Rychlá odpověď: AVV (Auftragsverarbeitungsvertrag) je právně závazná smlouva podle článku 28 GDPR mezi správcem dat a zpracovatelem dat. Každá organizace, která zpracovává osobní údaje jménem jiné strany, ji musí mít. Provoz bez AVV vystavuje obě strany pokutám až do výše 20 milionů EUR nebo 4 % celkového ročního obratu, podle toho, co je vyšší.
Klíčové poznatky
- AVV je německý termín pro Smlouvu o zpracování dat (DPA), vyžadovanou podle článku 28 GDPR, kdykoli zpracovatel nakládá s osobními údaji pro správce.
- Smlouva musí specifikovat předmět, účel, dobu trvání, typy dat, technická a organizační opatření (TOMs) a pravidla pro subzpracovatele.
- Absence platného AVV může vést k regulačním pokutám bez ohledu na to, zda došlo k úniku dat.
- Malé podniky nejsou vyňaty: cloud hosting, mzdový software a nástroje pro e-mailový marketing obvykle spouštějí požadavek na AVV.
- AVV je smlouva mezi dvěma stranami, nikoli oznámení o ochraně soukromí, a sama o sobě neimplementuje bezpečnostní opatření, jako je šifrování.
- AVV by měly být revidovány vždy, když se změní subzpracovatelé, dojde k přenosu dat do třetích zemí nebo se změní zpracovatelské činnosti.
- V regionu DACH (Německo, Rakousko, Švýcarsko) jsou AVV standardní praxí u dodavatelů SaaS, poskytovatelů hostingu a ERP systémů.
- Šablony jsou k dispozici od organizací a dodavatelů zabývajících se dodržováním předpisů, ale přizpůsobení tak, aby odrážely skutečné zpracovatelské činnosti, je nezbytné.
Co znamená AVV ve zpracování dat?
AVV znamená Auftragsverarbeitungsvertrag, německé složené slovo, které se přímo překládá jako „smlouva o zpracování dat“ v angličtině. Jedná se o smluvní nástroj nařízený článkem 28 nařízení EU o obecné ochraně osobních údajů (GDPR) k řízení vztahu mezi správcem dat a zpracovatelem dat.
Tento termín je specifický pro německy mluvící jurisdikce (Německo, Rakousko a Švýcarsko), ale základní právní koncept platí univerzálně v celé EU a EHP. V anglicky mluvících kontextech se stejný dokument nazývá Data Processing Agreement (DPA). Organizace působící mezinárodně by měly zajistit, aby jejich AVV byly k dispozici v příslušných jazycích, aby se usnadnilo porozumění a dodržování předpisů [5].
AVV není zásada ochrany osobních údajů ani banner pro souhlas s cookies. Jedná se o závaznou dvoustrannou smlouvu, která definuje, jak může zpracovatel nakládat s osobními údaji, za jakých podmínek a s jakými zárukami.
Proč zpracovatelé dat potřebují AVV?
AVV je povinná vždy, když správce dat zapojí zpracovatele k nakládání s osobními údaji jeho jménem. Toto není volitelné doporučení; jedná se o přísný právní požadavek podle článku 28 GDPR [1].
Mezi běžné scénáře, které spouštějí požadavek na AVV, patří:
- Cloud hosting a infrastruktura (např. servery ukládající zákaznické databáze)
- Zpracování mezd prováděné externím poskytovatelem HR
- Platformy pro e-mailový marketing, které ukládají seznamy odběratelů
- Dodavatelé SaaS ERP přistupující k obchodním a zaměstnaneckým datům
- Nástroje pro analýzu a sledování zpracovávající data o chování návštěvníků
Bez AVV nemá žádná strana zdokumentovaný právní základ pro vztah zpracování. Dozorové orgány považují absenci AVV za samostatné porušení souladu, oddělené od jakéhokoli vyšetřování úniku dat [3].
Je AVV totéž co DPA?
Ano, AVV a DPA odkazují na stejný právní dokument. AVV je německé označení; DPA je anglický ekvivalent používaný ve většině ostatních členských států EU a v mezinárodních kontextech dodržování předpisů [5].
Oba dokumenty splňují požadavky článku 28 GDPR a musí obsahovat stejné povinné prvky. Pokud německá společnost podepíše DPA s dodavatelem SaaS se sídlem v USA, tato DPA funguje jako AVV pro účely dodržování GDPR, za předpokladu, že splňuje všechny podstatné požadavky.
Klíčový rozdíl, který je třeba si zapamatovat: Označení dokumentu je méně důležité než jeho obsah. Dokument s názvem „Dodatek o zpracování dat“, „Smlouva o zpracování“ nebo „AVV“ je právně ekvivalentní, pokud pokrývá všechny požadované prvky.
Kdo potřebuje AVV pro soulad s GDPR?
Každá organizace, která je správcem dat a používá službu třetí strany, která zpracovává osobní údaje jejím jménem, potřebuje AVV. To platí pro podniky všech velikostí ve všech odvětvích [1].
Správci, kteří obvykle potřebují AVV:
| Scénář | Správce | Zpracovatel |
|---|---|---|
| Společnost používá cloudové CRM | Podnik | Dodavatel CRM |
| Web používá analytiku | Vlastník webu | Poskytovatel analytiky |
| HR outsourcuje mzdy | Zaměstnavatel | Mzdová kancelář |
| Online obchod používá e-mailový nástroj | Maloobchodník | E-mailová platforma |
| Agentura spravuje reklamy klientů | Agentura | Platforma pro reklamní technologie |
Kdo není zpracovatel: Strana, která nezávisle určuje účely a prostředky zpracování, je sama o sobě správcem, nikoli zpracovatelem. Společní správci vyžadují jiný typ dohody podle článku 26 GDPR.
Malé podniky tento požadavek často přehlížejí, předpokládajíce, že se týká pouze velkých podniků. Tento předpoklad je nesprávný. Každý vlastník webu, který používá poskytovatele hostingu třetí strany, službu newsletteru nebo rezervační systém, pravděpodobně potřebuje alespoň jeden AVV [5].
Co by mělo být zahrnuto v AVV?
Vyhovující AVV musí obsahovat konkrétní povinné prvky. Chybějící byť jen jeden může způsobit, že dohoda bude nedostatečná pod drobnohledem GDPR [2].
Povinné součásti:
- Předmět a doba trvání zpracování
- Povaha a účel zpracování
- Typ osobních údajů a kategorie subjektů údajů
- Povinnosti a práva správce
- Technická a organizační opatření (TOMs) implementovaná zpracovatelem
- Pravidla pro zapojení subzpracovatelů
- Postupy pro žádosti o práva subjektů údajů
- Povinnosti oznamování úniku dat
- Vrácení nebo vymazání dat po ukončení smlouvy
- Práva správce na audit
Sekce TOMs je obzvláště důležitá. Zatímco samotný AVV neimplementuje bezpečnostní opatření, musí dokumentovat, jaká opatření má zpracovatel zavedena, jako jsou standardy šifrování, kontroly přístupu a postupy pseudonymizace [1].
Co se stane, když nemáte AVV?
Provoz bez platného AVV vystavuje správce i zpracovatele značným regulačním sankcím. Podle článku 83(4) GDPR mohou pokuty za porušení článku 28 dosáhnout 10 milionů EUR nebo 2 % celkového ročního obratu, a podle článku 83(5) za závažnější porušení až 20 milionů EUR nebo 4 % celkového ročního obratu, podle toho, co je vyšší [3].
Kriticky, tyto pokuty mohou být uloženy bez ohledu na to, zda došlo k úniku dat. Dozorový orgán provádějící rutinní audit nebo reagující na stížnost může zjistit absenci AVV a uložit pokutu pouze na tomto základě.
Mezi další důsledky patří:
- Poškození pověsti a ztráta důvěry klientů
- Smluvní odpovědnost mezi správcem a zpracovatelem
- Potenciální pozastavení zpracovatelských činností do doby nápravy
AVV vs. Smlouva o zpracování dat: Klíčové rozdíly
AVV a DPA jsou v podstatě stejný dokument pod různými názvy. Existují však praktické rozdíly, které stojí za zmínku pro mezinárodní organizace.
| Rozměr | AVV | DPA |
|---|---|---|
| Jazyk | Němčina | Angličtina (nebo místní) |
| Zaměření jurisdikce | Region DACH | EU/EHP obecně |
| Běžný kontext použití | Německy psané smlouvy | Mezinárodní smlouvy SaaS |
| Právní základ | GDPR článek 28 | GDPR článek 28 |
| Požadavky na obsah | Identické | Identické |
Region DACH (Německo, Rakousko, Švýcarsko) má obzvláště silnou kulturu vymáhání AVV, což z nich činí standardní praxi ve smlouvách s dodavateli hostingu, dodavateli SaaS ERP a dalšími servisními partnery [1].
Kolik stojí AVV?
Náklady na AVV se liší v závislosti na tom, jak je vytvořen a revidován.
- AVV založené na šabloně: Mnoho dodavatelů poskytuje vlastní AVV jako součást svých smluvních podmínek, obvykle bez dalších poplatků. Organizace jako NexDeck nabízejí podrobné šablony AVV včetně seznamů subzpracovatelů [4].
- Právní posouzení: Nechat si vypracovat nebo posoudit vlastní AVV právníkem pro ochranu dat obvykle stojí mezi 300 a 2 000 EUR v závislosti na složitosti a jurisdikci.
- Vypracování s pomocí DPO: Organizace s interním nebo externím pověřencem pro ochranu osobních údajů (DPO) mohou často využít tento zdroj k vypracování AVV bez dodatečných mezních nákladů nad rámec poplatku za DPO.
Pro malé podniky je nejpraktičtějším přístupem začít s renomovanou šablonou a nechat ji před podpisem posoudit kvalifikovaným odborníkem.
Jak vytvořím šablonu AVV?
Vytvoření AVV začíná identifikací všech zpracovatelských vztahů, kde třetí strana nakládá s osobními údaji vaším jménem. Odtud proces následuje tyto kroky:
- Inventarizujte své zpracovatele: Seznamte každého dodavatele, nástroj nebo službu, která přistupuje k osobním údajům, které kontrolujete.
- Získejte nebo vypracujte AVV: Mnoho zpracovatelů (zejména dodavatelé SaaS) poskytuje vlastní standardní AVV. Zkontrolujte jej podle výše uvedených povinných prvků.
- Přizpůsobte sekci TOMs: Zajistěte, aby technická a organizační opatření odrážela skutečné bezpečnostní postupy zpracovatele.
- Seznam subzpracovatelů: Připojte přílohu identifikující všechny subzpracovatele, které zpracovatel používá, spolu s jejich rolemi a umístěními.
- Definujte mechanismy přenosu dat: Pokud jsou data přenášena mimo EU/EHP, specifikujte právní mechanismus přenosu (např. Standardní smluvní doložky).
- Podepište a uchovejte: Obě strany musí podepsat AVV. Uchovejte kopii ve svých záznamech o zpracování dat.
Šablony od organizací zaměřených na dodržování předpisů poskytují pevný strukturální základ, ale každý AVV by měl být přizpůsoben konkrétní zpracovatelské činnosti, kterou řídí [2].
Požadavky na AVV pro malé podniky
Malé podniky nejsou vyňaty z požadavku na AVV. Každá organizace podléhající GDPR, která používá zpracovatele třetí strany, musí mít zavedený AVV, bez ohledu na velikost společnosti nebo počet zaměstnanců [1].
Pro malé podniky je praktická zátěž nižší, než by se mohlo zdát:
- Většina hlavních dodavatelů SaaS (e-mailové platformy, rezervační systémy, analytické nástroje) již poskytuje standardní AVV nebo DPA jako součást svých podmínek služby. Přijetí těchto podmínek obvykle představuje platnou dohodu.
- Klíčovým úkolem je zajistit, abyste tyto podmínky skutečně zkontrolovali a přijali, spíše než předpokládat, že existují.
- Udržujte jednoduchý registr svých zpracovatelů a odpovídajících AVV.
Častá chyba: Majitelé malých podniků často předpokládají, že protože je dodavatel velký a renomovaný, právní dokumentace je automaticky vyřízena. Přijetí AVV musí být aktivní, zdokumentovaný krok.
Požadavky na auditní stopu AVV
AVV musí obsahovat ustanovení, která správci udělují právo auditovat soulad zpracovatele. Toto právo na audit je povinným prvkem podle článku 28(3)(h) GDPR [2].
V praxi požadavky na auditní stopu znamenají:
- Zpracovatel musí vést záznamy o zpracovatelských činnostech podle článku 30(2) GDPR.
- Správce má právo provádět audity nebo pověřit auditory třetích stran k ověření souladu.
- Mnoho zpracovatelů splňuje tento požadavek prostřednictvím certifikací třetích stran, jako jsou ISO 27001 nebo SOC 2, které mohou v mnoha případech nahradit audity na místě.
AVV je přímo relevantní pro kontroly ISO 27001 přílohy A A.5.19 až A.5.22, které řídí vztahy s dodavateli a informační bezpečnost v dodavatelských řetězcích [2]. Organizace s formálním systémem řízení informační bezpečnosti (ISMS) by měly zajistit, aby jejich AVV byly integrovány do jejich procesů řízení dodavatelů.
AVV pro mezinárodní přenosy dat
Pokud se zpracovatel nachází mimo EU/EHP, AVV musí řešit právní mechanismus pro přenos osobních údajů do této třetí země. Standardní smluvní doložky (SCC) jsou nejčastěji používaným mechanismem a jsou obvykle začleněny jako příloha k AVV [2].
Klíčové úvahy pro mezinárodní AVV:
- Zjistěte, zda země zpracovatele má rozhodnutí EU o přiměřenosti.
- Pokud ne, začleňte příslušné SCC (správce-zpracovatel nebo správce-správce, v závislosti na vztahu).
- Proveďte posouzení dopadu přenosu (TIA), pokud je to vyžadováno.
- Zajistěte, aby AVV byl k dispozici v jazycích obou smluvních stran [5].
Jak často byste měli aktualizovat svůj AVV?
AVV by měl být revidován a aktualizován vždy, když dojde k podstatným změnám ve vztahu zpracování. Neexistuje pevný zákonný interval revize, ale osvědčená praxe ukazuje na alespoň roční revizi [2].
Spouštěče pro okamžitou aktualizaci AVV:
- Zpracovatel zapojí nového subzpracovatele nebo odstraní stávajícího
- Zpracovatelské činnosti se změní v povaze, účelu nebo rozsahu
- Data jsou přenášena do nové třetí země
- TOMs zpracovatele jsou významně aktualizovány
- Změní se platné zákony nebo regulační pokyny
Proaktivní revize AVV je základní disciplínou dodržování předpisů. Zastaralé dohody, které již neodrážejí skutečné zpracovatelské činnosti, vytvářejí stejné regulační riziko jako absence AVV.
Časté chyby při nastavování AVV
I organizace, které rozumí požadavku na AVV, často dělají chyby při implementaci.
Chyba 1: Považování standardní šablony dodavatele za automaticky dostatečnou. Šablona AVV poskytnutá dodavatelem nemusí pokrývat vaše konkrétní zpracovatelské činnosti. Vždy ji zkontrolujte podle povinných prvků.
Chyba 2: Vynechání nebo vágní popis TOMs. Dozorové orgány pečlivě zkoumají sekci TOMs. Vágní formulace jako „vhodná bezpečnostní opatření“ bez specifikací jsou nedostatečné.
Chyba 3: Zapomenutí na subzpracovatele. AVV musí uvádět subzpracovatele. Neaktualizace tohoto seznamu, když zpracovatel změní své subzpracovatele, je běžnou mezerou v dodržování předpisů [2].
Chyba 4: Neuchovávání podepsaných kopií. AVV, který nelze předložit během auditu, neposkytuje žádnou právní ochranu. Udržujte organizované záznamy.
Chyba 5: Zaměňování AVV se zásadami ochrany osobních údajů. Jedná se o zcela odlišné dokumenty sloužící různým účelům. Zásady ochrany osobních údajů informují subjekty údajů; AVV řídí vztah správce-zpracovatel [1].
Závěr
Kompletní průvodce AVV: Proč jej potřebuje každý zpracovatel dat se nakonec scvrkává na jednoduchou realitu dodržování předpisů: pokud osobní údaje mění majitele mezi správcem a zpracovatelem, musí existovat platný AVV, než toto zpracování začne. Neexistují žádné výjimky z velikosti, žádné výjimky z odvětví a žádné lhůty pro organizace, které již fungují podle GDPR.
Akční kroky pro rok 2026:
- Auditujte každého dodavatele třetí strany, který přistupuje k osobním údajům, které kontrolujete, a potvrďte, že pro každého je zaveden AVV.
- Zkontrolujte stávající AVV podle kontrolního seznamu povinných prvků, věnujte zvláštní pozornost TOMs a seznamům subzpracovatelů.
- Nastavte si kalendářní připomenutí pro roční revize AVV a aktualizace spouštěné změnami zpracovatelských činností.
- Pro organizace spravující souhlas a soulad s cookies spolu s jejich AVV zvažte spárování vaší dokumentace o zpracování dat s vyhovující platformou pro správu souhlasu, jako je Biscotti CMP, abyste si udrželi úplnou a obhajitelnou pozici v oblasti dodržování předpisů.
- Konzultujte kvalifikovaného odborníka na ochranu dat pro jakýkoli AVV zahrnující složité zpracovatelské činnosti nebo mezinárodní přenosy dat.
Náklady na správné nastavení AVV jsou minimální. Náklady na jejich nesprávné nastavení nikoli.
FAQ
Co je AVV v jednoduchých termínech? AVV je písemná smlouva mezi společností, která vlastní osobní údaje (správce), a společností, která tyto údaje zpracovává jejím jménem (zpracovatel). Specifikuje, jaká data jsou zpracovávána, proč, jak jsou chráněna a co jsou obě strany povinny dělat.
Je AVV vyžadováno pro každý vztah s dodavatelem? Pouze pro dodavatele, kteří zpracovávají osobní údaje vaším jménem. Dodavatel, který pouze poskytuje nástroj, který používáte k samostatnému zpracování dat (bez přístupu k datům), obecně není zpracovatelem a nevyžaduje AVV.
Může ústní dohoda nahradit AVV? Ne. Článek 28 GDPR výslovně vyžaduje, aby dohoda o zpracování byla písemná, včetně elektronické formy.
Chrání AVV před pokutami GDPR? Mít platný AVV významně snižuje regulační riziko, ale neposkytuje absolutní imunitu. Pokuty mohou být stále uloženy za jiná porušení. AVV prokazuje soulad konkrétně s článkem 28.
Jaký je rozdíl mezi subzpracovatelem a zpracovatelem? Zpracovatel nakládá s daty přímo pro správce. Subzpracovatel je zapojen zpracovatelem, aby mu pomohl s tímto zpracováním. Správce musí být informován o subzpracovatelích a zpracovatel musí subzpracovatele zavázat k rovnocenným povinnostem.
Jak dlouho musí být AVV uchováván? GDPR nestanovuje explicitní dobu uchovávání AVV, ale měly by být uchovávány po dobu trvání vztahu zpracování a po přiměřenou dobu poté, obvykle v souladu s promlčecí lhůtou pro regulační opatření v příslušné jurisdikci.
Počítá se DPA podepsaná s americkou společností jako AVV? Ano, za předpokladu, že obsahuje všechny prvky požadované článkem 28 GDPR a zahrnuje vhodné mechanismy přenosu, jako jsou Standardní smluvní doložky.
Může zpracovatel používat osobní údaje pro své vlastní účely? Ne. Zpracovatel může zpracovávat osobní údaje pouze na základě zdokumentovaných pokynů správce. Zpracování pro vlastní účely zpracovatele by tuto stranu překlasifikovalo na správce s oddělenými právními povinnostmi.
Co je TOM v kontextu AVV? TOM znamená Technické a organizační opatření. Jedná se o bezpečnostní postupy, které zpracovatel implementuje k ochraně osobních údajů, jako je šifrování, kontroly přístupu a pseudonymizace. AVV musí tato opatření dokumentovat.
Musí být AVV notářsky ověřeny? Ne. GDPR nevyžaduje notářské ověření. Podepsaná písemná dohoda (včetně elektronických podpisů) je dostatečná.
Reference
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai