Бърз отговор: AVV (Auftragsverarbeitungsvertrag) е законово задължителен договор съгласно член 28 от GDPR между администратор на данни и обработващ данни. Всяка организация, която обработва лични данни от името на друга страна, трябва да има такъв. Работата без AVV излага и двете страни на глоби до 20 милиона евро или 4% от годишния глобален оборот, което от двете е по-високо.
Основни изводи
- AVV е немският термин за Споразумение за обработка на данни (DPA), изисквано съгласно член 28 от GDPR, когато обработващ обработва лични данни за администратор.
- Споразумението трябва да посочва предмета, целта, продължителността, видовете данни, техническите и организационни мерки (ТОМ) и правилата за подизпълнители.
- Липсата на валиден AVV може да доведе до регулаторни глоби, независимо дали е настъпило нарушение на данните.
- Малките предприятия не са изключение: облачният хостинг, софтуерът за заплати и инструментите за имейл маркетинг обикновено изискват AVV.
- AVV е договор между две страни, а не известие за поверителност, и сам по себе си не прилага мерки за сигурност като криптиране.
- AVV трябва да се преглеждат винаги, когато се променят подизпълнители, когато се извършват трансфери на данни към трети държави или когато се променят дейностите по обработка.
- В региона DACH (Германия, Австрия, Швейцария) AVV са стандартна практика с доставчици на SaaS, хостинг доставчици и ERP системи.
- Налични са шаблони от организации за съответствие и доставчици, но персонализирането, за да отразява действителните дейности по обработка, е от съществено значение.
Какво означава AVV при обработката на данни?
AVV означава Auftragsverarbeitungsvertrag, немска съставна дума, която се превежда директно като "споразумение за обработка на данни" на английски. Това е договорният инструмент, предписан от член 28 от Общия регламент за защита на данните (GDPR) на ЕС, за регулиране на отношенията между администратор на данни и обработващ данни.
Терминът е специфичен за немскоговорящите юрисдикции (Германия, Австрия и Швейцария), но основната правна концепция се прилага универсално в целия ЕС и ЕИП. В англоезичен контекст същият документ се нарича Споразумение за обработка на данни (DPA). Организациите, работещи в международен план, трябва да гарантират, че техните AVV са достъпни на съответните езици, за да улеснят разбирането и съответствието [5].
AVV не е политика за поверителност или банер за съгласие за бисквитки. Това е обвързващ двустранен договор, който определя как обработващият може да обработва лични данни, при какви условия и с какви гаранции.
Защо обработващите данни се нуждаят от AVV?
AVV е задължителен винаги, когато администратор на данни ангажира обработващ да обработва лични данни от негово име. Това не е незадължително ръководство; това е строго правно изискване съгласно член 28 от GDPR [1].
Често срещани сценарии, които задействат изискването за AVV, включват:
- Облачен хостинг и инфраструктура (напр. сървъри, съхраняващи клиентски бази данни)
- Обработка на заплати, извършвана от доставчик на HR услуги от трета страна
- Платформи за имейл маркетинг, които съхраняват списъци с абонати
- Доставчици на SaaS ERP, които имат достъп до бизнес данни и данни за служители
- Инструменти за анализ и проследяване, обработващи данни за поведението на посетителите
Без AVV нито една от страните няма документирано правно основание за отношенията по обработка. Надзорните органи третират липсата на AVV като самостоятелно нарушение на съответствието, отделно от всяко разследване на нарушение на данните [3].
AVV същото ли е като DPA?
Да, AVV и DPA се отнасят до един и същ правен документ. AVV е немскоезичното обозначение; DPA е английският еквивалент, използван в повечето други държави-членки на ЕС и в международен контекст на съответствие [5].
И двата документа изпълняват изискванията на член 28 от GDPR и трябва да съдържат едни и същи задължителни елементи. Ако немска компания подпише DPA с доставчик на SaaS, базиран в САЩ, този DPA функционира като AVV за целите на съответствието с GDPR, при условие че отговаря на всички съществени изисквания.
Ключово разграничение, което трябва да се помни: Етикетът на документа е по-маловажен от съдържанието му. Документ, озаглавен "Допълнение за обработка на данни", "Споразумение за обработка" или "AVV", е правно еквивалентен, докато обхваща всички необходими елементи.
Кой се нуждае от AVV за съответствие с GDPR?
Всяка организация, която е администратор на данни и използва услуга на трета страна, която обработва лични данни от нейно име, се нуждае от AVV. Това се отнася за предприятия от всякакъв размер във всички индустрии [1].
Администратори, които обикновено се нуждаят от AVV:
| Сценарий | Администратор | Обработващ |
|---|---|---|
| Компания използва облачен CRM | Бизнес | Доставчик на CRM |
| Уебсайт използва анализи | Собственик на уебсайт | Доставчик на анализи |
| HR възлага заплати на външни изпълнители | Работодател | Бюро за заплати |
| Онлайн магазин използва имейл инструмент | Търговец на дребно | Имейл платформа |
| Агенция управлява реклами на клиенти | Агенция | Рекламна технологична платформа |
Кой не е обработващ: Страна, която определя целите и средствата за обработка независимо, е администратор сама по себе си, а не обработващ. Съвместните администратори изискват различен тип споразумение съгласно член 26 от GDPR.
Малките предприятия често пренебрегват това изискване, приемайки, че то се отнася само за големи предприятия. Това предположение е невярно. Всеки собственик на уебсайт, използващ хостинг доставчик от трета страна, услуга за бюлетин или система за резервации, вероятно се нуждае от поне един AVV [5].
Какво трябва да бъде включено в AVV?
Съответстващ AVV трябва да съдържа специфични задължителни елементи. Липсата дори на един може да направи споразумението недостатъчно при проверка от GDPR [2].
Задължителни компоненти:
- Предмет и продължителност на обработката
- Естество и цел на обработката
- Вид лични данни и категории субекти на данни
- Задължения и права на администратора
- Технически и организационни мерки (ТОМ), приложени от обработващия
- Правила, регулиращи ангажирането на подизпълнители
- Процедури за искания за права на субектите на данни
- Задължения за уведомяване при нарушение на данните
- Връщане или изтриване на данни при прекратяване на договора
- Права за одит за администратора
Разделът за ТОМ е особено важен. Въпреки че самият AVV не прилага мерки за сигурност, той трябва да документира какви мерки е въвел обработващият, като стандарти за криптиране, контроли за достъп и практики за псевдонимизация [1].
Какво се случва, ако нямате AVV?
Работата без валиден AVV излага както администратора, така и обработващия на значителни регулаторни санкции. Съгласно член 83, параграф 4 от GDPR, глобите за нарушения на член 28 могат да достигнат 10 милиона евро или 2% от годишния глобален оборот, а съгласно член 83, параграф 5 за по-сериозни нарушения, до 20 милиона евро или 4% от годишния глобален оборот, което от двете е по-високо [3].
Критично е, че тези глоби могат да бъдат наложени, независимо дали е настъпило нарушение на данните. Надзорен орган, извършващ рутинен одит или отговарящ на жалба, може да установи липсата на AVV и да наложи глоба само на това основание.
Допълнителните последици включват:
- Репутационни щети и загуба на доверие на клиентите
- Договорна отговорност между администратора и обработващия
- Потенциално спиране на дейностите по обработка до отстраняване на проблема
AVV срещу Споразумение за обработка на данни: Основни разлики
AVV и DPA са по същество един и същ документ под различни имена. Въпреки това, има практически разлики, които си струва да се отбележат за международни организации.
| Измерение | AVV | DPA |
|---|---|---|
| Език | Немски | Английски (или местен) |
| Фокус на юрисдикцията | Регион DACH | ЕС/ЕИП като цяло |
| Общ контекст на употреба | Немскоезични договори | Международни SaaS споразумения |
| Правно основание | GDPR член 28 | GDPR член 28 |
| Изисквания за съдържание | Идентични | Идентични |
Регионът DACH (Германия, Австрия, Швейцария) има особено силна култура на прилагане по отношение на AVV, което ги прави стандартна практика в договорите с доставчици на хостинг, доставчици на SaaS ERP и други партньори по услуги [1].
Колко струва един AVV?
Цената на AVV варира в зависимост от това как е създаден и прегледан.
- AVV, базиран на шаблон: Много доставчици предоставят свой собствен AVV като част от условията си за обслужване, обикновено без допълнително заплащане. Организации като NexDeck предлагат подробни AVV шаблони, включително списъци с подизпълнители [4].
- Преглед от правен съветник: Адвокат по защита на данните, който изготвя или преглежда персонализиран AVV, обикновено струва между 300 и 2000 евро в зависимост от сложността и юрисдикцията.
- Изготвяне с помощта на DPO: Организации с вътрешен или външен служител по защита на данните (DPO) често могат да използват този ресурс за изготвяне на AVV без допълнителни разходи извън таксата за DPO.
За малките предприятия най-практичният подход е да започнат с надежден шаблон и да го прегледат от квалифициран специалист, преди да го подпишат.
Как да създам шаблон за AVV?
Създаването на AVV започва с идентифициране на всички отношения по обработка, при които трета страна обработва лични данни от ваше име. Оттам нататък процесът следва тези стъпки:
- Инвентаризирайте вашите обработващи: Избройте всеки доставчик, инструмент или услуга, която има достъп до лични данни, които контролирате.
- Получете или изгответе AVV: Много обработващи (особено доставчици на SaaS) предоставят свой собствен стандартен AVV. Прегледайте го спрямо задължителните елементи, изброени по-горе.
- Персонализирайте раздела за ТОМ: Уверете се, че техническите и организационни мерки отразяват действителните практики за сигурност на обработващия.
- Избройте подизпълнители: Включете приложение, идентифициращо всички подизпълнители, които обработващият използва, заедно с техните роли и местоположения.
- Определете механизми за трансфер на данни: Ако данните се прехвърлят извън ЕС/ЕИП, посочете правния механизъм за трансфер (напр. Стандартни договорни клаузи).
- Подпишете и запазете: И двете страни трябва да подпишат AVV. Запазете копие с вашите записи за обработка на данни.
Шаблоните от организации, фокусирани върху съответствието, осигуряват солидна структурна основа, но всеки AVV трябва да бъде съобразен със специфичната дейност по обработка, която регулира [2].
Изисквания за AVV за малки предприятия
Малките предприятия не са освободени от изискването за AVV. Всяка организация, която е обект на GDPR и използва обработващ от трета страна, трябва да има AVV, независимо от размера на компанията или броя на служителите [1].
За малките предприятия практическата тежест е по-ниска, отколкото може да изглежда:
- Повечето големи доставчици на SaaS (имейл платформи, системи за резервации, инструменти за анализ) вече предоставят стандартен AVV или DPA като част от техните условия за обслужване. Приемането на тези условия обикновено представлява валидно споразумение.
- Ключовата задача е да се уверите, че действително сте прегледали и приели тези условия, вместо да приемате, че съществуват.
- Поддържайте прост регистър на вашите обработващи и съответните AVV.
Често срещана грешка: Собствениците на малки предприятия често приемат, че тъй като даден доставчик е голям и реномиран, правната документация се обработва автоматично. Приемането на AVV трябва да бъде активна, документирана стъпка.
Изисквания за одитна следа на AVV
AVV трябва да включва разпоредби, предоставящи на администратора правото да одитира съответствието на обработващия. Това право на одит е задължителен елемент съгласно член 28, параграф 3, буква з) от GDPR [2].
На практика изискванията за одитна следа означават:
- Обработващият трябва да поддържа записи на дейностите по обработка съгласно член 30, параграф 2 от GDPR.
- Администраторът има право да извършва одити или да възлага на одитори от трети страни да проверяват съответствието.
- Много обработващи изпълняват това изискване чрез сертификати от трети страни като ISO 27001 или SOC 2, които могат да заместят одити на място в много случаи.
AVV е пряко свързан с контролите по ISO 27001 Приложение А от A.5.19 до A.5.22, които регулират отношенията с доставчици и информационната сигурност във веригите за доставки [2]. Организациите с официална система за управление на информационната сигурност (ISMS) трябва да гарантират, че техните AVV са интегрирани в техните процеси за управление на доставчици.
AVV за международни трансфери на данни
Когато обработващ се намира извън ЕС/ЕИП, AVV трябва да разглежда правния механизъм за прехвърляне на лични данни към тази трета държава. Стандартните договорни клаузи (SCC) са най-често използваният механизъм и обикновено се включват като приложение към AVV [2].
Основни съображения за международни AVV:
- Идентифицирайте дали държавата на обработващия има решение за адекватност на ЕС.
- Ако не, включете подходящите SCC (администратор-към-обработващ или администратор-към-администратор, в зависимост от отношенията).
- Извършете оценка на въздействието на трансфера (TIA), когато е необходимо.
- Уверете се, че AVV е достъпен на езиците на двете договарящи страни [5].
Колко често трябва да актуализирате своя AVV?
AVV трябва да се преглежда и актуализира винаги, когато настъпят съществени промени в отношенията по обработка. Няма фиксиран законов интервал за преглед, но най-добрата практика сочи поне годишен преглед [2].
Задействащи фактори за незабавна актуализация на AVV:
- Обработващият ангажира нов подизпълнител или премахва съществуващ
- Дейностите по обработка променят своето естество, цел или обхват
- Данните се прехвърлят към нова трета държава
- ТОМ на обработващия са значително актуализирани
- Приложимото законодателство или регулаторни насоки се променят
Проактивният преглед на AVV е основна дисциплина за съответствие. Остарелите споразумения, които вече не отразяват действителните дейности по обработка, създават същата регулаторна експозиция като липсата на AVV изобщо.
Често срещани грешки при настройването на AVV
Дори организации, които разбират изискването за AVV, често правят грешки при изпълнението.
Грешка 1: Третиране на стандартния текст на доставчика като автоматично достатъчен. Предоставен от доставчика шаблон за AVV може да не обхваща вашите специфични дейности по обработка. Винаги го преглеждайте спрямо задължителните елементи.
Грешка 2: Пропускане или неясно описание на ТОМ. Надзорните органи внимателно проверяват раздела за ТОМ. Неясен език като "подходящи мерки за сигурност" без конкретика е недостатъчен.
Грешка 3: Забравяне на подизпълнители. AVV трябва да изброява подизпълнители. Неактуализирането на този списък, когато обработващият промени своите подизпълнители, е често срещана пропуск в съответствието [2].
Грешка 4: Незапазване на подписани копия. AVV, който не може да бъде представен по време на одит, не предоставя правна защита. Поддържайте организирани записи.
Грешка 5: Объркване на AVV с политика за поверителност. Това са напълно различни документи, служещи за различни цели. Политиката за поверителност информира субектите на данни; AVV регулира отношенията между администратора и обработващия [1].
Заключение
Пълното ръководство за AVV: Защо всеки обработващ данни се нуждае от такъв в крайна сметка се свежда до проста реалност на съответствието: ако лични данни се обменят между администратор и обработващ, трябва да съществува валиден AVV, преди тази обработка да започне. Няма изключения по размер, няма индустриални изключения и няма гратисни периоди за организации, които вече работят съгласно GDPR.
Действия за 2026 г.:
- Одитирайте всеки доставчик от трета страна, който има достъп до лични данни, които контролирате, и потвърдете, че за всеки от тях е налице AVV.
- Прегледайте съществуващите AVV спрямо контролния списък със задължителни елементи, като обърнете специално внимание на ТОМ и списъците с подизпълнители.
- Създайте напомняне в календара за годишни прегледи на AVV и актуализации, базирани на задействащи фактори, когато дейностите по обработка се променят.
- За организации, управляващи съгласие и съответствие с бисквитки заедно с техните AVV, помислете за сдвояване на вашата документация за обработка на данни със съвместима платформа за управление на съгласие, като Biscotti CMP, за да поддържате пълна и защитима позиция за съответствие.
- Консултирайте се с квалифициран специалист по защита на данните за всеки AVV, включващ сложни дейности по обработка или международни трансфери на данни.
Цената за правилното изпълнение на AVV е минимална. Цената за грешното им изпълнение не е.
ЧЗВ
Какво е AVV с прости думи? AVV е писмен договор между компания, която притежава лични данни (администратор), и компания, която обработва тези данни от нейно име (обработващ). Той уточнява какви данни се обработват, защо, как се защитават и какво са задължени да правят и двете страни.
Изисква ли се AVV за всяко отношение с доставчик? Само за доставчици, които обработват лични данни от ваше име. Доставчик, който просто предоставя инструмент, който използвате за самостоятелна обработка на данни (без достъп до данните), обикновено не е обработващ и не изисква AVV.
Може ли устно споразумение да замести AVV? Не. Член 28 от GDPR изрично изисква споразумението за обработка да бъде в писмена форма, включително в електронна форма.
Защитава ли AVV от глоби по GDPR? Наличието на валиден AVV значително намалява регулаторния риск, но не предоставя абсолютен имунитет. Глоби все още могат да бъдат налагани за други нарушения. AVV демонстрира съответствие конкретно с член 28.
Каква е разликата между подизпълнител и обработващ? Обработващият обработва данни директно за администратора. Подизпълнител се ангажира от обработващия, за да подпомогне тази обработка. Администраторът трябва да бъде информиран за подизпълнителите, а обработващият трябва да обвърже подизпълнителите с еквивалентни задължения.
Колко дълго трябва да се съхранява AVV? Няма изричен срок за съхранение, посочен в GDPR за AVV, но те трябва да се съхраняват за срока на отношенията по обработка и за разумен период след това, обикновено съобразен с давностния срок за регулаторни действия в съответната юрисдикция.
Счита ли се DPA, подписан с американска компания, за AVV? Да, при условие че съдържа всички елементи, изисквани от член 28 от GDPR, и включва подходящи механизми за трансфер като Стандартни договорни клаузи.
Може ли обработващият да използва лични данни за собствени цели? Не. Обработващият може да обработва лични данни само по документирани инструкции на администратора. Обработката за собствени цели на обработващия би прекласифицирала тази страна като администратор, с отделни правни задължения.
Какво е ТОМ в контекста на AVV? ТОМ означава Техническа и организационна мярка. Това са мерките за сигурност, които обработващият прилага за защита на лични данни, като криптиране, контроли за достъп и псевдонимизация. AVV трябва да документира тези мерки.
Трябва ли AVV да бъдат нотариално заверени? Не. GDPR не изисква нотариална заверка. Подписано писмено споразумение (включително електронни подписи) е достатъчно.
Референции
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai