Kort svar: AVV (Auftragsverarbeitungsvertrag) og DPA (Data Processing Agreement) henviser til den samme lovpligtige kontrakt i henhold til GDPR artikel 28. Den tyske betegnelse AVV bruges i DACH-regionens jurisdiktioner, mens DPA er den engelsksprogede ækvivalent, der bruges i de fleste andre EU-medlemsstater og internationalt. Begge regulerer, hvordan en databehandler håndterer personoplysninger på vegne af en dataansvarlig. At vælge den forkerte formulering eller helt undlade aftalen kan udsætte din organisation for betydelige lovgivningsmæssige sanktioner.
Vigtigste pointer
- AVV er den tyske forkortelse for Auftragsverarbeitungsvertrag; DPA står for Data Processing Agreement. De er funktionelt det samme instrument under GDPR.
- Begge aftaler er obligatoriske i henhold til artikel 28 i GDPR, når en dataansvarlig engagerer en databehandler til at håndtere personoplysninger.
- Terminologiforskellen er regional: AVV er standard i Tyskland, Østrig og Schweiz; DPA bruges i engelsktalende og de fleste andre EU-sammenhænge.
- En gyldig aftale skal dække emne, behandlingsvarighed, datakategorier, registreredes rettigheder, betingelser for underdatabehandlere, sikkerhedsforanstaltninger og revisionsbestemmelser. [1]
- Manglende korrekt aftale kan resultere i tilsynsmyndighedsundersøgelser, bøder og kontraktlige tvister.
- Omkostningerne ved implementering spænder fra nul (ved brug af en leverandørs standard skabelon) til flere tusinde euro for tilpasset juridisk udarbejdelse.
- Nogle virksomheder, der opererer på tværs af DACH- og ikke-DACH-markeder, bruger legitimt begge termer i samme aftale for klarhedens skyld.
- En Consent Management Platform som Biscotti CMP kan understøtte din bredere GDPR-overholdelsesposition, men erstatter ikke en korrekt udført AVV eller DPA.
Hvad står AVV for inden for databeskyttelse, og er det det samme som en DPA?
AVV står for Auftragsverarbeitungsvertrag, den tysksprogede betegnelse for en databehandleraftale. I praktiske juridiske termer er en AVV og en DPA det samme dokument, begge opfylder kravet i artikel 28 i GDPR om en skriftlig kontrakt mellem en dataansvarlig og en databehandler. [1]
Forskellen er rent sproglig og jurisdiktionel. Tyske, østrigske og schweiziske databeskyttelseseksperter bruger AVV som standardbetegnelse i kontrakter, privatlivspolitikker og regulatorisk korrespondance. Engelsktalende eksperter og de fleste andre EU-medlemsstater bruger DPA. Når en tysk SaaS-leverandør tilbyder dig en "AVV", tilbyder de det samme juridiske instrument, som en britisk leverandør ville kalde en "DPA".
Vigtig afklaring: Ingen af termerne indebærer en anden juridisk standard. Begge skal opfylde de samme indholdskrav i GDPR artikel 28, stk. 3, for at være gyldige. [1]
Hvad er forskellen mellem AVV og DPA?
Forskellen mellem AVV og DPA er terminologisk, ikke substantiel. Begge beskriver den kontrakt, der er påkrævet i henhold til GDPR artikel 28, mellem en dataansvarlig (den enhed, der bestemmer formålet med og midlerne til behandlingen) og en databehandler (den enhed, der behandler data på den dataansvarliges vegne).
Hvor reelle forskelle kan opstå, er i udformningsstil og lokal reguleringsvejledning:
- Tyske tilsynsmyndigheder (Datenschutzbehörden) har offentliggjort specifikke skabelonklausuler og vejledninger, som AVV-dokumenter ofte inkorporerer.
- Engelsksprogede DPA'er udarbejdet til britiske eller irske jurisdiktioner kan henvise til national implementeringslovgivning ud over GDPR.
- Schweiziske AVV'er skal også tage højde for den reviderede føderale databeskyttelseslov (revFADP), som afviger fra GDPR på visse punkter.
Konklusion: Hvis en leverandør sender dig en AVV, og du har brug for en DPA, har du modtaget det, du har brug for, forudsat at indholdet opfylder kravene i artikel 28, stk. 3. [1]
Hvornår har du brug for en AVV vs. en DPA?
Du har brug for en af disse aftaler, når din organisation deler personoplysninger med en tredjeparts tjenesteudbyder, der behandler disse data efter dine instruktioner. Udløseren er forholdet mellem dataansvarlig og databehandler, ikke kontraktens sprog.
Brug en AVV når:
- Din modpart er baseret i Tyskland, Østrig eller Schweiz, og deres standardkontrakt bruger denne terminologi.
- Din egen organisation opererer under tysk databeskyttelseslovgivning, og dine interne skabeloner følger BfDI- eller statslige DPA-vejledninger.
Brug en DPA når:
- Din modpart opererer i en engelsktalende jurisdiktion eller bruger engelsk som kontraktsprog.
- Du indgår kontrakt med en amerikansk cloud-udbyder, en britisk SaaS-leverandør eller enhver international databehandler, hvis skabeloner som standard er "DPA".
Almindelig fejl: At antage, at fordi en leverandør kalder deres dokument en AVV i stedet for en DPA, gælder der forskellige juridiske regler. Indholdskravene er identiske under GDPR. Det, der betyder noget, er indholdet, ikke etiketten på forsiden.
Hvem har brug for en AVV, og hvem har brug for en DPA?
Enhver organisation, der kvalificerer sig som dataansvarlig under GDPR og engagerer en tredjepart til at behandle personoplysninger på dens vegne, har brug for en af disse aftaler. Dette gælder for:
- E-handelsvirksomheder, der bruger tredjeparts betalingsbehandlere eller e-mailmarkedsføringsplattforme.
- Virksomheder, der bruger cloud-infrastrukturudbydere (IaaS, PaaS, SaaS).
- Online marketingbureauer, der behandler klienters kundedata.
- Udviklere, der bygger applikationer, der håndterer slutbrugeres personoplysninger via eksterne API'er.
- Webstedsejere, der bruger analyseværktøjer, CDN'er eller CRM-systemer, der behandler besøgsdata.
Organisationer baseret på DACH-markeder vil typisk støde på AVV-etiketten; dem, der opererer internationalt, vil oftere beskæftige sig med DPA'er. Begge kategorier af organisationer står over for den samme juridiske forpligtelse.
Hvad skal en AVV vs. en DPA indeholde?
Både en AVV og en DPA skal indeholde de samme obligatoriske elementer i henhold til GDPR artikel 28, stk. 3. Mangler en af disse klausuler, er aftalen ikke-kompatibel. [1]
| Påkrævet klausul | Beskrivelse |
|---|---|
| Emne og varighed | Hvilke data behandles og hvor længe |
| Art og formål | Hvorfor og hvordan behandlingen finder sted |
| Datatyper og registrerede | Kategorier af personoplysninger og berørte personer |
| Den dataansvarliges rettigheder og forpligtelser | Instruktioner, som databehandleren skal følge |
| Sikkerhedsforanstaltninger | Tekniske og organisatoriske foranstaltninger (TOM'er) |
| Betingelser for underdatabehandlere | Regler for inddragelse af underdatabehandlere |
| Bistand til registreredes rettigheder | Support til anmodninger om adgang, sletning, portabilitet |
| Underretning om brud | Databehandlerens forpligtelse til at underrette den dataansvarlige om hændelser |
| Returnering eller sletning af data | Hvad sker der med data ved kontraktens udløb |
| Revisionsrettigheder | Den dataansvarliges ret til at verificere overholdelse |
Særligt tilfælde: Hvis en leverandørs skabelon udelader revisionsrettigheder eller betingelser for underdatabehandlere, skal du ikke underskrive den, som den er. Disse er ikke-forhandlingsbare i henhold til artikel 28, stk. 3. [1]
Hvor meget koster det at oprette en AVV eller DPA?
Omkostningerne afhænger helt af, om du bruger en leverandørs standard skabelon eller bestiller tilpasset juridisk udarbejdelse.
- Leverandørleveret skabelon (mest almindelig): Gratis. De fleste store SaaS- og cloud-udbydere offentliggør en standard AVV eller DPA, som dataansvarlige kan acceptere online eller via en klik-gennem-proces.
- Forhandlet tilpasset aftale: Juridiske gebyrer varierer typisk fra 500 til 5.000 euro afhængigt af kompleksitet, jurisdiktion og advokatsalærer. Virksomhedskontrakter med betydelige datamængder eller følsomme datakategorier ligger i den højere ende.
- Intern skabelonudvikling: En engangsinvestering i juridisk rådgivningstid til at oprette en genanvendelig skabelon; løbende omkostninger er minimale.
Praktisk bemærkning: For de fleste SMV'er og webstedsejere er leverandørens standard skabelon tilstrækkelig. Tilpasset forhandling er berettiget, når behandlingen involverer særlige kategorier af data (sundhed, biometriske, finansielle) eller når den dataansvarlige bærer betydelig ansvarsrisiko.
Hvordan adskiller AVV- og DPA-krav sig fra land til land?
Under GDPR er de materielle krav harmoniseret på tværs af alle EU-medlemsstater, så kerneindholdet i en AVV og en DPA er identisk, uanset om du er i Berlin, Paris eller Warszawa. Der findes dog nationale nuancer:
- Tyskland: BfDI og statslige DPA'er har udstedt detaljerede vejledninger og modelklausuler. Tyske AVV'er inkluderer ofte mere detaljeret dokumentation for tekniske og organisatoriske foranstaltninger (TOM'er).
- Schweiz: revFADP (gældende fra september 2023) pålægger yderligere krav ud over GDPR, herunder specifikke bestemmelser for grænseoverskridende dataoverførsler og tidsfrister for underretning om databrud.
- Storbritannien (efter Brexit): Britisk GDPR gælder; DPA'er skal henvise til UK ICO's vejledning i stedet for EU's tilsynsmyndigheder. Standardkontraktklausuler adskiller sig fra EU SCC'er.
- Andre EU-medlemsstater: GDPR artikel 28 gælder direkte; lokal DPA-vejledning kan supplere, men kan ikke reducere minimumskravene.
Vælg lovvalgsklausulen omhyggeligt. En tysk-lov AVV og en irsk-lov DPA kan se ens ud, men vil blive fortolket af forskellige domstole og tilsynsmyndigheder.
Kan du bruge en AVV i stedet for en DPA, eller bruge begge på samme tid?
Ja, en AVV kan erstatte en DPA, fordi de er juridisk ækvivalente instrumenter. En virksomhed, der opererer på tværs af DACH- og ikke-DACH-markeder, kan inkludere begge termer i samme kontraktoverskrift (f.eks. "Data Processing Agreement / Auftragsverarbeitungsvertrag") for at undgå forvirring. Dette er almindelig praksis i tosprogede virksomhedskontrakter og er fuldt tilladt.
At bruge begge betegnelser samtidigt skaber ikke to separate juridiske forpligtelser. Det sikrer blot, at tysktalende og engelsktalende parter forstår, at de ser på det samme dokument.
Hvad er almindelige fejl, når man vælger mellem AVV og DPA?
De mest alvorlige fejl handler ikke om, hvilket udtryk du bruger, men om hvad aftalen indeholder, og om den overhovedet eksisterer.
- At springe aftalen helt over, fordi et leverandørforhold føles uformelt eller lavrisiko. Under GDPR udløses forpligtelsen af selve behandlingen, ikke af det opfattede risikoniveau.
- At acceptere en ufuldstændig skabelon, der udelader klausuler om underdatabehandlere eller revisionsrettigheder, i den tro, at leverandørens version automatisk er kompatibel.
- At forveksle en DPA med en datadelingsaftale. En DPA regulerer databehandlerforhold; en datadelingsaftale regulerer fælles dataansvarlige eller dataansvarlig-til-dataansvarlig dataudveksling. Dette er forskellige instrumenter.
- Manglende opdatering af aftaler, når en databehandler engagerer nye underdatabehandlere eller ændrer behandlingens art.
- At antage, at GDPR-overholdelse dækker schweizisk lov. Organisationer med schweiziske registrerede skal sikre, at deres AVV også opfylder revFADP-kravene.
Hvad er de juridiske konsekvenser af at gøre AVV vs. DPA forkert?
Manglende en gyldig, komplet aftale udsætter både dataansvarlige og databehandlere for reguleringsmæssigt og civilretligt ansvar.
I henhold til GDPR artikel 83, stk. 4, kan overtrædelser af artikel 28 (kravet om DPA/AVV) resultere i administrative bøder på op til 10 millioner euro eller 2 % af den globale årlige omsætning, alt efter hvad der er højest. Tilsynsmyndigheder i Tyskland har vist vilje til at undersøge og bøde organisationer for manglende eller mangelfulde behandlingsaftaler.
Ud over bøder omfatter konsekvenserne:
- Tilsynsmyndighedsrevisioner og korrigerende ordrer.
- Manglende evne til at håndhæve kontraktvilkår over for en ikke-kompatibel databehandler.
- Civilretligt ansvar, hvis et databrud opstår uden en gyldig aftale, der dokumenterer sikkerhedsforpligtelser.
- Omdømmetab i B2B-sammenhænge, hvor virksomhedskunder udfører due diligence af leverandører.
Hvordan ved du, hvilken aftale din virksomhed faktisk har brug for?
Beslutningen er ligetil, når du har identificeret forholdet og jurisdiktionen.
Trin 1: Bestem, om din organisation er den dataansvarlige (du bestemmer hvorfor og hvordan data behandles) eller databehandleren (du behandler data efter en andens instruktioner).
Trin 2: Identificer sproget og jurisdiktionen for din modpart. Hvis de er i DACH-regionen, forvent en AVV. Hvis de er andre steder, forvent en DPA.
Trin 3: Verificer, at uanset hvilket dokument du modtager, indeholder det alle ti obligatoriske elementer i henhold til artikel 28, stk. 3, i GDPR. [1]
Trin 4: Hvis din organisation også skal administrere brugerens samtykke til cookies og sporingsteknologier, håndterer en Consent Management Platform som Biscotti CMP dette lag af GDPR-overholdelse, men den fungerer sideløbende med, ikke i stedet for, en korrekt udført AVV eller DPA.
Beslutningsregel: Hvis du behandler personoplysninger på vegne af en anden organisation, har du brug for en DPA eller AVV, uanset hvad forholdet kommercielt kaldes. Hvis en anden organisation behandler data på dine vegne, er du ansvarlig for at sikre, at aftalen er på plads, før behandlingen begynder.
Ofte stillede spørgsmål
Q: Er en AVV juridisk gyldig uden for Tyskland? En AVV er juridisk gyldig overalt, hvor GDPR gælder, forudsat at den opfylder indholdskravene i artikel 28, stk. 3. Den tyske terminologi begrænser ikke dens håndhævelse i andre EU-jurisdiktioner.
Q: Skal en DPA underskrives af begge parter? Ja. GDPR artikel 28, stk. 9, kræver, at aftalen er skriftlig, hvilket inkluderer elektronisk form. Både den dataansvarlige og databehandleren skal være bundet af dens vilkår.
Q: Kan en leverandørs online klik-gennem DPA opfylde GDPR-kravene? Ja, hvis indholdet opfylder kravene i artikel 28, stk. 3. Mange store cloud-udbydere tilbyder kompatible klik-gennem DPA'er, der er blevet gennemgået af tilsynsmyndigheder.
Q: Hvad er en underdatabehandler, og hvorfor er det vigtigt i en DPA eller AVV? En underdatabehandler er en tredjepart, der er engageret af databehandleren til at udføre behandlingsaktiviteter. DPA'en eller AVV'en skal specificere betingelserne, hvorunder underdatabehandlere kan engageres, herunder den dataansvarliges ret til at gøre indsigelse. [1]
Q: Har jeg brug for en ny AVV eller DPA, hver gang en databehandler opdaterer sin liste over underdatabehandlere? Ikke nødvendigvis. Mange aftaler inkluderer en generel godkendelse af ændringer af underdatabehandlere, forudsat at databehandleren underretter den dataansvarlige, og den dataansvarlige bevarer retten til at gøre indsigelse inden for en specificeret periode.
Q: Dækker en DPA dataoverførsler uden for EU? En DPA regulerer behandlingsforholdet, men autoriserer ikke i sig selv grænseoverskridende dataoverførsler. Separate overførselsmekanismer (Standard Contractual Clauses, tilstrækkelighedsafgørelser) er påkrævet for overførsler til tredjelande.
Q: Hvor længe skal en DPA eller AVV opbevares? Opbevar aftalen i hele behandlingsforholdets varighed og i en rimelig periode derefter, typisk mindst tre til fem år, for at demonstrere overholdelse i tilfælde af en tilsynsmyndighedsforespørgsel.
Q: Hvad er forskellen mellem en DPA og en DPIA? En DPA (Data Processing Agreement) er en kontrakt mellem dataansvarlig og databehandler. En DPIA (Data Protection Impact Assessment) er en intern risikovurdering, der kræves for højrisikobehandlingsaktiviteter. De tjener forskellige formål, og ingen af dem erstatter den anden.
Q: Kan en freelancer eller et lille bureau blive pålagt at underskrive en AVV eller DPA? Ja. Forpligtelsen gælder uanset databehandlerens størrelse. En freelanceudvikler, der håndterer klienters kundedata, er en databehandler og skal underskrive en DPA eller AVV med hver klientdataansvarlig.
Q: Erstatter Biscotti CMP behovet for en DPA eller AVV? Nej. Biscotti CMP er en Consent Management Platform, der hjælper med at administrere brugerens samtykke til cookies og sporing, et separat GDPR-overholdelseskrav. En DPA eller AVV er stadig påkrævet for ethvert databehandlerforhold, der involverer personoplysninger.
Konklusion
Spørgsmålet om AVV vs. DPA løses hurtigt, når man erkender, at begge termer beskriver det samme lovpligtige instrument i henhold til GDPR artikel 28. Den virkelige udfordring er ikke at vælge mellem dem, men at sikre, at uanset hvilket dokument der regulerer dine databehandlerforhold, indeholder det alle obligatoriske klausuler, er korrekt udført og holdes ajour, efterhånden som behandlingsaktiviteterne udvikler sig.
Handlingsorienterede næste skridt:
- Gennemgå alle nuværende leverandørforhold for at bekræfte, at en gyldig DPA eller AVV er på plads for hver databehandler, der håndterer personoplysninger på dine vegne.
- Gennemgå eksisterende aftaler i forhold til de ti obligatoriske elementer i artikel 28, stk. 3, i GDPR, og anmod om ændringer for eventuelle mangler. [1]
- Hvis du opererer i Schweiz, skal du verificere, at aftalerne også opfylder revFADP-kravene ud over GDPR-grundlaget.
- Etabler en intern proces for onboarding af nye databehandlere; ingen behandling bør begynde, før aftalen er underskrevet.
- For samtykkestyring og cookie-overholdelse på dit websted eller din applikation skal du evaluere Biscotti CMP som en del af din bredere GDPR-overholdelsesramme.
Databeskyttelsesoverholdelse er ikke et engangsprojekt. Aftaler skal gennemgås, når behandlingen ændres, når underdatabehandlere tilføjes, og når reguleringsvejledningen udvikler sig. At indbygge denne gennemgangsfrekvens i dit overholdelsesprogram er den mest praktiske beskyttelse mod reguleringsmæssig eksponering.
Referencer
[1] Databehandleraftale - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai