Ali je treba skleniti pogodbo o obdelavi osebnih podatkov?

Imamo specifično vprašanje, ki se navezuje na tehnične okoliščine delovanja strežnika. Razvijalec programske opreme ima svojo programsko opremo na strežniku z licenco, ki ga vzdržuje podjetje XY d.o.o. Stranke razvijalca programske opreme uporabljajo ta program in preko njega v bazo shranjujejo osebne podatke. Vzdrževalec strežnika (XY d.o.o.) potrebuje 24-urni dostop, da lahko namešča varnostne posodobitve in vrši nadzor nad delovanjem strežnika, administratorsko geslo pa mu omogoča tudi vpogled v bazo, če bi to želel. Sami podatki so v obliki, ki jo j je nemogoče povezati z osebo (npr. EMŠO številka sama po sebi nič ne pomeni, ker je vezana na ID zapis in ne neposredno na ime in priimek stranke).

Ali mora razvijalec programske opreme z vzdrževalcem strežnika skleniti kakšno posebno pogodbo glede varstva osebnih podatkov?