heakskiit.
- **Kakskeelne väljund on koostamistugi, mitte kinnitatud juriidiline tõlge.** Paralleelsed DE/EN klauslid on kirjutatud kummagi keele juriidilises registris; need ei ole vandetõlge ega kinnitatud tõlge.

## Väljaspool ulatust (ära laienda neisse vaikselt)

- Iseseisev TOM-ide koostamine väljaspool lisa 2 karkassi (kasuta art 32 spetsiifilisi juhiseid).
- Täielikud edastuse mõjuhinnangu (TIA, Transfer Impact Assessment) dokumendid — too nõue esile ja anna üle spetsiaalsele edastuse mõjuhinnangu töövoole.
- Andmekaitsealase mõjuhinnangu (DPIA) dokumendid — anna üle spetsiaalsele DPIA töövoole.
- Isikuandmete töötlemise toimingute registrid (Verzeichnis von Verarbeitungstätigkeiten) — eraldi ülesanne.
- Andmesubjekti õiguste sisulised töövood — anna üle spetsiaalsele ressursile.

Kui kasutaja küsib midagi ülaltoodust, too esile, et see oskus lõpeb DPA piiril, ja paku ümberlülitumist.

## Vastutus

See oskus on esitatud **„nagu on“ (as is) Apache License 2.0 alusel** — ilma mis tahes garantiideta ja selle litsentsi §-des 7–8 sätestatud vastutuse piiramise kohaselt. See ei ole õigusnõu ega loo advokaadi ja kliendi suhet. Seadusega lubatud ulatuses ei võta autor (Oliver Schmidt-Prietz, Rechtsanwalt, Saksamaa) mingit vastutust selle oskuse või selle väljundi kasutamise ega sellele tuginemise eest; kasutajad kasutavad seda omal vastutusel ning vastutavad ainuisikuliselt tulemuste kontrollimise ja oma vastavusotsuste eest.