Stručná odpověď: AVV (Auftragsverarbeitungsvertrag) a DPA (Data Processing Agreement) odkazují na stejnou právně požadovanou smlouvu podle článku 28 GDPR, německý termín AVV se používá v jurisdikcích DACH regionu, zatímco DPA je anglický ekvivalent používaný ve většině ostatních členských států EU a mezinárodně. Obě smlouvy upravují, jak zpracovatel údajů nakládá s osobními údaji jménem správce. Volba nesprávného rámce nebo úplné vynechání smlouvy může vaši organizaci vystavit značným regulačním sankcím.
Klíčové poznatky
- AVV je německá zkratka pro Auftragsverarbeitungsvertrag; DPA znamená Data Processing Agreement, funkčně se jedná o stejný nástroj podle GDPR.
- Obě dohody jsou povinné podle článku 28 GDPR, kdykoli správce zapojí zpracovatele k nakládání s osobními údaji.
- Rozdíl v terminologii je regionální: AVV je standardní v Německu, Rakousku a Švýcarsku; DPA se používá v anglicky mluvících a většině ostatních kontextů EU.
- Platná dohoda musí pokrývat předmět, dobu zpracování, kategorie údajů, práva subjektů údajů, podmínky pro subzpracovatele, bezpečnostní opatření a ustanovení o auditu. [1]
- Absence správné dohody může vést k šetřením dozorových úřadů, pokutám a smluvním sporům.
- Náklady na implementaci se pohybují od nuly (použití standardní šablony dodavatele) do několika tisíc eur za zakázkovou právní úpravu.
- Některé podniky působící na trzích DACH i mimo DACH legitimně používají oba termíny ve stejné dohodě pro větší srozumitelnost.
- Platforma pro správu souhlasů, jako je Biscotti CMP, může podpořit vaši širší shodu s GDPR, ale nenahrazuje řádně provedenou AVV nebo DPA.
Co znamená AVV v ochraně údajů a je to totéž jako DPA?
AVV znamená Auftragsverarbeitungsvertrag, německý termín pro smlouvu o zpracování údajů (Data Processing Agreement). V praktických právních termínech jsou AVV a DPA stejný dokument, oba splňují požadavek stanovený v článku 28 GDPR na písemnou smlouvu mezi správcem údajů a zpracovatelem údajů. [1]
Rozdíl je čistě jazykový a jurisdikční. Němečtí, rakouští a švýcarští odborníci na ochranu údajů používají AVV jako standardní termín ve smlouvách, zásadách ochrany osobních údajů a regulační korespondenci. Anglicky mluvící odborníci a většina ostatních členských států EU používají DPA. Když vám německý dodavatel SaaS nabídne „AVV“, nabízí stejný právní nástroj, který by dodavatel se sídlem ve Spojeném království nazval „DPA“.
Klíčové upřesnění: Žádný z termínů neznamená jiný právní standard. Oba musí splňovat stejné požadavky na obsah podle článku 28 odst. 3 GDPR, aby byly platné. [1]
Jaký je rozdíl mezi AVV a DPA?
Rozdíl mezi AVV a DPA je terminologický, nikoli věcný. Oba popisují smlouvu nařízenou článkem 28 GDPR mezi správcem údajů (subjektem, který určuje účel a prostředky zpracování) a zpracovatelem údajů (subjektem, který zpracovává údaje jménem správce).
Skutečné rozdíly se mohou objevit v stylu návrhu a místních regulačních pokynech:
- Německé dozorové úřady (Datenschutzbehörden) zveřejnily specifické vzorové klauzule a pokyny, které dokumenty AVV často zahrnují.
- Anglické DPA navržené pro jurisdikce Spojeného království nebo Irska mohou odkazovat na národní prováděcí legislativu vedle GDPR.
- Švýcarské AVV musí také zohledňovat revidovaný federální zákon o ochraně údajů (revFADP), který se v některých ohledech odchyluje od GDPR.
Závěr: Pokud vám dodavatel pošle AVV a vy potřebujete DPA, obdrželi jste to, co potřebujete, za předpokladu, že obsah splňuje požadavky článku 28 odst. 3. [1]
Kdy potřebujete AVV vs. DPA?
Jednu z těchto dohod potřebujete vždy, když vaše organizace sdílí osobní údaje s poskytovatelem služeb třetí strany, který tyto údaje zpracovává podle vašich pokynů. Spouštěčem je vztah správce-zpracovatel, nikoli jazyk smlouvy.
Použijte AVV, když:
- Váš protistrana sídlí v Německu, Rakousku nebo Švýcarsku a jejich standardní smlouva používá tuto terminologii.
- Vaše vlastní organizace funguje podle německého zákona o ochraně údajů a vaše interní šablony se řídí pokyny BfDI nebo státních DPA.
Použijte DPA, když:
- Váš protistrana působí v anglicky mluvící jurisdikci nebo používá angličtinu jako smluvní jazyk.
- Uzavíráte smlouvu s poskytovatelem cloudových služeb se sídlem v USA, dodavatelem SaaS ve Spojeném království nebo jakýmkoli mezinárodním zpracovatelem, jehož šablony standardně používají „DPA“.
Častá chyba: Předpokládat, že protože dodavatel nazývá svůj dokument AVV spíše než DPA, platí jiná právní pravidla. Požadavky na obsah jsou podle GDPR totožné. Důležitá je podstata, nikoli štítek na titulní straně.
Kdo potřebuje AVV a kdo DPA?
Každá organizace, která se podle GDPR kvalifikuje jako správce údajů a zapojí třetí stranu ke zpracování osobních údajů jejím jménem, potřebuje jednu z těchto dohod. To platí pro:
- E-commerce podniky používající externí zpracovatele plateb nebo platformy pro e-mailový marketing.
- Podniky používající poskytovatele cloudové infrastruktury (IaaS, PaaS, SaaS).
- Online marketingové agentury zpracovávající zákaznická data klientů.
- Vývojáři vytvářející aplikace, které zpracovávají osobní údaje koncových uživatelů prostřednictvím externích API.
- Majitelé webových stránek používající analytické nástroje, CDN nebo CRM systémy, které zpracovávají data návštěvníků.
Organizace se sídlem na trzích DACH se obvykle setkají s označením AVV; ty, které působí mezinárodně, se častěji setkají s DPA. Obě kategorie organizací čelí stejné právní povinnosti.
Co by mělo být zahrnuto v AVV vs. DPA?
AVV i DPA musí obsahovat stejné povinné prvky podle článku 28 odst. 3 GDPR. Chybějící kterákoli z těchto klauzulí činí dohodu nekompatibilní. [1]
| Požadovaná klauzule | Popis |
|---|---|
| Předmět a doba trvání | Jaké údaje se zpracovávají a po jak dlouhou dobu |
| Povaha a účel | Proč a jak probíhá zpracování |
| Typy údajů a subjekty údajů | Kategorie osobních údajů a dotčené osoby |
| Práva a povinnosti správce | Pokyny, které musí zpracovatel dodržovat |
| Bezpečnostní opatření | Technická a organizační opatření (TOMs) |
| Podmínky pro subzpracovatele | Pravidla pro zapojení následných zpracovatelů |
| Pomoc s právy subjektů údajů | Podpora pro žádosti o přístup, výmaz, přenositelnost |
| Oznámení o porušení | Povinnost zpracovatele oznámit správci incidenty |
| Vrácení nebo smazání údajů | Co se stane s údaji po skončení smlouvy |
| Práva na audit | Právo správce ověřit soulad |
Zvláštní případ: Pokud šablona dodavatele vynechává práva na audit nebo podmínky pro subzpracovatele, nepodepisujte ji tak, jak je. Tyto jsou podle článku 28 odst. 3 nesmlouvavé. [1]
Kolik stojí zřízení AVV nebo DPA?
Náklady zcela závisí na tom, zda použijete standardní šablonu dodavatele nebo si objednáte zakázkovou právní úpravu.
- Šablona poskytovaná dodavatelem (nejčastější): Zdarma. Většina hlavních poskytovatelů SaaS a cloudových služeb zveřejňuje standardní AVV nebo DPA, které správci mohou přijmout online nebo prostřednictvím procesu „click-through“.
- Vyjednaná zakázková dohoda: Právní poplatky se obvykle pohybují od 500 do 5 000 eur v závislosti na složitosti, jurisdikci a sazbách právníků. Podnikové smlouvy s významnými objemy dat nebo citlivými kategoriemi dat se pohybují na vyšší hranici.
- Vývoj interní šablony: Jednorázová investice času právního poradce na vytvoření opakovaně použitelné šablony; průběžné náklady jsou minimální.
Praktická poznámka: Pro většinu malých a středních podniků a majitelů webových stránek je standardní šablona dodavatele dostatečná. Zakázkové vyjednávání je opodstatněné, pokud zpracování zahrnuje zvláštní kategorie dat (zdravotní, biometrické, finanční) nebo pokud správce nese značné riziko odpovědnosti.
Jak se požadavky na AVV a DPA liší podle země?
Podle GDPR jsou věcné požadavky harmonizovány ve všech členských státech EU, takže základní obsah AVV a DPA je identický, ať už jste v Berlíně, Paříži nebo Varšavě. Existují však národní nuance:
- Německo: BfDI a státní DPA vydaly podrobné pokyny a vzorové klauzule. Německé AVV často zahrnují podrobnější dokumentaci technických a organizačních opatření (TOMs).
- Švýcarsko: revFADP (účinný od září 2023) ukládá dodatečné požadavky nad rámec GDPR, včetně specifických ustanovení pro přeshraniční přenosy dat a časové osy oznámení o porušení dat.
- Spojené království (po Brexitu): Platí UK GDPR; DPA musí odkazovat na pokyny UK ICO spíše než na dozorové úřady EU. Standardní smluvní doložky se liší od SCC EU.
- Ostatní členské státy EU: Článek 28 GDPR se uplatňuje přímo; místní pokyny DPA mohou doplňovat, ale nemohou snižovat minimální požadavky.
Pečlivě zvolte doložku o rozhodném právu. AVV podle německého práva a DPA podle irského práva se mohou zdát podobné, ale budou vykládány různými soudy a dozorovými úřady.
Můžete použít AVV místo DPA, nebo obojí současně?
Ano, AVV může nahradit DPA, protože se jedná o právně rovnocenné nástroje. Společnost působící na trzích DACH i mimo DACH může do záhlaví stejné smlouvy zahrnout oba termíny (např. „Data Processing Agreement / Auftragsverarbeitungsvertrag“), aby se předešlo nejasnostem, což je běžná praxe v dvojjazyčných podnikových smlouvách a je to zcela přípustné.
Používání obou označení současně nevytváří dvě samostatné právní povinnosti. Pouze zajišťuje, že německy mluvící a anglicky mluvící strany chápou, že se dívají na stejný dokument.
Jaké jsou běžné chyby při výběru mezi AVV a DPA?
Nejzávažnější chyby se netýkají toho, jaký termín použijete, ale toho, co dohoda obsahuje a zda vůbec existuje.
- Úplné vynechání dohody, protože vztah s dodavatelem se zdá neformální nebo nízkorizikový. Podle GDPR je povinnost spuštěna aktem zpracování, nikoli vnímanou úrovní rizika.
- Přijetí neúplné šablony, která vynechává klauzule o subzpracovatelích nebo práva na audit, s přesvědčením, že verze dodavatele je automaticky v souladu.
- Záměna DPA s dohodou o sdílení dat. DPA upravuje vztahy se zpracovateli; dohoda o sdílení dat upravuje výměnu dat mezi společnými správci nebo mezi správci. Jedná se o různé nástroje.
- Neschopnost aktualizovat dohody, když zpracovatel zapojí nové subzpracovatele nebo změní povahu zpracování.
- Předpoklad, že soulad s GDPR pokrývá švýcarské právo. Organizace se švýcarskými subjekty údajů musí zajistit, aby jejich AVV splňovala také požadavky revFADP.
Jaké jsou právní důsledky chybně zvoleného AVV vs. DPA?
Absence platné a úplné dohody vystavuje správce i zpracovatele regulační a občanskoprávní odpovědnosti.
Podle článku 83 odst. 4 GDPR mohou porušení článku 28 (požadavek DPA/AVV) vést k administrativním pokutám až do výše 10 milionů eur nebo 2 % celkového ročního obratu, podle toho, která částka je vyšší. Dozorové úřady v Německu prokázaly ochotu vyšetřovat a pokutovat organizace za chybějící nebo nedostatečné dohody o zpracování.
Kromě pokut patří mezi důsledky:
- Audity dozorových úřadů a nápravná opatření.
- Neschopnost vymáhat smluvní podmínky vůči nevyhovujícímu zpracovateli.
- Občanskoprávní odpovědnost v případě narušení dat bez platné dohody dokumentující bezpečnostní povinnosti.
- Poškození pověsti v B2B kontextech, kde podnikoví klienti provádějí due diligence dodavatelů.
Jak poznáte, kterou dohodu vaše firma skutečně potřebuje?
Rozhodnutí je jednoduché, jakmile identifikujete vztah a jurisdikci.
Krok 1: Určete, zda je vaše organizace správcem (vy rozhodujete, proč a jak se data zpracovávají) nebo zpracovatelem (vy zpracováváte data podle pokynů někoho jiného).
Krok 2: Identifikujte jazyk a jurisdikci vaší protistrany. Pokud jsou v regionu DACH, očekávejte AVV. Pokud jsou jinde, očekávejte DPA.
Krok 3: Ověřte, že kterýkoli dokument obdržíte, obsahuje všech deset povinných prvků podle článku 28 odst. 3 GDPR. [1]
Krok 4: Pokud vaše organizace také potřebuje spravovat souhlas uživatelů s cookies a sledovacími technologiemi, platforma pro správu souhlasů, jako je Biscotti CMP, řeší tuto vrstvu souladu s GDPR, ale funguje souběžně, nikoli místo řádně provedené AVV nebo DPA.
Pravidlo rozhodování: Pokud zpracováváte osobní údaje jménem jiné organizace, potřebujete DPA nebo AVV bez ohledu na to, jak se vztah komerčně nazývá. Pokud jiná organizace zpracovává data vaším jménem, jste odpovědní za zajištění, aby tato dohoda byla uzavřena před zahájením zpracování.
Často kladené otázky
Otázka: Je AVV právně platné mimo Německo? AVV je právně platné všude, kde platí GDPR, za předpokladu, že splňuje požadavky na obsah podle článku 28 odst. 3. Německá terminologie neomezuje její vymahatelnost v jiných jurisdikcích EU.
Otázka: Musí být DPA podepsána oběma stranami? Ano. Článek 28 odst. 9 GDPR vyžaduje, aby dohoda byla písemná, což zahrnuje i elektronickou formu. Obě strany, správce i zpracovatel, musí být vázány jejími podmínkami.
Otázka: Může online DPA s potvrzením kliknutím od dodavatele splňovat požadavky GDPR? Ano, pokud obsah splňuje požadavky článku 28 odst. 3. Mnoho hlavních poskytovatelů cloudových služeb nabízí vyhovující DPA s potvrzením kliknutím, které byly přezkoumány dozorovými úřady.
Otázka: Co je subzpracovatel a proč je důležitý v DPA nebo AVV? Subzpracovatel je třetí strana zapojená zpracovatelem k provádění zpracovatelských činností. DPA nebo AVV musí specifikovat podmínky, za kterých mohou být subzpracovatelé zapojeni, včetně práva správce vznést námitku. [1]
Otázka: Potřebuji novou AVV nebo DPA pokaždé, když zpracovatel aktualizuje svůj seznam subzpracovatelů? Ne nutně. Mnoho dohod zahrnuje obecné oprávnění pro změny subzpracovatelů, za předpokladu, že zpracovatel oznámí správci a správce si ponechá právo vznést námitku ve stanovené lhůtě.
Otázka: Pokrývá DPA přenosy dat mimo EU? DPA upravuje vztah zpracování, ale sama o sobě neopravňuje k přeshraničním přenosům dat. Pro přenosy do třetích zemí jsou vyžadovány samostatné mechanismy přenosu (Standardní smluvní doložky, rozhodnutí o přiměřenosti).
Otázka: Jak dlouho by měla být DPA nebo AVV uchovávána? Uchovávejte dohodu po dobu trvání vztahu zpracování a po přiměřenou dobu poté, obvykle alespoň tři až pět let, abyste prokázali soulad v případě dotazu dozorového úřadu.
Otázka: Jaký je rozdíl mezi DPA a DPIA? DPA (Data Processing Agreement) je smlouva mezi správcem a zpracovatelem. DPIA (Data Protection Impact Assessment) je interní posouzení rizik vyžadované pro vysoce rizikové zpracovatelské činnosti. Slouží různým účelům a jedno nenahrazuje druhé.
Otázka: Může být freelancer nebo malá agentura povinna podepsat AVV nebo DPA? Ano. Povinnost platí bez ohledu na velikost zpracovatele. Freelance vývojář, který zpracovává zákaznická data klienta, je zpracovatelem a musí podepsat DPA nebo AVV s každým klientem správcem.
Otázka: Nahrazuje Biscotti CMP potřebu DPA nebo AVV? Ne. Biscotti CMP je platforma pro správu souhlasů, která pomáhá spravovat souhlas uživatelů s cookies a sledováním, což je samostatný požadavek na soulad s GDPR. DPA nebo AVV je stále vyžadována pro jakýkoli vztah se zpracovatelem zahrnující osobní údaje.
Závěr
Otázka AVV vs. DPA se rychle vyřeší, jakmile si uvědomíte, že oba termíny popisují stejný právně požadovaný nástroj podle článku 28 GDPR. Skutečnou výzvou není výběr mezi nimi, ale zajištění, aby kterýkoli dokument upravující vaše vztahy se zpracovateli obsahoval všechny povinné klauzule, byl řádně proveden a byl aktuální s vývojem zpracovatelských činností.
Akční další kroky:
- Proveďte audit všech stávajících vztahů s dodavateli, abyste potvrdili, že pro každého zpracovatele, který zpracovává osobní údaje vaším jménem, existuje platná DPA nebo AVV.
- Zkontrolujte stávající dohody proti deseti povinným prvkům článku 28 odst. 3 GDPR a vyžádejte si změny pro případné mezery. [1]
- Pokud působíte ve Švýcarsku, ověřte, že dohody splňují také požadavky revFADP nad rámec základního GDPR.
- Zaveďte interní proces pro zapojování nových zpracovatelů, žádné zpracování by nemělo začít před podpisem dohody.
- Pro správu souhlasů a soulad s cookies na vašem webu nebo v aplikaci zvažte Biscotti CMP jako součást vašeho širšího rámce souladu s GDPR.
Soulad s ochranou dat není jednorázový projekt. Dohody je třeba revidovat, když se změní zpracování, když jsou přidáni subzpracovatelé a když se vyvíjí regulační pokyny. Zavedení tohoto rytmu revizí do vašeho programu souladu je nejpraktičtější ochranou proti regulační expozici.
Odkazy
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai