GDPR compliance v off-page monitoringu

Off-Page-Monitoring sleduje, co sa deje mimo vlastnej webovej stránky o značke: nové spätné odkazy, zmienky v odborných médiách, hodnotenia, sociálne profily a čoraz častejšie citácie v AI odpovediach. Práve pri tom sa pravidelne spracovávajú osobné údaje, často bez toho, aby si to zúčastnení uvedomovali. Tento článok ukazuje, kedy v Off-Page-SEO platí GDPR, aké zmluvy a právne základy sú potrebné a ako nastaviť monitoring v regióne DACH v súlade s právnymi predpismi.

Prečo je ochrana údajov v Off-Page-Monitoringu kritická pre podnikanie

Off-Page-SEO sa dlho považovalo za čisto technickú disciplínu. V skutočnosti každý backlink-audit, každý brand-monitoring a každá outreach kampaň spracováva údaje, ktoré sa vzťahujú na identifikovateľné osoby: mená autoriek a novinárov, skutočné mená pod hodnoteniami, sociálne profily a IP adresy. Tým nie je spracovanie oslobodené od ochrany údajov, ale spadá do plného rozsahu pôsobnosti GDPR.

Riziko zodpovednosti je reálne a rastie. Do 1. marca 2026 sa kumulované pokuty GDPR vyšplhali na približne 6,11 miliardy eur v rámci 2 685 zaznamenaných pokutových konaní, s priemerom 2 277 122 eur na konanie (medzinárodný tracker, celá EÚ). Tieto čísla nie sú abstraktným zvyškovým rizikom, ale finančnou kotvou, podľa ktorej by agentúry a ich zákazníci mali usmerňovať svoje Off-Page-procesy.

Kontext DACH zostručňuje tému realitou nástrojov. Väčšina Off-Page-nástrojov funguje ako Cloud-SaaS a cloud je v rakúskych podnikoch štandardom: 52 percent podnikov využívalo v roku 2025 cloudové služby, 30 percent umelú inteligenciu a 26 percent dátovú analytiku (Rakúsko, podniky od 10 zamestnancov). Každé z týchto cloudových spracovaní potrebuje riadny právny základ ochrany údajov, akonáhle sú v hre osobné údaje.

Fungovanie: Kedy sa spracovávajú osobné údaje

Rozhodujúcim prvým krokom je preskúmanie, či vôbec existuje osobný vzťah. V Off-Page-Monitoringu je odpoveď často áno, na viacerých miestach súčasne.

• IP adresy: ESD rozhodol v konaní Breyer, že dynamická IP adresa predstavuje pre prevádzkovateľa osobný údaj, pokiaľ disponuje právnymi prostriedkami na identifikáciu osoby prostredníctvom tretej strany, ako je poskytovateľ internetového pripojenia (ESD C-582/14, k smernici 95/46/ES). Rozsudok bol vydaný pred GDPR, ale základná myšlienka relatívneho osobného vzťahu sa v praxi prenáša na logfiles, analytics a crawler-dáta.
• Kontakty autorov a novinárov: Mená, e-mailové adresy a pridelenia redakcií z PR databáz sú jednoznačne osobnými údajmi.
• Hodnotenia a Social-Mentions: Skutočné mená pod recenziami, profilové mená na LinkedIn alebo XING a citované vyhlásenia sa dajú priradiť konkrétnym osobám.
• Údaje recenzentov a komentárov: Aj pseudonymy môžu byť osobnými údajmi, ak sa dajú spojiť s ďalšími údajmi k osobe.

Akonáhle nastane jeden z týchto prípadov, potrebujete právny základ podľa čl. 6 GDPR. V B2B Off-Page-oblasti je to spravidla oprávnený záujem podľa čl. 6 ods. 1 písm. f GDPR. Ten povinne vyžaduje zdokumentovaný test vyváženia: váš záujem o monitoring oproti záujmom dotknutej osoby hodným ochrany. Bez zdokumentovaného vyváženia chýba základ, aj keď by bol záujem vecne oprávnený.

Stratégia: Zmluva o spracovaní, prenos do tretej krajiny a rozdelenie úloh

Off-Page-Monitoring takmer nikdy nefunguje bez externých nástrojov. Tým vznikajú dva centrálne okruhy povinností: spracovanie osobných údajov a prenos do tretej krajiny.

Spracovanie osobných údajov podľa čl. 28 GDPR

Kto používa Ahrefs, Semrush, BrandMentions alebo Brand24 a pritom nechá spracovávať osobné údaje, potrebuje zmluvu o spracovaní osobných údajov (ZSÚ) podľa čl. 28 GDPR. Podnik, respektíve agentúra, je prevádzkovateľom, poskytovateľ nástroja je spracovateľom. Funkčná ZSÚ upravuje minimálne:

• Predmet a účel: Aké údaje sa smú spracovávať na aký účel a zákaz zmeny účelu.
• Viazanosť pokynmi: Spracovateľ koná len na základe zdokumentovaných pokynov prevádzkovateľa.
• Subdodávatelia: Povinnosť schválenia a zoznam použitých subspracovateľov, napríklad poskytovateľov hostingu a analytiky.
• TOM a vymazanie: Technické a organizačné opatrenia a vrátenie alebo vymazanie údajov po ukončení zmluvy.

Prenos do tretej krajiny pri nástrojoch z USA

Mnohé zavedené Off-Page-nástroje majú sídlo v USA alebo spracovávajú v USA. Tým sa prenos do tretej krajiny stáva samostatným bodom kontroly. Prípustný je prostredníctvom EU-US Data Privacy Framework, pokiaľ je konkrétny poskytovateľ certifikovaný, alebo prostredníctvom štandardných zmluvných doložiek (SCC) s doplnkovým posúdením vplyvu prenosu (TIA). Preskúmajte pre každý nástroj samostatne, na akom základe prebieha prenos, a zdokumentujte výsledok. Paušálny predpoklad, že DPF pokrýva všetko, nie je dostatočný.

Reputácia, hodnotenia a Digital PR

Pri hodnoteniach a zmienka je oprávnený záujem väčšinou vhodným základom, ale s hranicami: Spracovanie musí zostať obmedzené na monitoring, obohacovanie na komplexné osobné profily ide nad rámec. V Digital PR platí v B2B-oblasti outreach na profesionálne redakčné kontakty pravidelne ako pokrytý oprávneným záujmom, pretože oslovenie sa vzťahuje na profesionálnu úlohu. Reklamný prvý kontakt e-mailom podlieha v regióne DACH dodatočne právu hospodárskej súťaže a telekomunikačnému právu, ktoré nie je nahradené GDPR.

Osvedčené postupy pre Off-Page-Monitoring v súlade s ochranou údajov

Nasledujúce opatrenia robia monitoring preukázateľne súladným s právnymi predpismi bez oslabenia SEO účinku.

• Viesť záznam spracovateľských činností: Veďte záznam spracovateľských činností aj pre Off-Page-workflow. Každé opakujúce sa spracovanie, napríklad mesačné backlink-audity alebo trvalý brand-monitoring, musí byť zaznamenané s účelom, právnym základom a lehotou vymazania.
• Uzavrieť ZSÚ pred spustením nástroja: Získajte ZSÚ pred tým, ako nástroj produktívne spracováva údaje, nie až v prípade auditu.
• Implementovať anonymizáciu IP: Anonymizujte alebo pseudonymizujte IP adresy v analytics a logoch čo najskôr, ideálne pred uložením.
• Definovať koncept vymazávania: Stanovte konkrétne lehoty uchovávania v súlade so zásadou obmedzenia uchovávania podľa čl. 5 ods. 1 písm. e GDPR. Crawler- a audit-dáta potrebujú dátum exspirácie, nie neobmedzený archív.
• Zdokumentovať test vyváženia: Zaznamenajte test oprávneného záujmu písomne, pre každú kategóriu spracovávania. To je súčasť povinnosti zodpovednosti podľa čl. 5 ods. 2 GDPR.
• Minimalizácia údajov pri outreachi: Zhromažďujte v PR databázach len kontaktné údaje, ktoré potrebujete na profesionálne oslovenie, a žiadne súkromné doplnkové informácie.

Špecifické povinnosti DACH a kanály v súlade s právnymi predpismi

V Rakúsku platí popri GDPR zákon o ochrane údajov (DSG), dozorným orgánom je úrad na ochranu údajov (DSB). DSG dopĺňa GDPR o národné predpisy, napríklad o spracovanie orgánmi a sankcie, ale nezrušuje európske povinnosti. Pre budovanie odkazov je to prakticky relevantné, pretože zavedené DACH-kanály sú použiteľné v súlade s právnymi predpismi: WKO-Firmen-A-Z, rakúske odborné médiá a odvetvové adresáre poskytujú Earned Media a zmienky z verejne prístupných, inštitucionálnych zdrojov. Tieto kanály sú z hľadiska ochrany údajov menej kritické ako široké zhromažďovanie súkromných sociálnych profilov.

Profesionálne siete zostávajú pritom centrálnou pákou. V Rakúsku bolo začiatkom roku 2025 7,30 milióna identít na sociálnych médiách, čo zodpovedá 80,1 percentám populácie, a dosah reklamy na LinkedIn bol 31,1 percenta používateľov internetu (Rakúsko). Monitoring profesionálnych zmienok je teda účinný, ale musí sa opierať o profesionálny kontext a oprávnený záujem.

Nastaviť AI-citačný monitoring v súlade s ochranou údajov

Sledovanie vlastnej značky v AI odpovediach je nový Off-Page-kanál. Dosah je obrovský: ChatGPT dosiahol v októbri 2025 približne 800 miliónov týždenných aktívnych používateľov (celosvetovo), a Google AI Overviews dosiahli v druhom štvrťroku 2025 2 miliardy mesačných používateľov v 200 krajinách a teritóriách (celosvetovo). Preskúmať, či a ako je tam citovaná vlastná značka, je legitímny brand-monitoring.

Bod ochrany údajov spočíva tu v smere údajov. Pri GEO-monitoringu sledujete výstupy AI systémov k vlastnej značke. Pokiaľ sa dopytujete len na vlastné značkové pojmy a vyhodnocujete výsledky, spravidla nespracovávate osobné údaje tretích strán. Citlivé to je, keď prompty alebo logy obsahujú údaje používateľov alebo zákazníkov, alebo keď odpovede zachytávajú a ukladajú vyhlásenia o identifikovateľných tretích stranách. Potom platia rovnaké povinnosti ako pri ostatnom Off-Page-monitoringu: právny základ, minimalizácia a lehota vymazania.

Časté chyby

• Žiadna ZSÚ s monitorovacími nástrojmi: Používanie Ahrefs, Semrush alebo Brand24 bez zmluvy o spracovaní osobných údajov je jedným z najčastejších porušení a pri audite okamžite viditeľné.
• Nepreskúmaný prenos do tretej krajiny: Paušálny predpoklad, že nástroje z USA sú automaticky pokryté prostredníctvom DPF, nenahradí preskúmanie pre každého poskytovateľa vrátane SCC a TIA.
• Chýbajúce vyváženie pri oprávnenom záujme: Čl. 6 ods. 1 písm. f GDPR bez zdokumentovaného testu vyváženia nie je dostatočný, aj keď je záujem pravdepodobný.
• Neobmedzené uchovávanie: Crawler- a backlink-dáta bez koncepcie vymazávania porušujú obmedzenie uchovávania podľa čl. 5 GDPR.
• Off-Page zabudnutý v zázname spracovateľských činností: Mnohé záznamy pokrývajú len webovú stránku, nie prebiehajúci brand- a backlink-monitoring.
• Vytváranie profilov namiesto monitoringu: Obohacovanie údajov recenzentov alebo sociálnych údajov na komplexné osobné profily prekračuje hranicu oprávneného záujmu.
• Neupraveně ukladať IP adresy: Surové IP logy bez anonymizácie zbytočne zvyšujú objem údajov a riziko.

Metriky a dôkaz súladu

Súlad s ochranou údajov je merateľný a podlieha povinnosti preukázania. Nasledujúce ukazovatele a dôkazy robia stav overiteľným:

• Miera pokrytia ZSÚ: Podiel použitých Off-Page-nástrojov s platnou zmluvou o spracovaní osobných údajov, cieľ 100 percent.
• Dokumentácia prenosu: Pre každý nástroj z USA uložený dôkaz základu prenosu, teda DPF-certifikácia alebo SCC plus TIA.
• Dodržiavanie lehôt vymazania: Dôkaz, že crawler- a audit-dáta sú po uplynutí definovanej lehoty skutočne vymazané alebo anonymizované.
• Reakčný čas na práva dotknutých osôb: Doba spracovania žiadostí o prístup a vymazanie, so zákonnou lehotou ako hornou hranicou.
• Aktuálnosť záznamu spracovateľských činností: Dátum poslednej kontroly záznamu spracovateľských činností pre všetky Off-Page-workflow.
• Zdokumentované testy vyváženia: Počet kategórií spracovávania s písomne zaznamenaným vyvážením záujmov.

Povinnosť zodpovednosti podľa čl. 5 ods. 2 GDPR vyžaduje, aby ste dodržiavanie nielen zabezpečili, ale aj preukázali. V prípade sporu sa počíta dokumentácia, nie dobrý úmysel.

Ďalšie informácie: Zodpovednosť medzi agentúrou a zákazníkom

Najčastejšou otvorenou otázkou v DACH-mandátoch je rozdelenie úloh medzi agentúrou a zákazníkom. V praxi je zvyčajne zákazník prevádzkovateľom pre Off-Page-údaje svojej značky, zatiaľ čo agentúra vystupuje ako spracovateľ alebo, pri vlastných účeloch, ako spoločný prevádzkovateľ. Táto úloha musí byť zmluvne jasne upravená vrátane pokynov, zoznamu nástrojov a povinností vymazania. Objasnte tiež, kto prijíma žiadosti dotknutých osôb a kto zabezpečuje včasné odpovede.

Ako ďalšie kroky sa odporúčajú inventár nástrojov so stavom ZSÚ a prenosu, zdokumentovaná koncepcia vymazávania pre všetky crawler- a monitoring-dáta a zaradenie Off-Page-workflow do záznamu spracovateľských činností. Kto tieto tri stavebné bloky riadne nastaví, môže vykonávať backlink-audity, brand-monitoring a AI-citačný tracking bez porušenia GDPR alebo rakúskeho DSG.